불철주야 수고하십니다. 다름이 아니라 2019년 7월 2일, ********에서 제작하고 (주)**********에서 배급중인 모바일 게임 <****>이 20년도 더 전에 나온 간단한 메모리 에디트 툴에 의해서 게임 내 수치가 조작되는 사고가 벌어졌습니다. 이는 비유하자면 도둑이 현관문의 자물쇠를 열고 침입한 것도 아니고 현관문 자체가 없었던 수준의 심각한 보안 이슈입니다. 더욱 심각한건 해당 이슈를 제보한 제보자가 세 달도 전부터 에디트 툴을 사용했다고 증언한 사실입니다. 누군가 게임에 수천만원을 지불하고 콘텐츠를 이용할때 누군가는 상용 에디트 툴을 이용해 손쉽게 그와 상응하는 콘텐츠를 이용하는 불상사가 적어도 세 달 동안 이어진겁니다. 게임사의 방만한 관리로 인해 그들이 돈을 받고 판매한 콘텐츠의 가치가 하락했고 정상적으로 돈을 지불하고 콘텐츠를 이용한 고객은 무형의 자산적, 정신적 피해를 입었습니다. 정상적인 상황이라면 먼저 보안 이슈에 대해서 사과하고 정확한 상황을 설명해준 다음 피해를 입은 고객에게 보상을 하고 이슈에 대한 대처법을 강구해야 할 것입니다. 하지만 (주)**********는 사건이 일어난지 이틀이 지난 현재 2019년 7월 4일 오후 10시경, 공지를 통해 해당 보안 이슈에 대해서 지금까지 잘 처리해왔으며 유저들이 악의적인 소문에 현혹되었을 뿐이라는 주장만을 견지하고 있습니다. 밑의 괄호 친 글은 해당 공지사항의 전문입니다. (안녕하세요. ******** & **** 운영팀입니다. 먼저 해킹 대응을 효율과 보안을 우선으로 접근하여 유저분들께 관련 이슈를 자세히 설명 드리는 부분을 소홀히 한 점 진심으로 사과 드립니다. 최근의 해킹 이슈와 관련하여 유저분들께서 궁금해 하실 수 있는 부분을 정리하여 말씀 드립니다. 1. 실제로 치트오매틱 등으로 메모리 해킹이 가능한가요? - 상당수의 앱플레이어는 자체적으로 메모리 암호화를 하기 때문에 알려진 것처럼 쉽게 메모리를 변조하기는 힘듭니다. 특정 유저가 올린 데미지 조작 영상의 경우 치트오매틱이 아닌 별도의 변조된 불법 앱을 사용한 것으로 내부 로그 조사를 통하여 확인하였습니다. - 실제 메모리 변조에 성공할 경우 전투와 관련된 수치가 변경되는 것처럼 보이고 클리어도 가능합니다. 하지만 클리어 시 전투 기록이 서버상의 수치와 불일치 하면 부정한 시도가 있었다고 판단하여 이를 부정행위 로그로 기록합니다. 부정행위 로그가 남은 계정은 추후 내부 제재 기준에 따라 시차를 두고 영구정지 됩니다. - 재화 등의 수치는 겉보기 값이 변조가 되는 것처럼 보이지만 실제 사용시 이득을 얻을 수 없습니다. 떠돌았던 재화 수정 시연 영상은 재화 값을 실제 보유량보다 낮은 수치로 사전 조작을 통해 실제 수치로 늘려 사용하는 것이 가능한 것처럼 오해하도록 의도된 조작 영상입니다. 2. 해킹 시도 유저가 왜 즉시 제재되지 않고 로그를 통해 사후에 조치되나요? - 해커와의 싸움에서 제작사는 근본적으로 불리한 입장에 있습니다. 해킹 시도 시 즉시 앱을 종료하거나 자동 제재되도록 하는 것은 가능하지만 이 경우 "어떤 방식은 적발되고 어떤 방식은 적발되지 않는다" 와 같은 정보를 해커에게 직접적으로 제공하게 되는 문제가 있습니다. 그렇기 때문에 ****은 자동 조치는 지양하고 불특정한 시차를 두고 제재하는 “선 로깅, 사후조치” 정책을 취하고 있습니다. - 뿐만 아니라 억울한 피해자를 만들지 않기 위해 엄격하고 반복적인 검증을 통해 신중하게 제재대상을 선정 하고 있습니다. 때문에 즉시 제재가 되지 않는 것처럼 느껴지실 수 있지만 확실히 말씀드릴 수 있는 것은 부정한 행위를 하는 계정은 로그가 남으며 반드시 영구 정지 된다는 것입니다. 다만, 최근 이슈가 과열되었다고 판단해 일부 해킹 유형에 대해서는 제재 기준과 주기를 강화해 빠르게 대처하고 있습니다. 3. 메모리 해킹 대응 방식은 계속 유지되나요? - 메모리 변조의 경우 수치 값이 아예 검색되지 않도록 하거나 변조가 안되도록 조치 하는 것은 어렵지 않습니다. 다만 이렇게 자세한 말씀을 드리지 않은 채로 패치 할 경우 "패치 이전에는 조작이 가능했다" 라는 불필요한 오해를 살 수 있어 조심스럽게 접근하고 있었습니다. 이번 기회를 통해 사실을 알려드리게 되어 다음 번 패치에 주요 값이 아예 검색되지 않도록 보안 레벨을 상향할 예정입니다. 4. 그동안 주기적인 제재 공지가 없었고 최근에 많은 유저가 제재된 이유는? - 그 동안 계속하여 불량이용자를 제재하였고 제재한 유저가 어느 정도 누적되면 이를 한꺼번에 비정기적으로 공지하였습니다. 금번 이슈 발생 전 일정기간 공지를 하지 못했고, 6월부터 비정상적으로 생성되어 이미 제재 된 계정이 명단에 포함되어 많은 계정이 한꺼번에 공지되었습니다. 최근에는 해킹 이슈가 불거짐에 따라 매일 공지하고 있습니다. - 전체 불량 이용자 제재 수로만 보면 많은 유저가 해킹을 시도한 것으로 생각하실 수 있으나, 7/3(수) 하루에 수집된 로그를 통한 제재 계정수를 보면, 해킹 등 비정상적인 행위로 제재 된 계정은 419개로 상대적으로 적으며, 비정상적인 생성 계정이 15,019개로 높은 비율을 차지하고 있습니다. 이러한 비정상적인 계정 생성은 별도의 공지 없이 항상 제재해 오고 있었으나 최근 공지부터 일괄적으로 포함하고 있습니다. 5. 이외의 해킹 시도들은 어떻게 대응하고 있나요? - 메모리 조작은 가장 기초적인 해킹이며 이외에도 패킷 변조, 리소스 변조, 인젝션등 다양한 해킹들이 시도되고 있고 모두 내부 감지 루틴에 의해 기록되고 있습니다. 모든 수집된 로그는 엄격한 검토를 통해 억울한 피해자가 생기지 않도록 확실하게 확인되는 유형부터 선별해 시차를 두고 제재하고 있습니다. 6. 내부 보안 점검 프로세스가 있나요? 스마일게이트에서 출시하는 게임은 내부 보안팀에 의해 검증 기간을 거치며 이때에 다양한 해킹이 실제로 시도 되고 그 보고서가 개발사에 전달 됩니다. ****의 경우 널리 알려진 대부분의 해킹 방식에 대해 조치가 가능하다고 검증 되었고 테스트 도중 발견된 일부 감지가 누락된 부분들 역시 출시 전에 대부분 보완하여 런칭 하였습니다. 7. 이번에 회사 로고는 왜 삭제되었나요? 게임 시작 시 회사 로고를 표기하기 위하여 발생하는 약 5초 정도의 대기시간으로 인한 불편함을 덜기 위해 마지막 플레이 후 4시간 이내에 게임을 재시작 시 로고가 노출되지 않도록 하는 편의성 개선 업데이트를 6월 13일에 진행하였습니다. 당시 업데이트 공지에서 내용이 누락되어 혼선을 드리게 된 점 죄송합니다. 차후 게임의 변경사항이 아니더라도 누락되는 내용 없이 업데이트 내용을 상세히 공지하겠습니다. 최근 불량이용자로 제재를 당한 뒤 이에 대한 불만을 품고 악의적인 게시물을 올리는 소수의 유저분들이 있습니다. 그리고 그런 악의적인 게시물이 게시물이 유저 커뮤니티에 유포되고 다른 커뮤니티로 무분별하게 옮겨져 기사화가 되기도 하였습니다. 그러나 이렇게 유포된 내용은 사실과 다르며 해킹 시도한 계정은 차단되고 있습니다. 앞으로도 부정한 행위를 하는 계정은 반드시 제재하여 게임을 정상적으로 이용하시는 유저분들께서 불편을 겪지 않으시도록 최선을 다하겠습니다.) 위의 공지사항은 회사가 고객에게 알리는 공식적인 내용입니다. 해당 안내문에 따르면 (주)**********는 자신들이 해킹을 막지 못 했다는 것을 인정하고 있으며 대신 그 후에 로그를 분석해 적발하고 있으니 상관없다는 태도를 보이고 있습니다. 이는 비유하자면 은행에서 도둑을 막는 것이 힘드니까 금고를 잠그지 않고 대신 도둑이 돈을 훔쳐간 다음 cctv를 분석해 잡아내겠다는 말과 다르지 않습니다. 당연히 말도 안 되는 주장입니다. 도둑이 돈을 훔쳐간 순간부터 은행은 보안에 대한 신뢰를 잃은 것입니다. 왜냐하면 돈을 훔쳐서 달아난 도둑을 전부 잡는다는 보장이 어디에도 없기 때문입니다. 따라서 고객은 지금까지 해킹을 시도한 부당계정을 전부 제재했다는 (주)**********의 주장을 당연히 신뢰할 수 없습니다. 거기에 더해 만약 해당 내용에 대한 해명이 거짓이라면 이것은 고객에 대한 기만행위이며 사기에 해당하는 범죄행위가 됩니다. 하지만 현재 이 사실을 입증해 분쟁을 조정해줄 기관이 전무한 상황입니다. 원래는 소비자보호원과 콘텐츠분쟁조정위원회에서 해결해줘야 하는 사항이지만 현재의 두 기관은 강제력이 없습니다. 회사가 고객을 상대로 사기를 치고 있다는 정황이 너무나도 뚜렷한데 소비자가 이를 입증할 방법이 없는 상황인 것입니다. 그간 게임업계는 무형의 자산을 다룬다는 이유로 너무 오랫동안 법의 사각지대에서 고객을 기만해왔습니다. 이번 사건을 계기로 올리는 청원이지만 이와 비슷한 기만행위의 사례는 이전에도 숱하게 많았습니다. 계속해서 고객을 기만하는 게임 회사로부터 소비자를 보호해줄 법안과 제재에 대한 논의가 필요하다고 생각합니다. 사건에 대한 보다 정확한 이해를 돕기 위해 관련 기사 두 꼭지를 링크합니다. 읽어주셔서 감사합니다. 
게임업계의 도를 넘은 고객 기만행위에 제재가 필요합니다.