세계적 인기 누리는 아동용 게임 애니멀 잼, 서드파티 통해 해킹돼

게시일: 2020. 11. 16 오후 2:59:44

7~11세 아동용 게임…225개국에 사용자 널리 퍼져…게임 아바타가 3억 개 넘어

서드파티 DB 관리업체 통해 침투 이뤄져…개인 식별 정보는 무사한 듯 보여

[보안뉴스 문가용 기자] 인기 높은 아동용 게임인 애니멀 잼(Animal Jam)을 개발한 회사인 와일드웍스(WildWorks)가 해킹 공격에 당했다고 발표했다. 이 때문에 4600만 건의 계정 기록들이 탈취됐다고 한다. 사건이 발생한 건 지난 10월이다. 와일드웍스 측은 다크웹의 암시장에 700만 건의 기록들이 등장하기 전까지 데이터가 침해되었다는 사실을 전혀 몰랐다고 한다. 11월 11일이었다.

[이미지 = utoimage]

애니멀 잼은 2010년 출시된 게임으로 7~11세 아동들을 타깃으로 하고 있다. 자연을 탐험하는 내용을 담고 있으며 무료로 즐기는 것이 가능하다. 아동들은 애니멀 잼에 접속해 자신의 아바타를 만들어 가상의 자연 세계를 돌아다니며 시합을 하거나 여러 가지 학습을 진행할 수 있게 된다. 현재까지 생성된 애니멀 잼 아바타는 3억 개가 넘으며 225개국에 게이머들이 분포되어 있다.

해커들이 침해하는 데 성공한 건 와일드웍스의 파트너사로 서버 데이터베이스를 유지 및 관리하는 업체였다. 이 업체가 관리하던 건 주로 사내 커뮤니케이션을 위해 사용되는 서버였다고 한다. 침해가 발생한 건 10월 10일과 12일 사이였던 것으로 보인다고 와일드웍스는 발표했다. 하지만 아직까지 파트너사의 이름은 공개되지 않았다. 또한 이 서버를 발판으로 해 다른 서버로의 추가 침투가 이뤄졌다는 증거도 아직 발견되지 않았다고 한다. 현재는 그러한 가능성까지 염두에 두고 각종 보안 조치가 이뤄졌다.

와일드웍스는 보안, 안전, 프라이버시를 굉장히 강조하는 회사 중 하나다. 그래서인지 와일드웍스는 이번 사건에 대해 빠르게 공개했고, 고객들을 위한 FAQ 사이트를 개설해 여러 질문들에 답하고 있기도 하다. 여기서 비밀번호 변 등의 조언도 제공되고 있다. 이에 의하면 공격자들이 훔쳐간 건 700만 개의 부모 계정 및 이메일 주소와, 이 계정들과 엮여 있는 3200만 사용자 이름이라고 한다. 여기에 비밀번호, 게이머의 생년월일, 성별 등과 같은 정보도 섞여 있다고 한다.

다행히라면 아직까지 아동들의 실명이 유출되지 않았다는 것이다. 청구서 관련 정보 역시 전체 기록의 0.02% 정도만 차지한다고 한다. 그 외에도 실제 신원을 식별할 만한 정보는 아직까지 침해되지 않은 것으로 보인다. 이는 와일드웍스가 아바타 생성 시 실명을 사용할 수 없도록 규칙을 설정했기 때문이다.

그렇다고 마냥 안심할 수는 없다. 실명과 개인 식별 정보가 없더라도 사이버 범죄자들은 여러 가지 피싱 공격을 실시하고, 더 많은 정보를 가져가거나 유추할 수 있기 때문이다. 그러므로 애니멀 잼 사용자들과 그 부모들이라면 지금 시점부터 들어오는 여러 가지 피싱 공격에 주의해야 한다는 게 보안 전문가들의 입장이다. 현재 비밀번호를 바꾸고 여러 개인정보를 요청하는 메일들을 경계하는 게 특히 중요하다.

게임 산업은 사이버 범죄자들의 집중 공격을 받고 있다. 10월 말에는 세계적인 히트작인 어몽어스(Among Us)가 공격을 받았고, 지난 주에는 ‘왓치 독즈 : 리전(Watch Dogs : Legion)’의 소스코드가 출시 직전에 유출되기도 했다. 알비온(Albion)이라는 게임의 데이터베이스도 다크웹에 출현했었다. 거대 게임사 캡콤(Capcom)은 라그나로커(Ragnar Locker) 랜섬웨에 당해 1 테라바이트의 데이터가 새나갔다. 바로 어제는 마인크래프트(Minecraft) 가짜 앱이 구글 플레이 스토어에서 발견되기도 했었다.

한편 와일드웍스의 보안 사고 대처 방식은 크게 칭찬을 받고 있는 분위기다. 사건을 인지하고 사용자 및 유관 기관에 즉시, 투명하게 알렸고 추가 사고를 막기 위해 적극적으로 사용자들과 소통하고 있는 부분이 본받을 만한 점이라고 꼽히고 있다.

3줄 요약

1. 전 세계적인 히트 게임 애니멀 잼, 서드파티 통해 계정 정보 유출됨.

2. 개발사는 현황을 투명하게 공개하고 사용자들과 적극 소통 중.

3. 식별 정보는 무사한 것으로 보이나 안심할 단계는 아님.

[국제부 문가용 기자(globoan@boannews.com)]

느낀점

위 기사 내용에서는 데이터의 암호화의 필요성을 나타내고 있다.

기사 내용에 의하면, 이메일, 사용자 이름, 비밀번호, 생년월일, 성별 같은 개인 정보가 들어있는데

생년월일과 성별보다 비밀번호와 이메일의 유출이 가장 큰 문제인데, 기사 내용만으로 유추해보자면 비밀번호와 이메일 자체는 암호화 되지 않고 그대로 유출된 것으로 보인다.

아마 가장 가까운 서버와의 통신을 sniffing 한 것으로 보이는데 이유는 암호화 되지 않은 채로 비밀번호와 이메일이 유출되었기 때문이다.

보통 사용자와 통신을 할 때는 암호화 된 채로 데이터가 이동하지만 근접한 경우에는 암호화 하지 않고 데이터가 이동한다.

이유는 효율성에 있는데 매번 통신할 때마다 암호화하고 복호화 하면 효율성이 매우 떨어져 많은 사람들이 암호화 하지 않고 통신하다 이러한 사건이 종종 발생한다.

보안성과 효율성의 문제는 매번 논의 되며 계속적으로 가장 효율적이고 안전한 방법을 찾을 때까지 사람들은 연구하고 노력할 것이다.