엔씨소프트 신작 TL 크리덴셜 스터핑 공격으로 계정 정보 유출

 

 

얼마전 엔씨소프트의 주가가 부진한 가운데 신작 게임인 쓰론 앤 리버티(THONRE AND LIBERTY, 이하 TL)에서 유저의 게임 계정 정보와 게임 머니가 탈취되는 사건이 있었습니다. 이 게임의 경우 출시된지 얼마 안되어 기기 등록 서비스와 같은 보안 기능을 선 적용하지 않아 발생한 문제로 보이는데, 오늘은 이 부분에 대해 간략히 말씀드리죠.

 

 

TL 계정 도용 피해 복구 안내 화면, 출처: TL홈페이지

 

과거와 달리 저희가 즐기는 PC나 모바일 게임에서는 로그인을 진행할 때 실제 계정을 가진 본인이 맞는지를 확인하는 OTP와 같은 2차 인증을 거치도록 되어 있습니다. 물론 유저가 먼저 해당 게임에 2차 인증을 설정해야 하지만, 요즘 게임사들에서는 이를 강제하도록 만들고 있죠.
​

2000년대나 2010년대 초반만 해도 대부분의 게임 계정 탈취 사건들은 PC방에 키로거와 같은 악성코드가 설치되어 있거나, 게임에 접속할 때 아이디와 비밀번호를 뒤에서 몰래 훔쳐보는 사회공학 기법으로 인한 유출이 많았습니다. 키로거에 의해서든 뒤에서 몰래 훔쳐보든 아이디와 비밀번호만 알고 있으면 로그인이 가능했기 때문인데요.

 

그래서 게임사들은 단순히 아이디와 비밀번호로만 로그인 하는 것이 아닌 폰을 통한 SMS 인증이나 OTP 카드와 같이 사용자가 소유한 기기들을 이용하여 2차 인증 기능을 추가했습니다. 단순히 아이디와 비밀번호만 안다고 로그인 할 수 있는게 아니라, 실제 본인인지를 확인하는 검증 절차가 추가되었다고 보면 되겠죠.

 

​또한 이와 더불어서 기기 등록 서비스라고 하는 특정 PC 또는 스마트폰에서만 로그인을 할 수 있거나 해외 IP 차단과 같은 보안 기능도 추가하기도 했습니다. 보통 게임의 경우 계정이 유출되면, 중국이나 동남아 같은 곳에서 자주 접속하는 것을 볼 수 있는데, 평소와 다른 곳에서 접속을 하면 이상하다고 판단할 수 있기 때문입니다.

 

 

엔씨소프트 신작 게임 TL, 크리덴셜 스터핑 공격으로 일부 이용자 계정과 게임머니 탈취

 

 

이번 엔씨소프트에서 출시한 TL 게임의 경우 이러한 보안 서비스가 전혀 없었고, 미상의 해커들이 외부에서 수집한 계정 정보들을 가지고 TL 게임에 로그인 하는데 시도했었죠. 이걸 크리덴셜 스터핑이라고 부르는데, 쉽게 말해서 네이버와 다음에 로그인 하는데 동일한 아이디와 비밀번호를 사용해서 생기는 문제로 보면 됩니다.

 

이번과 같은 사건이 종종 발생하긴 하지만 엔씨소프트와 같은 대형 게임사에서 이런 일이 생겼다는게 조금 안타깝긴 합니다. 위에서 빨리 게임을 출시하라고 압박을 했던건지, 평소 같았으면 보안에 좀 더 신경을 썼을거 같은데 보안 서비스 적용을 늦췄다는 건 이해하기 어려운 부분이죠.
​

그리고 만약 이번 사태로 인해 피해를 보신 분들이라면 지금 당장 아이디와 비밀번호를 사이트 마다 다르게 바꾸는 것은 물론이고, 로그인에 2차 인증을 할 수 있다면 모두 설정하시는 것을 권장드립니다. 물론 이 글을 보시는 분들도 2차 인증을 반드시 설정해서 피해를 보는 일이 없었으면 하는 바람입니다.