캡콤 ID 해킹으로 이메일 1177만 건 유출…마지막 접속 IP까지

캡콤은 침입자가 자사 웹 서비스에 로그인하거나 일부 게임을 온라인으로 즐길 때 사용하는 계정인 Capcom ID에서 고객 정보를 빼냈다고 확인했다. 유출된 정보에는 이메일 주소 1,100만 건 이상이 포함됐으며, 각 주소에는 계정 생성일과 마지막 로그인 시각, 로그인 횟수, 마지막으로 로그인할 때 사용한 IP 주소가 함께 담겼다. 이 정보 조합은 범죄자에게 유용한 단서를 제공한다. 이메일 주소를 알고, 캡콤 게임을 즐긴다는 사실과 마지막 접속 위치까지 대략 파악한 사기범이라면 그럴듯한 가짜 고객지원 메일을 만들 수 있기 때문이다.

최신 Street Fighter를 온라인으로 즐기거나 캡콤 사이트를 이용하려고 계정을 만든 사람에게 현실적으로 우려되는 위험은 은행 계좌가 털리는 일이 아니라 피싱 공격이 잇따르는 것이다. Resident Evil, Monster Hunter, Mega Man을 선보인 이 게임사는 영향을 받은 정보에 신용카드 정보는 포함되지 않았으며, 고객이 직접 설정한 비밀번호가 유출됐다는 사실도 확인되지 않았다고 밝혔다. 당부는 단호하다. 캡콤이나 관련 회사에서 보낸 것처럼 보이는 메시지가 오더라도 링크를 누르거나 첨부파일을 열지 말라는 것이다.

캡콤 공지에 명시된 피해 규모는 전 세계 11,774,247건이다. 이 가운데 훨씬 적은 수의 계정은 더 큰 피해를 입었다. 43개 계정에서는 유출 정보에 생년월일과 성별, 국가 또는 지역, 닉네임도 포함됐다. 또 196개 계정에서는 공격자가 로그인 비밀번호를 무단으로 변경했으며, BleepingComputer는 이를 계정 소유자를 계정에서 차단하려는 시도로 해석했다. 캡콤은 해당 비밀번호를 재설정했으며, 게임을 포함해 Capcom ID와 연동된 모든 서비스가 계속 정상 운영되고 있다고 밝혔다.

다만 공지에서는 가장 중요한 의문들이 해소되지 않았다. 캡콤은 공격에 이용된 수법을 파악해 대응했다고 밝혔지만, 구체적인 내용은 공개하지 않았다. 침입자가 이상 행위가 발견되기 전까지 얼마나 오래 접근 권한을 갖고 있었는지도 밝히지 않았다. 비밀번호 변경 사실은 비밀번호에 관한 안심 메시지와도 어딘가 맞지 않는다. 원래 비밀번호를 보지 않고도 196개 계정의 로그인 정보를 재설정한 이들에게는 계정 관리 기능에 접근할 경로가 있었던 셈이다. Help Net Security에 따르면 이번 공격을 자신들의 소행이라고 주장한 단체는 없으며, 캡콤은 피해 범위를 파악하기 위한 조사를 계속하고 있다고 밝혔다.

캡콤은 등록된 이메일 주소를 계속 사용할 수 있다고 밝혔으므로, 플레이어가 주소를 바꿀 필요는 없다. 지금 취해야 할 조치는 익숙한 것들이지만, 이번 유출로 그 중요성은 더 커졌다. 다른 곳에서도 같은 비밀번호를 사용하고 있다면 Capcom ID 비밀번호를 바꿔야 한다. 계정 이용 내역이나 최근 로그인, 프로필 보안 문제를 언급하는 메시지는 의심해야 한다. 바로 그런 정보가 유출됐기 때문이다. 이메일에 포함된 링크를 누르는 대신 캡콤 고객지원 페이지에 직접 접속하는 것이 좋다.

캡콤은 10월 19일 의심스러운 활동을 감지해 당일 차단했고, 10월 20일 사내 사고 대응 본부를 설치했다고 밝혔다. 이어 10월 21일 오사카부 경찰과 일본 개인정보보호위원회에 침해 사실을 신고한 뒤, 10월 22일 사과문을 공개했다. BleepingComputer에 따르면 회사는 피해 고객에게 단계적으로 연락할 예정이다. 또한 일본 내 무료 전화 상담, 미주 지역과 유럽·중동·아프리카 지역을 위한 온라인 문의 양식, 아시아·오세아니아 지역을 위한 이메일 주소 등 전용 지원 창구를 마련했다.

이번 피해 규모는 캡콤에 전례가 없는 수준이다. 캡콤에 따르면 가장 최근의 대형 사고는 2020년 11월 발생한 Ragnar Locker 랜섬웨어 공격으로, 회사 자체 네트워크를 노렸으며 최대 39만 명이 영향을 받았을 수 있다. 회사는 이후 오래된 VPN 장비가 침입 경로였다고 파악했다. 당시 표적은 회사 내부 시스템이었다. 이번에는 수백만 명의 플레이어가 로그인에 사용하는 계정이 공격 대상이 됐다.

태그: 게임, 사이버 보안, Kali Reis, 스트리트 파이터, Cody Rhodes, David Dastmalchian, Callina Liang, 개인정보 유출, 피싱