2024~2026년 유포된 게임 7종 확인… 이용자 피해자 정보 공개 요청

미국 연방수사국(FBI)이 글로벌 게임 플랫폼 Steam을 통해 유포된 악성코드 사건과 관련해 수사를 확대하고 피해자 정보를 공개적으로 수집하고 있다. FBI 시애틀 지부는 최근 공지를 통해 2024년 5월부터 2026년 1월 사이 스팀 플랫폼에 등록된 일부 게임이 악성코드를 포함하고 있었을 가능성이 있다며, 해당 게임을 설치했을 가능성이 있는 이용자들을 대상으로 피해 여부 확인 작업을 진행하고 있다고 밝혔다.

수사 당국은 현재까지 최소 7개의 게임이 악성코드가 삽입된 상태로 배포됐을 가능성을 확인했으며, 피해자 식별을 위해 관련 정보를 제공해 줄 것을 이용자들에게 요청했다. 이번 사건은 글로벌 게임 플랫폼을 이용한 사이버 범죄 사례로, 게임 산업과 디지털 플랫폼 보안 문제를 동시에 드러낸 사건으로 평가된다.

FBI가 공개한 수사 내용에 따르면 공격자는 정상적인 게임처럼 보이는 콘텐츠를 제작해 스팀 플랫폼에 등록한 뒤 이용자들이 이를 다운로드하도록 유도한 것으로 보인다. 이용자가 게임을 설치하는 과정에서 악성코드가 함께 실행되며, 시스템 정보나 개인 정보가 탈취될 가능성이 있는 것으로 조사되고 있다.

수사 과정에서 악성코드가 포함됐을 가능성이 있는 것으로 확인된 게임은 총 7종이다. FBI는 BlockBlasters, Chemia, Dashverse(DashFPS), Lampy, Lunara, PirateFi, Tokenova 등 해당 게임들이 악성코드가 삽입된 상태로 배포됐을 가능성을 조사하고 있다고 밝혔다. 현재 수사의 핵심 단계는 실제 피해자가 누구인지 확인하는 과정이며, FBI는 해당 게임을 설치했을 가능성이 있는 이용자들에게 적극적인 정보 제공을 요청하고 있다.

보안 전문가들은 이번 사건이 게임 플랫폼을 악용한 대표적인 소프트웨어 공급망 공격(Supply Chain Attack) 사례일 가능성이 높다고 분석한다. 공급망 공격은 사용자가 신뢰하는 플랫폼이나 프로그램을 이용해 악성코드를 유포하는 방식으로, 최근 사이버 공격에서 점점 더 많이 사용되는 전략이다.

이번 사건에서 추정되는 공격 방식은 비교적 전형적인 공급망 공격 구조를 따른다. 공격자는 먼저 정상적인 인디 게임처럼 보이는 프로그램을 제작해 플랫폼에 등록한다. 이후 이용자들이 해당 게임을 다운로드하도록 유도하고, 설치 과정에서 악성코드를 실행시킨다. 그 결과 사용자 시스템 정보나 계정 정보가 공격자에게 전달될 가능성이 있다.

FBI는 이번 공격의 주요 타깃이 젊은 이용자층일 가능성이 높다고 보고 있다. 특히 PC 게임 이용자나 인디 게임 다운로드 이용자, 그리고 미성년 게이머 등이 주요 피해 대상이었을 가능성이 제기되고 있다. 실제로 FBI 공지에는 부모가 자녀의 PC에 해당 게임이 설치됐는지 확인해 줄 것을 요청하는 내용도 포함됐다.

현재 FBI는 이번 사건을 연방 범죄 사건으로 수사하고 있으며 피해자 식별 작업을 진행하고 있다. 피해자로 확인될 경우 피해자 지원 서비스 제공, 피해 보상 가능성 검토, 법적 권리 안내 등이 이루어질 수 있다고 설명했다. FBI는 또한 피해자의 신원이 철저히 보호될 것이라고 강조했다.

수사와 관련해 FBI는 사건에 대한 정보를 가진 이용자들이 다음 이메일을 통해 연락해 줄 것을 요청하고 있다.

사이버 보안 전문가들은 이번 사건이 게임 플랫폼이 새로운 공격 경로로 떠오르고 있다는 사실을 보여준다고 분석한다. 게임 플랫폼이 해커들에게 매력적인 공격 대상이 되는 이유는 크게 세 가지로 설명된다.

첫 번째는 사용자 규모다. 스팀은 전 세계 수억 명의 이용자를 보유한 대형 플랫폼으로, 공격자 입장에서 단일 플랫폼을 통해 대규모 사용자에게 접근할 수 있다.

두 번째는 실행 파일 중심의 다운로드 구조다. 게임 설치 과정에서는 실행 파일 다운로드와 시스템 접근 권한 요청이 자연스럽게 이루어진다. 이러한 구조는 악성코드를 숨기기에 유리한 환경을 제공할 수 있다.

세 번째는 인디 게임 생태계다. 스팀과 같은 플랫폼에서는 수많은 소규모 개발자가 게임을 등록할 수 있기 때문에 모든 콘텐츠를 완벽하게 검증하는 것이 현실적으로 어려운 경우가 있다. 이러한 구조는 창작 생태계를 활성화하는 장점이 있지만 동시에 보안 위험을 증가시키는 요인으로 작용할 수 있다.

FBI는 이용자들에게 기본적인 보안 수칙을 준수할 것을 권고했다. 특히 온라인에서 개인 정보를 요구하는 요청에 주의하고, 투자 권유나 돈을 회수해주겠다는 서비스 등을 경계해야 한다고 강조했다. 또한 추가 수수료를 요구하는 방식의 사이버 사기에도 주의할 것을 당부했다. 사이버 범죄 피해자는 FBI 인터넷 범죄 신고센터인 FBI Internet Crime Complaint Center를 통해 신고할 수 있다.

이번 사건은 단순한 해킹 사건을 넘어 디지털 플랫폼의 보안 책임 문제로도 이어질 가능성이 있다. 오늘날 앱스토어, 게임 플랫폼, 온라인 마켓 등 다양한 디지털 플랫폼이 수많은 프로그램과 콘텐츠를 유통하고 있다. 이 과정에서 플랫폼이 어느 정도까지 콘텐츠를 검증해야 하는지에 대한 논쟁도 점점 커지고 있다.

특히 인공지능과 자동화 기술이 발전하면서 악성 소프트웨어 제작 비용이 크게 낮아지고 있다는 점도 새로운 보안 위협으로 지적된다. 과거에는 높은 기술 수준이 필요했던 악성코드 제작이 이제는 자동화 도구를 통해 훨씬 쉽게 이루어질 수 있기 때문이다.

이번 스팀 악성코드 사건은 게임 플랫폼이 단순한 엔터테인먼트 공간이 아니라 사이버 보안 전장의 일부가 되고 있다는 사실을 보여준다. 게임 다운로드는 이제 단순한 취미 활동을 넘어 사용자의 PC와 개인정보, 심지어 금융 정보까지 연결될 수 있는 디지털 보안 문제와 직결된다.

플랫폼 경제가 커질수록, 그리고 디지털 콘텐츠 유통 속도가 빨라질수록 사용자와 기업 모두에게 “이 소프트웨어는 신뢰할 수 있는가”라는 질문은 더욱 중요해질 것으로 보인다.