최근 일본을 비롯해 한국과 서양의 게임업계에서 해킹과 개인정보 유출 피해가 연달아 발생하고 있다. 인공지능 기술의 발전으로 공격자가 취약점을 쉽고 빠르게 찾아내면서 보안 위협이 더욱 거세졌다. 특히 본사가 아닌 보안이 상대적으로 취약한 외부 위탁사를 경유한 침해 사고가 집중적으로 나타나고 있다
▲ 해킹 피해가 이어지는 게임 업계 (사진제작: gemini)
지난 10월 일본에서 기업 해킹 피해가 줄을 이었다. 일본 사이버 침해 대응 비영리 기관 JPCERT는 10월 8일, 국내 조직에서 부정 접속에 의한 정보 유출이 잇따르고 있다며 이례적인 주의보를 냈다. 1,000만 건 단위 유출도 포함됐으며, 상황이 심각해지자 다카이치 사나에 일본 총리는 10월 26일 각료회의에서 해외 당국·글로벌 IT 기업과 공조해 공격자를 특정하고 취약점을 신속히 해결하라고 지시했다.
불길은 게임업계로도 번졌다. 게임 개발사와 퍼블리셔는 물론, 관련 상품을 판매하는 쇼핑몰과 게임 판매·거래 사이트까지 줄줄이 피해 사실을 인정했다. 이는 일본뿐만이 아니다. 2026년 한 해 동안 서양과 한국 게임업계에서도 해킹 피해가 잇따랐다.
캡콤 1,177만 건, 반다이남코·부시로드는 위탁사 통해 뚫려
가장 큰 피해를 입은 곳은 캡콤이다. 캡콤은 10월 22일 공식 발표를 통해 통합 계정 서비스 '캡콤 ID'가 제3자의 부정 접속을 당했다고 밝혔다. 전 세계 1,177만 4,247건의 이메일 주소와 계정 생성일, 최종 로그인 일시, 접속 IP 등 식별 정보가 유출됐다. 이 중 43건은 생년월일·성별·국가·닉네임까지 빠져나갔다.
피해는 유출에서 끝나지 않았다. 196개 계정은 제3자가 비밀번호를 무단으로 바꿨다. 이 가운데 19건은 캡콤 공식 통판 'e-캡콤' 마이페이지까지 침입당해 이름, 주소, 구매 이력이 노출됐다. 캡콤은 10월 19일 침입 흔적을 발견했고, 21일 경찰과 일본 개인정보보호위원회에 보고했다. 2020년 랜섬웨어 피해 이후 6년 만의 대형 사고다.
▲ 캡콤 해킹에 대한 공지사항 (자료출처: 캡콤 IR 페이지)
반다이남코는 위탁사를 통해 두 차례 피해를 입었다. 10월 27일에는 '반다이남코 ID' 메일 서비스 위탁사 유미르링크가 해킹당하며, 건프라 매장 회원 서비스 '더 건담 베이스 멤버스' 회원 34만 6,247명의 이메일 주소가 유출됐다고 발표했다. 하루 앞선 26일에는 물류 자회사 반다이 로지팔 시스템이 부정 접속을 당해 '이치방쿠지 온라인' 배송 정보(이름·주소·전화번호)가 유출됐을 가능성이 있다고 밝혔다.
부시로드도 같은 날 피해를 인정했다. '뱅드림! 아워 노츠' 개발 위탁사 시스템이 부정 접속을 당해 비공개 테스트 응모자와 고객지원 이용자 약 1만 3,000명의 전화번호·주소 등 개인정보가 유출됐다.
▲ 뱅드림 아워 노트 유출 공지 (자료출처: 뱅드림 아워 노츠 공식 X)
스퀘어 에닉스의 경우 결이 조금 다르지만 해킹 관련 피해를 입었다. 10월 19일 '파이널 판타지 14' 공식 사이트를 통해, 다른 회사에서 유출된 것으로 보이는 아이디·비밀번호 조합으로 '스퀘어 에닉스 계정'에 부정 로그인한 사례를 확인했다고 밝혔다. 자사 DB가 뚫린 것은 아니지만, 다른 곳에서 새어 나간 정보가 게임 계정 공격으로 이어진 셈이다.
게임 관련 상품을 파는 곳도 피해를 피하지 못했다. 피규어 업체 굿스마일컴퍼니는 공식 쇼핑몰이 뚫렸다. 10월 19일부터 22일까지 제3자가 부정 접속해 회원 정보를 여러 차례 열람했다. 21일 오후부터 사이트를 닫은 23일 아침까지는 카드 결제 페이지에 악성 프로그램까지 심어져 있었다. 회사는 시스템 취약점을 통해 관리자 권한을 탈취당했다고 설명했다. 약 2,800명은 카드 번호 16자리와 보안코드까지 유출됐을 가능성이 있다. 쇼핑몰은 23일부터 폐쇄된 상태다.
▲ 11월 3일 기준 문이 닫힌 굿스마일 일본 웹페이지 (자료출처: 굿스마일 컴퍼니 공식 홈페이지)
서양도 예외 없다, 락스타·밸브·워호스
서양 게임업계도 올해 내내 해킹에 시달렸다. 'GTA 6' 출시를 앞둔 락스타 게임즈는 4월 해커 그룹의 공격을 받았다. 그들은 락스타가 쓰던 클라우드 비용 분석 서비스 아노닷(Anodot)을 통해 클라우드에 침투했다고 주장했다. 락스타는 제3자 유출과 관련해 중요하지 않은 회사 정보 일부에 접근이 있었다고 인정했다. 이후 해커 그룹은 4월 중순 약 7,860만 건의 분석 데이터를 공개했다. 플레이어 계정이나 게임 소스코드는 포함되지 않은 것으로 알려졌다.
밸브는 8월 유럽 스팀 하드웨어 구매자 정보가 유출됐다고 알렸다. 유럽 배송을 맡은 물류사 CEVA 로지스틱스 가 7월 말부터 공격을 받으면서 이름·주소·전화번호·스팀 이메일·주문 내역이 노출됐다. 비밀번호와 결제 정보는 해당되지 않는다.
▲ 워호스 스튜디오 해킹 관련 공지 (자료출처: 워호스 스튜디오 공식 홈페이지)
10월 말에는 '킹덤 컴: 딜리버런스' 개발사 워호스 스튜디오가 당했다. 워호스는 10월 27일 사내 시스템과 회사 데이터에 무단 접근이 있었다고 발표했다. 마르틴 프리발드스키 CEO는 회사와 피해를 입은 모든 이에게 심각한 사건이라고 밝혔다. 회사는 보안 전문가와 함께 조사하며 당국과 협력 중이다. 워호스는 차기 ‘킹덤 컴’과 ‘반지의 제왕’ 오픈월드 RPG를 개발하고 있다.
게임 안에서 직접 판을 흔든 해킹도 있었다. 지난해 12월 말 유비소프트 ‘레인보우 식스 시즈’에서는 해커가 게임 서버에 침투해 플레이어들에게 게임 내 재화 ‘R6 크레딧'을 수십억 단위로 뿌렸다. 원래는 얻기 어려운 희귀 아이템이 풀리고, 일부 계정은 이유 없이 정지됐다가 해제되기도 했다. 유비소프트는 이를 보안 사고로 인정하고, 서버를 일시 중단했다.
한국도 안전지대는 아니다. 카카오게임즈는 9월 16일, 크리에이터 지원 프로그램 '파트너스'와 원격 플레이 서비스 ‘RINK’가 시스템 취약점을 노린 외부 공격을 받아 개인정보가 유출됐다고 공지했다. 위메이드 산하 위믹스 재단은 7월 26일 스테이블코인 '위믹스달러' 약 522만 개가 무단 발행되는 피해를 입었다. 재단은 2022년 업그레이드 당시 생긴 취약점으로 관리자 권한을 탈취당했다고 설명했다.
▲ 해킹 직후 마켓플레이스를 닫은 레인보우 식스 시즈 (사진출처: 레인보우 식스 시즈 공식 홈페이지)
배경엔 AI? 취약점 찾기가 쉬워졌다
그렇다면 해킹이 왜 이렇게 늘었을까? 공격자가 AI를 썼다고 밝힌 곳은 없지만, 정황은 AI를 가리킨다. JPCERT는 분석에서, 일본 내 연쇄 유출에 쓰인 것으로 보이는 공격 서버를 조사한 결과 공격자가 AI로 알려진 취약점을 스캔하고 API를 통해 공격한 사실을 확인했다고 밝혔다. 공격자는 안드로이드 앱 설치 파일(APK)을 분석해 서버와 통신하는 API를 찾아낸 뒤 취약점을 시험했다.
전문가들은 AI가 공격의 문턱을 낮췄다고 분석했다. 예전에는 취약점 하나를 찾으려면 숙련된 해커가 앱을 뜯어보고, 서버와 주고받는 통신을 분석하고, 공격 코드를 직접 짜서 하나하나 시험해야 했다. 시간과 인력이 많이 드는 만큼 공격자는 돈이 되는 큰 표적에 집중했고, 규모가 작거나 민감한 정보가 작은 서비스는 상대적으로 덜 노려졌다. 그러나 이제는 이 과정의 상당 부분을 AI가 대신한다. 앱을 분석해 API를 찾아내고, 알려진 취약점을 자동으로 훑는 작업이 훨씬 빠르고 저렴해졌다.
공격자와 방어자의 힘의 균형이 바뀌었다는 주장도 나온다. 방어하는 쪽은 수많은 시스템의 구멍을 빠짐없이 막아야 하지만, 공격하는 쪽은 하나만 찾으면 된다. AI로 공격자가 훑을 수 있는 범위와 속도가 크게 늘어난 반면, 기업이 취약점을 확인하고 패치하는 속도는 그만큼 빨라질 수 없었다. 일본 정부는 앤스로픽과 오픈AI 등에 취약점 탐지용 첨단 AI 모델 접근을 넓혀 달라고 요청했고, 이는 결국 AI로 빨라진 공격을 AI로 막겠다는 의도다.
▲ 왼쪽부터 제미나이, 챗GPT, 클로드 공식 BI (사진출처: 개발사 공식 홈페이지)
AI가 취약점을 얼마나 빨리 찾아내는지는 10월 하순 ‘PHP’ 사태가 잘 보여준다. 웹사이트 설계에서 두루 쓰는 프로그래밍 언어 PHP에서 인증 없이 서버에 원격으로 명령을 실행할 수 있는 치명적 취약점 2건이 발견됐다. 문제는 이 정보가 실제 패치 공개 전에 새어 나갔다는 점이다. PHP 측은 10월 21일 밤(한국 시간) 수정판을 예정보다 하루 앞당겨 내놨지만, 공격 시도는 이미 시작된 뒤였다. 아마존은 공개 나흘 전부터 공격 시도를 포착했고, 클라우드플레어는 공개 직후 자사 네트워크에서 포착한 악용 시도가 수백만 건으로 불어났다고 밝혔다.
원래도 해킹이 이어졌던 일본은 PHP 사태로 비상이 걸렸다. 다카이치 총리는 직접 X에 오늘 밤 안에 대응해 달라는 긴급 당부를 올렸고, 패치 공개를 앞두고 은행·자치단체·통판 등 수많은 조직이 예방 차원에서 서비스를 멈췄다. 게임업계에서도 사이게임즈는 '우마무스메'와 '그랑블루 판타지'를, 세가는 세가 ID와 아케이드 리듬게임 회원 사이트를 잠시 닫았다.
▲ PHP 보안 패치를 알린 다카이치 사나에 일본 총리 (자료출처: 다카이치 사나에 공식 X)
한편 게임업계 사례에서 두드러지는 공통점은 '위탁사 경유'다. 락스타(Anodot), 밸브(CEVA), 반다이남코(유미르링크), 부시로드(개발 위탁사) 모두 본사가 아닌 외부 협력사나 자회사가 먼저 뚫렸다. 보안이 상대적으로 약한 고리를 AI로 빠르게 훑어 찾아내는 공격이 늘어난 것과 맞물린다.
게임사는 회원 정보와 결제 정보, 미공개 개발 자료까지 쥐고 있어 원래도 해커의 단골 표적이다. 문제는 위탁 구조 자체가 관리 사각지대를 만든다는 점이다. 기업이 외부에 일을 맡기는 건 대개 자체적으로 운영하기 어려운 업무를 넘기거나 비용을 줄이기 위해서다. 그만큼 위탁사의 보안 수준을 본사가 직접 들여다보고 통제하기는 쉽지 않다. 협력사가 여러 곳으로 늘어나면 관리해야 할 범위도 그만큼 넓어진다. 취약점을 찾는 비용이 AI로 떨어진 지금 본사 보안만큼 위탁사와 외부 서비스까지 관리하는 체계가 필요하다는 지적이 나오지만, 큰 어려움이 따를 것으로 전망된다.
