국산 인디게임 태스크바 히어로가 외부 서비스의 보안 취약점으로 인해 이용자 개인정보가 유출되는 사고를 겪었다. 유출된 정보는 스팀아이디와 접속 IP 등으로 비밀번호와 결제 정보는 포함되지 않았다. 현재 취약점은 수정되었으며 개발진은 피싱 범죄에 대한 주의와 스팀 가드 활성화를 당부했다
▲ TBH: 태스크바 히어로 개인 정보 유출 안내 공지 (자료출처: 스팀 상점 페이지)
국산 인디게임 'TBH: 태스크바 히어로'에 개인정보 유출 사건이 발생했다.
뉴젬 스튜디오는 12일 스팀 공지를 통해 태스크바 히어로가 이용하는 외부 게임 서버 서비스의 관리 도구에서 보안 취약점이 발견됐으며, 이로 인해 이용자 개인정보가 유출됐다고 발표했다. 제삼자가 이 취약점을 악용해 10월 17일부터 11월 8일까지 플레이어 데이터를 내려받은 것으로 파악됐다. 스튜디오 측은 11월 9일 해당 서비스 제공자로부터 사태를 전달받고 이를 확인했다.
태스크바 히어로는 지난 5월 출시된 스팀 방치형게임이다. 화면 한 구석에 띄워두면 저절로 게임이 진행되며, 획득하는 아이템과 경험치를 토대로 용사들을 강화할 수 있다. 특유의 가볍고 매력적인 게임성과 더불어 무료게임이라는 점 덕분에 출시 이후 최대 동시접속자 54만 6,000명대를 기록하기도 했다.
피해 대상은 한국 시각 기준 11월 9일 15시 59분 이전에 태스크바 히어로에 접속한 이력이 있는 계정이다. 빠져나간 정보에는 스팀(Steam) 프로필 주소 식별자인 스팀아이디64를 비롯해 게임 서버 계정 식별 번호인 UUID, 가입 일시, 최근 접속 일시, 마지막 접속 IP 주소 등이 포함됐다. 아울러 메인보드 모델명 또는 컴퓨터 이름, OS 종류와 버전 같은 기기 정보, 계정 이용 제한 및 탈퇴 여부도 새어나갔다.
다만 현재까지 알려진 바로는 비밀번호와 결제 정보는 유출 항목에 포함되지 않았다. 유출된 정보만으로는 스팀에 로그인하거나 결제를 진행할 수 없고 다른 플레이어의 게임 데이터에 접근하거나 조작하는 것도 불가능하다고 스튜디오 측은 설명했다.
현재 취약점은 수정됐으며, 제삼자의 접근도 차단된 상태다. 외부 게임 서버 서비스 업체는 관리 권한과 보안 설정을 재점검·강화하는 한편, 개인정보보호위원회와 한국인터넷진흥원(KISA)에 관련 사실을 보고하고 조사에 협조하고 있다. 개발진 역시 서버 데이터 접근 권한을 재점검하고, 개발자 계정의 보안 상태를 확인해 대책을 적용했다. 공식 발표 시점까지 해당 유출 건을 악용한 실제 피해 사례는 접수되지 않았다.
그러나 정보 유출을 빌미로 운영진을 사칭하는 피싱 범죄가 발생할 우려가 있어 이용자들의 주의가 요구된다. 뉴젬 스튜디오는 스팀 친구 추가나 대화, 거래 제안으로 먼저 연락하지 않는다고 강조했다. 플레이어는 메시지 속 링크를 통해 스팀에 로그인하거나 인증 절차를 진행해서는 안 되며, 누가 요청하더라도 비밀번호와 로그인 코드, 결제 정보를 알려줘서는 안 된다. 계정 보호를 위해 스팀 가드 모바일 인증 기능을 켜두는 것도 권장된다.
