니케 런처 삭제했다면, 다음은 비번과 결제 점검

공지된 사실과 아직 의혹인 것

이번 사태의 핵심은 게임 자체의 버그가 아니라 유통 경로가 뚫렸다는 데 있다. 니케 PC 런처가 쓰는 자바스크립트 파일이 유통사 레벨 인피니트(텐센트)의 콘텐츠 전송망에서 변조됐고, 런처를 실행하면 외부 서버에서 악성 코드를 내려받는 구조였다. 시프트업은 11월 4일 "스크립트가 제3자에 의해 변조됐을 가능성"이라는 이상 현상을 확인했다고 밝히고 같은 날 오후 긴급 패치를 배포했다.

시점도 짚어둘 만하다. 기술 보고서는 변조가 9월 27일에 이뤄졌고, 10월 하순부터는 런처 실행만으로 원격 제어 악성코드를 내려받을 수 있는 상태였다고 본다. 침해 의혹이 공개된 건 11월 3일이다. 즉 패치 전까지 한 달 넘게 위험이 노출돼 있었다는 뜻이라, "최근에 런처를 안 켰으니 괜찮다"고 단정하기 어렵다.

여기까지가 공식·보고서로 확인된 내용이다. 반면 다른 게임 타이틀로 피해가 번졌는지, 공격의 최종 목표가 개발사 내부망이었는지는 아직 추정 단계다. 실제 감염자 수와 개인정보 유출 여부도 확인되지 않았다. 중요한 건 "노출 가능성"과 "확정 감염"은 다르다는 점이다. 그래도 런처를 쓴 사람이라면 노출됐다고 가정하고 움직이는 쪽이 안전하다.

1순위: 런처부터 삭제

Photo by Glenn Carstens-Peters on Unsplash

가장 먼저 PC에서 니케 PC 런처를 제거한다. 넥슨은 이미 사내 단말에 런처가 깔려 있으면 즉시 삭제하라는 지침을 돌렸다. 긴급 패치가 나왔더라도, 내 PC가 패치 이전에 변조된 스크립트를 한 번이라도 실행했을 수 있기 때문에 일단 끊어내는 편이 낫다.

2순위: 악성코드가 남았는지 PC 검사

삭제만으로 끝나지 않는 이유가 여기 있다. 보고서에 따르면 이 악성코드는 레지스트리에 자신을 등록해, 게임과 런처를 종료하거나 지워도 크롬을 실행할 때마다 백도어가 다시 깨어나도록 설계됐다. 원격 셸 명령, 파일 반출, 화면 캡처까지 가능한 수준이다. 그래서 런처 삭제 직후 최신 백신으로 전체 검사를 돌려 잔존 여부를 확인해야 한다.

3순위: 비밀번호와 로그인 세션

악성코드가 노린 1차 표적이 브라우저에 저장된 계정 비밀번호와 세션 쿠키였다. 세션 쿠키가 털리면 비밀번호를 몰라도 로그인된 상태를 그대로 가로챌 수 있다. 따라서 메일, 게임 계정, 포털처럼 중요한 계정의 비밀번호를 바꾸고, 바꾼 뒤 모든 기기에서 강제 로그아웃(세션 종료)까지 실행하는 것이 핵심이다. 여기에 2단계 인증을 켜두면 비밀번호가 새어도 한 겹을 더 막는다.

4순위: 결제·자산 내역 확인

보고서는 가상자산 지갑 확장 프로그램 28종도 표적이었다고 지적한다. 지갑을 쓰는 사용자라면 자산 이동 내역을 확인하고, 필요하면 지갑을 새로 만드는 것이 현실적이다. 암호화폐를 쓰지 않는 사용자도 게임 결제와 카드·간편결제 내역에 모르는 사용이 없는지 한 번 훑어보는 게 좋다.

재설치는 언제가 안전한가

재설치를 서두를 이유는 없다. 시프트업이 긴급 패치는 내놨지만, 침해 범위와 추가 조치는 별도 공지로 안내하겠다고 예고한 상태다. 재설치 판단 기준은 단순하다. 운영사가 공식 채널에서 변조 경로가 차단됐고 안전하다고 명시적으로 확인한 뒤에 받는 것. 그 전까지는 모바일로 접속하거나 플레이를 미루는 편이 낫다. 설치 파일은 반드시 공식 사이트 경로에서만 받고, 커뮤니티에 올라온 링크는 쓰지 않는다.

출처

1. 게임만 켰을 뿐인데 PC 원격 제어... 인기 게임 니케 런처 해킹 원인은 공급망 공격
2. PC 공식 런처마저 뚫렸다… 인기작 니케 악성코드 사태에 이용자 보호 비상