[정보] "해킹은 컴맹만 당한다?", 디아블로3 보안의 현주소

"해킹? 그런 거 컴맹이나 당하는 거 아닌가요?"
"OTP와 백신 실시간 검사까지 쓰는데 해킹은 딴 나라 남의 이야기죠!"

디아블로를 플레이하는 많은 유저들 만큼이나 계정 피해 사례도 많이 접수되어
언제나 논란이 끊이지 않는 쟁점 중 하나가 해킹 문제이다.

아무리 컴퓨터에 대한 지식을 맹신하여 대비를 잘해도,
결코 100% 해킹에서 안전하지는 못하다는 것이 현실이기 때문이다.

▲ 당황, 분노, 그리고 절망의 순간…

특히 블리자드에서 제공하는 인증기를 사용해도 절대 방어의 효과를 기대하긴 어렵고,
한번 해킹을 당하면 복구를 해도 시간이 지나 재발할 수 있다는 불안감이 남게 된다.

따라서 현재 디아블로3의 보안 수단과 해킹에 대한 이모저모를 살펴보고,
문제점과 개선될 부분은 없는지 함께 알아보는 시간을 가지려고 한다.

현재 디아블로3에서 권장하는 최소 보안 수단

- 블리자드 OTP
- 백신 프로그램

현재 블리자드는 해킹 방지를 위해 인증기와 백신 프로그램, 이 두 가지 사용을 권장하며
보안에 관심이 있는 유저라면 기본적으로 사용하는 사람이 많다.

블리자드 인증기(OTP)는 일회용 2차 비밀번호를 통해 자신의 계정을 보호할 수 있는
비교적 쉽고 간편한 수단이다.

특히 다양한 온라인 서비스 이용으로 자신도 모르는 사이에
계정 도용이 발생할 수 있는 요즘, 선택이 아닌 필수로 자리 잡고 있다.

이런 인증기는 무료 모바일, 유료 보안 토큰 두 가지 종류가 있지만,
스마트폰 사용자가 많아서 대부분 모바일 인증기를 많이 사용하는 편이다.







또한 사용하는 컴퓨터가 바이러스와 같은 강력한 악성 프로그램으로 오염되는 경우
인증기만 사용한다고 모든 도용 피해를 예방하지 못할 수도 있다.

따라서 우수한 백신 프로그램을 함께 사용하고, 주기적인 컴퓨터 관리도 필요하다.


☞ 디아블로3 인증기/백신 관련 정보 보러가기

인증기와 백신만으로는 안전하지 않다? 대표적인 해킹 사례들

대부분 해킹당한 경우를 살펴보면 로그인하는 과정이나
게임 중 불길한 전조 현상을 경험하게 된다.

대표적인 예로 "error3", "error 315300"와 같은 에러 코드와 함께
게임 접속이 불가능하거나 플레이 중 튕기는 현상을 말한다.

이 경우 보통 게임 내 흔한 오류로 접속이 끊어진 것으로 생각하여
복잡하게 생각할 것도 없이 평소처럼 다시 로그인하기 마련인데,
이상하게 같은 오류 메시지가 반복 출력되면서 게임에 접속이 되지 않는 경우가 생긴다.







물론 위에서 언급한 오류 메시지가 출력된다고 100% 해킹이 되는 건 아니지만,
이런 현상을 경험하게 되면 한 번쯤 해킹에 대한 의심을 해봐야 한다.

특히 "나는 PC방 자체는 가지도 않고, 백신의 실시간 검사로 철통 보안이다!" 라고 확신해도
해킹을 당하지 않는다는 보장이 없으니 항상 주의가 필요하다.

다음은 디아블로 공식 홈페이지나 디아블로3 인벤 게시판에 올라온
많은 해킹 사례 중 두 가지를 정리해 본 내용이다.

■ 해킹 사례 1


- 플레이 장소 : 집&PC방
- 인증기&백신: 사용중


집에서는 살짝 눈치 보여서 PC방에서 주로 게임을 합니다.

나름 핸드폰 인증기도 사용하고 백신 깔린 것도 확인하고 게임을 실행시키는데
오늘 PC방에서 어처구니없게 해킹을 당했습니다.

PC방 가서 처음에 접속하려고 하니 무슨 오류가 뜨면서 접속이 안돼서
불안한 마음에 비번 바꾸고 접속했는데 아이템이랑 골드가 다 털려 있더군요.

그렇게 오랜 시간 걸리지도 않았는데 이건 뭐….

아무리 PC방이라고 해도 요즘엔 재부팅 하면 최초 컴퓨터 세팅상태로 돌아가고,
백신도 깔렸고, 인증기까지 쓰는데 해킹당하리라곤 생각도 못했네요.

그래서 문의를 해 봤지만, 개인 보안에 신경쓰고
자신의 컴퓨터에서 하라는 식으로 답변해 주시더라고요.

아니 백신이랑 인증기 외에 또 어떤 보안 준비를 해야 하는 건가요?

복원 신청을 해놨지만, 원상 복구되더라도 이런 일이 또 생길까봐
불안해서 PC방에서는 디아 못하겠네요.




■ 해킹 사례 2


- 플레이 장소 : 집
- 인증기&백신 : 사용중


후....해킹 당했습니다.

PC방엔 가본 적도 없고(집 컴퓨터 사양이 더 좋음. SSD 최고!) 집에서만 하루 평균 4시간 정도, 주말엔 거의 8시간 가까이 플레이합니다.

그런데 저번 주 목요일에 수업이 조금 빨리 끝나서 언제나처럼 집에서
파밍에 불태우려고 접속을 했는데요.

로그인 과정에서 오류가 뜨면서 접속이 안 되더군요.

무슨 서버 점검하나 해서 공홈에 가보니 그런 말도 없고,
일시적인 오류인가 해서 좀 쉬다가 접속해보니 접속돼서 5분쯤 플레이한 것 같습니다.

그런데 갑자기 또 오류가 떠서 게임이 튕기더군요.

그냥 서버 오늘 꽝이라는 생각에 다시 재로그인 하는데 여전히 오류 메시지가 출력됐고,
그렇게 6번 정도 더 로그인하다가 짜증 나기도 하고 약속이 생겨서 그날 게임은 접었습니다.

그리고는 다음날 접속해보니 아이템이랑 창고가 거의 다 털려 있어서 정말 황당했습니다.
한동안 멍하니 있다가 모든 캐릭터를(전 캐릭 만랩에 평균 정도 장비 파밍) 살펴보니 정말 빠짐없이 탈탈 털어가 주셨더군요.

또한 최근 악사만 주로 플레이했는데 잘하지도 않던 부두술사가 메인으로 선택되어 있었고, 최근에 친구들과 함께 플레이한 게 마지막 기억인데 전혀 알지 못하는 사람이 친구 추가가 되어 있었습니다.

저 추가된 아이디가 해킹범 맞는 거죠? 어디다가 신고해야 하나 에효...

보안 대책이 돼 있어도 해킹을 당하는 이유는?

위에서 본 것과 같이 어느 정도 컴퓨터에 대한 지식이 있어서 관리에 신경을 썼고,
백신 프로그램과 인증기를 사용 중이라고 해도 100% 해킹을 막을 수는 없다.

그 이유는 디아블로3의 해킹 방법이 주로 '키로거'로 이뤄지기 때문이다.

▲ 철통 보안도 무력화될 수 있는 '키로거' 형식의 해킹방법!

키로거(Key Logger)란 컴퓨터 사용자들의 키보드 움직임을 탐지하는 해킹툴이다.

보통 로그인이나 입력창에 비밀번호나 주민등록번호 뒷자리 등 중요 정보를 입력 시
보안상으로 해당 번호들이 '******' 이러한 형태로 숨겨진다.

하지만 키로거는 이러한 키의 실제 입력 값까지 알 수 있게 하는 프로그램이며,
피해자들이 알지 못하는 사이에 데이터를 유출하기 때문에
방화벽이나 보안 소프트웨어가 있어도 여러 방법으로 우회하여 무력화시킬 수도 있다.

따라서 게임에 로그인할 때 아이디나 비밀번호, OTP 등의 정보를 사용자가 입력하면
키로거를 통해 입수한 후 게임 접속 불가 상태로 만들어 해킹하게 된다.

▲ 해킹범과 유저는 보통 이런 상황에 빠지게 된다

특히 일회용 2차 비밀번호인 인증기(OTP)는 30초마다 인증 번호가 바뀌게 되는데
시간 초과가 돼도 1분 이상까지 이전 OTP 일련번호가 유효하다는 점이 문제다.

즉, "error3", "error 315300" 등의 메시지가 출력되며 로그인이 안 되는 사이에
해킹프로그램의 키로거에 저장되어 있던 사용자가 직접 입력했던 계정정보와 OTP 일련번호로
해커가 로그인하여 손쉽게 아이템과 골드 등을 싹쓸어 간다.

이런 키로거 프로그램은 윈도우 중요파일로 위장하여 백신으로도 발견되지 않는 경우가 많아서
자신의 컴퓨터에 깔린 백신만 믿다가는 큰 코 다치기 십상이다.

▲ 진짜 악마는 따로 있었다…(출처: 디아블로3 공식 홈페이지)

또한 해킹이라고 인식하여 비밀번호를 급하게 변경하는 방법이나.
계속 로그인해서 아이템을 옮기는 행위를 방해하려는 시도는 거의 무의미하다.

이와 관련해서 간단하게 몇 가지 실험을 해 보았다.




실험1 : 인증기 시간 초과 후 지나간 번호를 쓰면 로그인 가능한가?

---

인증기를 등록했다면 아이디와 비밀번호를 입력하면
바로 인증번호를 입력하는 화면으로 전환된다.

이 상태에서 모바일 인증기로 전송된 번호를 기억한 후
다른 번호로 교체되는 시간을 기다렸다가 예전 일련번호를 입력해 보았다.

결과는 동기화로 인한 차이는 있겠지만 1분 30초 내외의 시간
즉, 약 세 번 번호가 바뀔 때까지 예전 인증 번호가 유효한 것을 확인할 수 있었다.

물론 인증 번호를 입력하지 않고 대기 시간이 길어지다 보면
인증 모듈 오류(Error 502)가 출력되며 강제 로그 아웃되지만,
다시 로그인하여 이전 인증번호를 입력해도 별다른 문제가 발생하지는 않았다.

▲ (좌) 입력시간이 길어지면 출력되는 오류, (우) 모바일 인증기

실험2 : 피와 땀 같은 내 아이템을 털어가는데 소요 시간은?

---

해킹을 당하면 대부분 접속 불가 상태가 지속되다가,
그렇게 길지 않은 시간이 지난 후 로그인이 되는 경우도 많다.

하지만 얼마 시간이 흐르지 않았어도 이미 자신의 계정에 주요 자원(돈, 아이템)이
허망하게 증발해버린 현실과 마주하게 된다.

일부 유저들은 비밀번호를 바꾸고 빠르게 접속해서 해킹범을 강제로 튕기게 하면
피해가 줄어들거나 막을 수 있을 거라는 희망을 품지만 실제로는 그렇지 못하다.

다음은 계정 하나를 털어가는데 얼마나 시간이 걸리는지 실험해본 결과다.

■ 골드만 옮길 때 걸리는 시간


로그인 후 메인화면에서 아이템을 옮길 캐릭터를 친구 추가한 후
방을 생성하여 골드를 거래 완료하는 데 걸린 시간은 약 15~20초 정도 소요되었다.

이처럼 로그인하는데 걸리는 시간과 큰 차이가 없으므로
해킹당한 계정에 골드가 많다면 1차로 해킹범의 손아귀에 떨어지게 된다.

▲ 보유한 골드가 많을수록 해킹범의 미소도 커진다

■ 골드 + 메인 캐릭터의 아이템을 옮길 때 걸리는 시간


마찬가지로 친구 추가, 같은 방으로 접속한 후 골드와 주력 캐릭터의
아이템을 털어 가는 데 걸린 시간은 약 25~30초 정도 소요되었다.

▲ 총 3번의 거래, 13개의 아이템을 옮기는데 약 10초면 충분

■ 골드 + 모든 캐릭터 + 창고, 싹 쓸어 가는 데 걸리는 시간


말 그대로 계정 내 돈이 될만한 모든 것을 털어가는 데 걸리는 시간은 얼마나 걸릴까?

3개의 만랩캐릭터와 계정 창고(70% 정도 사용), 골드 등
모두 세심하게(?) 털어가는 데 걸린 시간은 약 2분 내외의 시간이 소요되었다.

처음에는 캐릭터 장비 해제 시간과 거래하는 시간이 오래 걸렸지만
계정 창고를 오픈한 상태에서 장비한 아이템을 우클릭 하게 되면,
창고에 바로 보관이 되어 캐릭터의 옷을 벗기는 데 걸리는 시간이 단축되기도 했다.

현 보안 시스템의 문제점과 개선방향

지금까지 살펴본 바와 같이 블리자드에서 지원하는 모바일 인증기와
백신 프로그램을 설치하여 사용한다고 해도 100% 해킹에서 안전할 수는 없다.

또한 블리자드 공식 홈페이지의 게시판을 통해서도 보안의식이 철저하고,
백신 및 인증기까지 사용했는데도 해킹을 당했다는 글을 어렵지 않게 볼 수 있다.

▲ 공식 홈페이지 토론장에서 쉽게 찾아볼 수 있는 해킹 관련 글들

그럼 과연 지금의 보안 시스템에는 어떤 문제점이 있길래
보안 프로그램을 사용하는데도 계속 이런 해킹 관련 사례가 보고되는 걸까?




허술한 OTP 시스템

---

우선 가장 큰 문제점은 블리자드 OTP(인증기)에 있다.

약 30초 간격으로 OTP에 표시되는 일련번호가 변경되지만
동기화와 관련된 문제 탓인지 1분이 넘는 시간 동안 해당 번호가 유효해서
키로그 프로그램으로 관련 정보들이 해킹범에게 넘어가 사용될 수 있다.

물론 백신 프로그램을 통해 키로그 프로그램을 원천 봉쇄할 수 있다면 좋겠지만,
진화된 해킹 기술 때문에 백신의 감시망에 걸리지 않는 경우도 많다.

따라서 OTP 인증기 방식도 좋지만, 추가적인 보안 대책이 필요해 보이는데
이와 관련해 북미에서는 지난 9월부터 배틀넷 SMS 보호 서비스를 시작했다.

▲ 누가 몰래 접속하면 SMS 알림 기능 때문에 딱 걸린다!

해당 서비스는 휴대전화에서 배틀넷 계정의 잠금과 해제를 할 수 있고,
손상되거나 분실된 OTP를 제거하거나 개인 정보 재설정 등의 기능을 제공한다.

특히 게임 접속 등의 계정 활동 내용을 무료 문자 서비스로 전송받을 수 있어서
기존 OTP 보안 시스템에서 한층 더 진화된 보안 대책이라 평가받고 있다.

이처럼 우리나라 역시 OTP 하나에 의존하기보다는
공식 홈페이지의 사이트 보안 수준을 재정비하고,
배틀넷 SMS 보호 서비스와 같은 향상된 보안 대책이 마련되어야 한다.





해킹에 대한 블리자드의 대응 태도

---

보통 해킹을 당하게 되면 복구 신청 글을 올리거나 문의하기 마련이고,
짧게는 5일 길게는 보름 이상 기다려야 처리되는 경우가 많다

특히 최근 들어 해킹 피해 사례가 과거보다 더 늘어난 만큼,
해킹으로 만신창이가 된 계정이 복구되는 동안 게임을 즐기지 못하는 유저들은
기다리는 시간이 지루하고 상대적으로 길게 느끼게 된다.

이렇게 복구가 늦어지기 때문에 많은 분이 어떤 방식으로 복구가 처리되고 있으며,
조사는 어떻게 이뤄지는지 궁금증이 큰 것도 사실이다.

▲ 복구에 불이익이 생길까 봐 사냥도 못하고!(장비도 없긴 하지만…)

하지만 정작 문제는 해킹한 계정에 대한 제재가 확실히 되느냐는 것이다.

해킹신고가 접수되어 아이템의 이동 경로가 파악되었다면,
당연히 해킹한 계정에 대해 강력한 제재가 있어야 하는데
실제로는 '자신을 해킹한 베틀 태그 유저'가 여전히 접속하고 있기 때문이다.

보통 해킹을 당하고 들어가게 되면 최근 함께 플레이 한 목록에
알지도 못하는 베틀 태크의 캐릭터가 등록되어 있기 때문에
한눈에 봐도 누가 내 소중한 아이템을 가져갔는지는 유저들도 유추할 수 있다.

그런데도 복구 후에 해당 캐릭터가 여전히 플레이 중이라면,
언제라도 다시 해킹당할 수 있어서 항상 불안감을 가지고 게임을 하게 된다.

특히 현재 블리자드에서는 해킹에 의한 복구는 2번만 해주기 때문에
그 이상 해킹을 당하게 되면 게임에 대한 의미나 욕구까지 잃어버린다.

▲ 공홈 게시판에 유저들의 제보로 작성된 '해킹범 베틀 테그 목록'

위에서 살펴본 것과 같이 유저들 스스로의 관리와 예방만으로는
쉽게 노출될 수 있는 해킹 위험에서 누구도 안심할 수는 없다.

물론 백신을 통한 기본적인 해킹 예방이나 컴퓨터 관리는 개인의 몫이지만,
누구나가 컴퓨터 전문가는 아니므로 허점이 생기기 마련이다.

따라서 앞으로는 서비스 하는 입장에서 이 부분을 인지하고,
게임 내에서나 시스템적으로 다양한 보안 관련 안전장치가 제공되어야 한다.

이를 위해 게임 내에서는 아이템이 차지하는 비중이 높은 만큼
아이템 잠금 기능(잠금 해제 후라고 해도 일정 시간 이상 해당 아이템 거래 불가)이나
친구 등록 후 일정 시간 거래 제한 등의 다양한 방법으로 모색할 수 있다.

▲ 아이템을 일정시간 거래 불가 상태로 만드는 것도 보안 방법 중 하나!(출처: 구글 이미지 검색)

시스템적인 측면에서도 기존의 인증기 시스템을 대폭 개선하거나
북미의 '배틀넷 SMS 보호'같이 더 나은 보안 솔루션이 서비스돼야 한다.

이처럼 앞으로는 해킹 행위에 대한 강력한 재재 방안이 마련되어 피해 사례를 줄이고,
복구와 관련된 절차 안내를 통해 유저들의 궁금증도 해결해 주기를 기대해 본다.