[게임보안 간담회]온라인 게임 보안위협 그 근본적 문제는?

게임보안솔루션 우회 봇프로그램도 나오고 있는 상황

온라인게임 시장이 급성장하고 있는 만큼 그와 비례해 보안위협도 급증하고 있으며, 특히 최근에는 온라인게임 계정을 탈취하는 악성코드는 큰 문제로 대두되고 있다. 한국인터넷진흥원(KISA)에 따르면, 온라인게임 계정을 탈취하는 온라인게임핵 악성코드가 2009년부터 2010년 1월까지 악성코드 신고 1위를 차지하고 있는 것으로 나타났다. 이런 상황에서 게임보안 대책에 대한 논의는 더 이상 미룰 수 없는 상황이다.

▲8일, 보안뉴스 주최로 보안뉴스 회의실에서는 ‘온라인 게임 보안 간담회’가 개최됐다. 이날 간담회는 네오위즈 게임즈, 엔씨소프트, 엔에이치엔 비즈니스플랫폼, 윈디소프트 등 보안담당자들이 초정돼 게임보안 대책에 대한 논의를 가졌다. ＠보안뉴스.

이에 보안뉴스는 8일, 보안뉴스 회의실에서 국내 게임업체 보안담당자들을 초청해 ‘온라인 게임 보안 간담회’를 개최하고 향후 일어날 게임보안 위협은 물론 그에 따른 대응방안 등에 대한 심층적인 논의를 가졌다.

이날 간담회 참석자는 네오위즈 게임즈 서홍원 보안팀장, 엔씨소프트 김광진 정보보안실 위험관리팀장, 엔에치엔 비즈니스플랫폼 강봉구 게임보안팀 사원, 윈디소프트 김성철 시스템운영팀 사원 이상 4명이다(게임업체명 가나다순, 이하 이름만 표기).

-온라인게임 서비스에서 최근 가장 큰 보안위협들은 무엇인가?

김광진 단연 게임 작업장이 보안위협의 중심에 있다고 할 수 있다. 게임 아이템 취득을 위해 봇 프로그램을 실행하고 계정도용을 하는 이들 작업장들을 제어·대응할 수 없는 것이 가장 큰 문제라고 생각한다.

서홍원 네오위즈 게임즈는 포카나 고스톱 등의 보드게임 위주다. RPG류의 게임은 아니라 하더라도 역시 작업장은 존재하고 있으며, 이 역시 큰 보안위협으로 보고 있다.

강봉구 악성코드가 최근 많이 유포되고 있는 것을 탐지하고 있다. 또한 개인정보를 탈취해 거래를 통해 계정을 사고팔고 하는 것은 물론 이렇게 유통된 계정을 파악해 접근을 통제하면 다른 계정을 사용하는 것이 반복되는 것도 문제일 수 있다. 특히 최근에는 보안솔루션을 우회하는 봇프로그램도 나오고 있는 상황이다.

김성철 계정 탈취 문제가 가장 큰 문제로 부각되고 있다.

-게임 작업장의 폐해는 어느 정도인가?

김광진 게임 아이템 단가와 관련해 과거에는 한국인이 중국에 작업장을 두고 중국인을 고용해 작업장을 운영한데 반해 현재는 중국인들이 직접 작업장을 운영하고 이를 이용하고 있는 상황이다.

서홍원 피해 금액을 정확하게 말할 수는 없지만 이들 작업장들로 인해 게임업체들이 CS부분에 추가적으로 비용이 드는 문제가 발생하고 있는 것만은 분명하다.

강봉구 중국 등의 국가별 아이피를 차단하기도 하지만 그에 따라 다른 서버를 통해 접속하게 되는 부정적인 면도 발생한다.

-게임 이용자들 스스로의 개인정보보호 의식이 무엇보다 중요할 것 같은데?

김광진 게임 이용자들은 불편하다는 이유로 2차 보안수단을 대부분 사용하기를 꺼려하는 경향이 있는데, 이들 2차 보안수단 사용은 시스템 속도를 저하시키기 때문이다. 또한 2차 보안수단은 본인만이 가입할 수 있도록 하는 문제가 있기 때문에도 그렇다.

서홍원 게임업체는 지속적으로 계정도용을 방지하기 위해 패스워드 변경을 고객들에게 홍보한다. 하지만 사용자 입장에서는 편의성이 우선돼 패스워드를 변경했다하더라도 시간이 경과하면 다시 최초의 패스워드로 변경하는 경우가 다반사다.

강봉구 계정도용이나 사이버머니 탈취 등의 피해를 한번이라도 경험을 해 본 이용자들은 업체에서 제시하는 보안에 대한 조치들을 잘 따르며, 이를 지킨다.

김성철 보안에 대한 개인의식이 무엇보다 중요하다. 업체 입장에서도 그에 대한 많은 의식변혁을 위한 노력을 해야 하겠지만 무엇보다 이용자 스스로가 보안은 손이 좀더 가는 불편함을 감수해야 하는 마음이 필요하다는 것을 인식할 필요가 있다.

-개인정보보호를 위한 보호 장치들은 어떤 것들이 있나?

모두 본인확인제, PC등록 서비스, DB암호화, 2차인증, IP도용확인 서비스 등의 기술적·물리적 보호조치를 취하고 있다.

-게임업체들의 보안솔루션을 통한 기술적·물리적 보호조치의 효용성?

김광진 거의 대부분의 이용자들은 똑같은 아이디, 패스워드, 주민번호 등의 개인정보를 사용하고 있다. 그런 측면에서 우리 사이트에서 아무리 기술적·물리적 보호조치를 강하게 했다 하더라도 다른 사이트에서 해킹을 당하면 이러한 기술적·물리적 보호조치는 무용지물일 수 있는 문제를 안고 있다.

-문제가 끊이지 않는 사설서버...어떤 상황인가?

김광진 온라인게임의 서버를 복제해 불법 서버를 만들어 이용하는 사용자도 늘고 있는 것 같다. 이는 공정하게 온라인 게임을 즐기는 이용자들에게 악영향을 미칠 수 있다.

서홍원 거기에 더해 불법 서버간의 경쟁으로 서로를 공격하는 DDoS공격과 악플 공격을 진행하는 ‘폭팸’과 같은 사이버 조폭과 같은 불법조직도 늘어나 사이버 질서를 어지럽히고 있기도 하다.

-내부보안에 대한 측면은 어떠한가?

김광진 내부적 보안은 물리적으로는 매우 견고하게 하고 있다. 하지만 물리적인 보안을 넘어, 직원들의 단속에 대해서는 사실 해답은 없는 것 같다. 그것은 보안솔루션이나 기타 다른 강제 사항으로만 가능한 것은 아니다.

서홍원 동감한다. 보안장치들은 기본적으로 갖추고 있어야 하겠지만 직원들에 대한 보안인식 강화측면이 더욱 중요하다는 것을 실무에 종사하면서 느끼게 된 점이다. 그런 측면에서 스스로 지킬 수 있도록 하는 보안의식을 만드는 것이 무엇보다 중요할 것 같다. 몰라서 그러는 경우가 대부분인데, 보안교육을 꾸준히 지속해 그에 따라 보안이 일상화되도록 하는 노력이 필요하겠다.

모두 내부정보가 대외적으로 빠저나가지 않도록 하기 위해서는 기업내에서 만족도를 높이는 것이 중요하다. 특히 대우가 좋지 않아 다른 회사로 이직하는 것을 막을 수는 없기 때문이다. 그런 차원에서는 중요한 정보와 중요한 업무를 맡은 직원들에 대해서는 그만큼 대우가 필요하다.

-게임보안과 관련한 법적 컴플라이언스에 대한 아쉬운 부분이 있다면?

김광진 봇 및 사설서버에 대한 관련 법·제도가 필요하다.

강봉구 개인정보 관련 현행 법률들은 게임업체와 같은 일반 기업들에게 너무 많은 부담을 안기고 있는 것 같다.

서홍원 게임 이용자들은 크게 돈을 내는 고객(유료회원)과 돈을 내지 않는 고객(무료게임 이용자), 돈을 빼가려는 고객(해커 등) 3계층으로 구별할 수 있다. 하지만 게임업체 입장에서는 이들을 구별할 수 없기 때문에 우선적으로는 보안솔루션 등을 이용한 보안조치를 할 수밖에 없다. 그런 측면에서 법적 컴플라이언스도 중요하지만 고객에게 보안의식을 심어주는 홍보·계도적인 측면에서의 정부 활동이 중요하겠다.

[김정완 기자(boan3@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)