올해 인벤은 격변하는 글로벌 시장의 흐름 속에서 게임사들이 준비하고 있는 신작과 함께 게이머들과 업계인들이 반드시 주목해야 할 6가지 핵심 키워드를 선정했다. 2026년, 게임 산업은 기술적 진보를 넘어 ‘총체적 경험의 확장’이라는 새로운 국면에 접어들었다. 올해는 무엇을 포기하고 무엇에 집중해야하는지 함께 짚어보자.
보안은 게임 서비스에서 흔히 '공기'에 비유된다. 평소에는 그 존재를 전혀 느끼지 못하지만, 오염되거나 사라지는 순간 생존이 불가능할 만큼 중요성을 깨닫기 때문이다. 지난해 하반기, 쿠팡과 넷마블 등에서 발생한 연쇄적인 대규모 사고는 공기처럼 당연시되었던 보안의 중요성을 각인시켰다.
과거의 정보 보안이 외부 해커의 침입을 막아내는 '기술적 방어'에 국한되었다면, 이제는 이용자가 안심하고 지갑을 열 수 있게 만드는 '신뢰의 척도'가 되었다. 특히 넥슨 '던전앤파이터'의 궁댕이맨단 사건이나 넷마블 자회사의 횡령 사례처럼, 내부 직원이 권한을 악용해 아이템을 무단으로 생성하고 이를 외부 거래 사이트에 판매하여 부당 이득을 취하는 행위는 외부 해킹 못지않은 치명적인 보안 위협 요소다.
쿠팡의 대규모 개인정보 유출 사태 역시 시사하는 바가 크다. 정부 민관합동조사단에 따르면 해당 사건의 본질은 외부의 고도화된 해킹 기술이 아닌, 내부 통제의 총체적 실패에 있었다. 퇴사한 직원의 계정 권한이 제때 회수되지 않고 API 접근 키 관리가 부실했던 점이 거대한 사고의 도화선이 되었다.
이러한 위협은 수많은 개발자와 외주 파트너사가 라이브 서버와 데이터베이스에 수시로 접근해야 하는 게임사의 업무 환경에서 언제든 재현될 수 있는 시나리오다. 따라서 지금 게임사에 필요한 것은 외부 공격을 막아낼 견고한 방패뿐만 아니라, 내부의 부정행위를 실시간으로 감시할 수 있는 현미경이다. 최근 2년간 발생한 일련의 사고들은 단순한 해프닝이 아니며, 외부 방어와 내부 통제 점검을 아우르는 입체적인 보안 전략만이 무너진 신뢰를 회복할 유일한 길임을 경고하고 있다.
게임업계 해킹, e스포츠 중계부터 Web3까지
2024년 초 리그 오브 레전드 챔피언스 코리아(LCK) 스프링 시즌을 강타한 디도스(DDoS) 사태는 e스포츠 인프라의 취약성을 여실히 보여주었다. 당시 선수들은 핑(Ping)이 급격히 튀거나 연결이 끊기는 현상을 겪으며 정상적인 경기 진행이 불가능했다. 대회 서버는 외부와 격리된 내부망(VPN) 환경에서 운영되는 것으로 알려졌으나, 중계를 위한 송출망이나 데이터 전송을 위한 일부 외부 접점이 공격 통로가 되었다.
공격자들은 사전에 취약한 접점을 파악하고 경기가 시작되는 정확한 타이밍에 맞춰 공격을 실행했다. 결국 LCK 사무국은 무관중 녹화 중계라는 결정을 내려야 했으며, 이후 라이엇 게임즈는 롤파크 내에 외부 인터넷과 완전히 단절된 오프라인 게임 서버를 구축하며 대응에 나섰다.
블록체인 기술이 결합된 게임파이(GameFi) 분야에서도 약점이 드러났다. 위메이드의 암호화폐 플랫폼 위믹스의 '플레이 브릿지 볼트'에서는 지난해 2월 해킹 공격으로 약 90억 원 상당의 토큰이 무단 인출되는 사고가 발생했다. 이는 서로 다른 블록체인 네트워크 간 자산을 이동시키는 브릿지가 구조적으로 해커들의 표적이 되기 쉽다는 점을 시사한다. 해당 사건은 스마트 컨트랙트의 결함보다는 관리자의 개인키(Private Key) 탈취 가능성이 높게 제기됐다. 키를 관리하는 인적, 절차적 보안의 실패에 가깝다.
이 사건으로 위믹스의 가치와 위메이드의 주가가 동반 하락했으며, 투자자들은 기술적 혁신보다 자산의 안전성을 우선시한다는 사실이 증명됐다. 이는 향후 Web3 게임을 준비하는 기업들에게 전문 수탁 기관 이용이나 다중 서명(Multi-Sig) 체계 구축 등 커스터디(수탁) 보안의 중요성을 각인시켰다.
보안 투자, 넷마블과 넥슨의 엇갈린 지표
게임업계 내부 데이터를 분석해보면 보안 투자 규모와 사고 발생 빈도 간의 뚜렷한 상관관계가 발견된다. 넷마블은 외부 해킹으로 약 611만 명의 개인정보와 3,100만 건의 ID가 유출되는 사고를 겪은 바 있다. 정보보호 공시 데이터 분석 결과, 사고 당시 넷마블의 정보보호 투자액은 약 56억 원으로 경쟁사인 넥슨(약 227억 원)이나 엔씨소프트(약 181억 원)에 비해 현저히 낮은 수치였다.
매출 규모 대비 낮은 보안 투자 비율은 해커들의 공격 대상이 되기 쉬운 환경을 조성했을 가능성이 크다. 보안 투자가 단순 비용이 아닌 사고 예방과 대응 역량을 결정짓는 필수 요소임을 나타낸다. 넥슨도 지난 2011년 메이플스토리 가입자의 1,320만 명의 개인정보가 유출된 사건을 겪었으나, 보안 투자에 적극 나섰다. 현재는 국내 게임사 중 보안에 가장 많이 투자하고 있다. 이는 보안 투자가 기업의 리스크 관리 의지를 보여주는 지표임을 보여준다.
보안, 외부 방어만큼 내부 단속도 중요하다
외부 공격 못지않게 내부자에 의한 보안 위협도 심각한 문제다. 넥슨의 미공개 프로젝트 'P3' 데이터를 유출해 '다크앤다커'를 개발했다는 의혹을 받는 아이언메이스와, 넥슨게임즈 퇴사자들이 주축이 된 '프로젝트 KV' 논란이 대표적이다.
두 사건 모두 핵심 개발진이 재직 중 취득한 아이디어와 에셋, 코드를 퇴사 후 활용했다는 의혹을 받고 있다. 과거에는 이를 개인의 역량이나 관행으로 치부했으나, 현재는 명백한 영업비밀 침해이자 배임 행위로 간주되는 추세다. 내부자들은 보안 시스템 우회를 위해 개인 이메일 전송, 깃허브 비공개 리포지토리 업로드, 외장 하드 사용 등 다양한 방법을 사용한 것으로 알려졌다.
내부 직원의 권한 남용 또한 심각한 보안 이슈다. 넥슨의 '던전앤파이터'에서 발생한 일명 궁댕이맨단 사건은 직원이 내부 관리자 툴을 악용해 정상적인 플레이로는 불가능한 시점에 최고 등급 신화 장비를 생성했고, 이를 되팔아 부당 이득을 취했다. 법원은 이를 단순 업무 과실이 아닌 중대 경제 범죄로 규정하여 징역 1년 6개월의 실형을 선고했다.
넷마블 자회사(넷마블엔투 등)에서는 'RF 온라인 넥스트' 개발자 A씨가 DB에 직접 접근하여 '+10 반중력 드라이브' 등 고가의 아이템을 16개 이상 비정상적으로 생성해 약 500만 원 이상의 이득을 챙긴 사실이 드러났다.
직접적인 아이템 생성뿐만 아니라, 정보 유출도 신뢰를 무너뜨리는 행위다. 카카오게임즈 '오딘: 발할라 라이징' 운영자가 업데이트 일정과 밸런스 패치 등 미공개 중요 정보를 특정 길드나 지인에게 유출하기도 했다. 정보를 이용한 유저들은 상위권 플레이를 유지할 수 있었다. 공정한 경쟁을 믿고 돈을 쓴 일반 유저들을 기만했다.
믿음이 아닌 '시스템'으로 증명하라
내부 보안 강화에 가장 시급한 과제는 특정 개인에게 집중된 권한을 기술적으로 해체하고 감시망을 강화하는 것이다. 네오플은 사건 이후 내부 관리 시스템을 보완하고 직원의 개인 계정 플레이 관련 사규를 대폭 강화했다. 이는 개인의 양심에 맡기던 관행을 끝내고 시스템적 통제를 시작했다는 데 의미가 있다.
이를 업계 표준으로 확산하기 위해서는 '2인 승인 체계' 도입 등을 고려할 수 있다. 아이템 생성이나 재화 지급 등 치명적 권한은 단독 실행을 원천 차단하고, 반드시 상급자나 보안 담당자의 2차 승인을 거치도록 강제하는 식이다. 아울러 업무 목적의 접근 권한을 필요한 시간 동안만 부여하고 즉시 회수하는 시스템을 통해, 네오플이 강화한 사규가 자동 이행되도록 만들어야 한다.
네오플 사례에서 가장 주목해야 할 점은 투명성 강화 조치다. 당시 사건은 유저들이 게임 내 '타임라인' 기능을 통해 아이템 획득 로그를 교차 검증하는 과정에서 발각되었다. 네오플은 이를 인지하고 아이템 획득 사실을 누구나 확인할 수 있도록 타임라인 기능을 유지·보완하여 유저들이 비정상 행위를 직접 감시할 수 있는 환경을 조성했다.
이처럼 조작 불가능한 '디지털 블랙박스'를 구축하고 이를 유저에게 공개하는 것은 신뢰 회복의 지름길이다. 운영자의 개입 여부를 투명하게 공개하는 'WORM(Write Once, Read Many)' 스토리지 기술을 도입하고, 네오플이 실시했던 것처럼 의혹 발생 시 연관 계정과 길드에 대한 '전수 조사'를 즉각 단행할 수 있는 상시 감사 프로세스를 갖춰야 한다.
기술적 장치만큼 중요한 것은 강력한 처벌 의지다. 네오플은 사건 당시 "만약 저지르면 반드시 처벌한다"는 강력한 메시지를 전달하고, 실제로 형사 고소를 통해 실형 판결을 이끌어내는 등 본보기를 보였다.
이러한 무관용 원칙은 모든 게임사의 기본 철학이 되어야 한다. 정보보호최고책임자(CISO)에게 독립적인 권한을 부여하여 내부 부정을 직보할 수 있게 하고, 사규에 '원스트라이크 아웃' 제도를 명시해야 한다. 입사 단계부터 민형사상 책임을 끝까지 묻겠다는 서약을 의무화하여, 내부 횡령이 단순한 사내 징계로 끝나지 않는 중대 범죄임을 각인시켜야 한다.
Biit@inven.co.kr
페이지 구독하기
다른 기사 보기
기사 제보하기
