한국 등 아태지역 게임 계정 해킹 급증…스팀·에픽 등 주요 플랫폼 피해 심각

글로벌 사이버 보안 기업 카스퍼스키(Kaspersky, 한국지사장 이효은)가 아시아 태평양 지역 게이밍 계정을 노린 사이버 위협이 급증하고 있다고 경고했다. 카스퍼스키 Digital Footprint Intelligence(DFI) 팀의 최신 위협 분석에 따르면, 2024년 한 해 동안 전 세계에서 약 1,100만 개의 게임 계정 자격 증명이 유출됐으며, 이 가운데 스팀(Steam) 계정만 570만 개가 인포스틸러(Infostealer) 악성코드 공격으로 침해됐다.

카스퍼스키는 인포스틸러로 인해 스팀 외에도 에픽 게임즈 스토어(Epic Games Store), 배틀넷(Battle.net), 유비소프트 커넥트(Ubisoft Connect), GOG, EA 앱(EA App) 등 글로벌 주요 게임 플랫폼에서 총 620만 개의 계정이 유출됐다고 밝혔다.

DFI팀이 멀웨어 로그 파일 데이터를 기반으로 아시아 태평양 지역의 유출 건수를 분석한 결과, 스팀 인증정보 유출 상위 3개국은 ▲태국(약 16만3천 건) ▲필리핀(9만3천 건) ▲베트남(약 8만8천 건)으로 나타났다. 반면 ▲중국(1만9천 건) ▲스리랑카(1만1천 건) ▲싱가포르(4천 건)는 비교적 낮은 수치를 보였다.

아태지역은 전 세계 게이머의 절반 이상이 거주하는 최대 게임 시장으로, 약 18억 명의 플레이어를 보유하고 있다. 중국, 인도, 일본, 한국, 동남아 신흥국들의 높은 모바일 보급률과 젊은층 중심의 수요가 시장 성장을 견인하고 있다. 카스퍼스키는 이처럼 방대한 게이밍 생태계가 데이터 탈취형 사이버 공격의 ‘온상(hotspot)’으로 부상하고 있다고 지적했다.

카스퍼스키 DFI 분석가 폴리나 트레티아크(Polina Tretiak)는 “사이버 범죄자들은 계정 탈취 후 수개월, 심지어 수년이 지나서야 로그 파일을 다크웹에 공개하는 경우가 많다”며, “이미 몇 년 전에 도난당한 정보가 재등장하면서 피해 규모가 눈에 보이는 것보다 훨씬 클 수 있다”고 경고했다. 이어 그는 “인포스틸러 감염이 의심되면 즉시 보안 검사를 실시하고 멀웨어를 삭제하는 것이 우선이며, 비밀번호를 주기적으로 변경하고 여러 플랫폼에서 재사용하지 않는 습관이 필요하다”고 강조했다.

카스퍼스키 이효은 한국지사장은 “한국은 글로벌 게임 산업의 핵심 허브로, 게임 산업 성장과 함께 사이버 위협도 정교해지고 있다”며, “인포스틸러는 인기 게임 플러그인이나 툴로 위장해 개인과 업무용 기기가 혼용되는 환경을 노린다. 이를 통해 기업 네트워크로 침투해 복잡한 보안 문제를 야기한다”고 설명했다. 그는 “카스퍼스키는 한국 시장 환경에 맞춘 Digital Footprint 모니터링과 보안 체계를 통해 개인과 기업이 엔드포인트부터 데이터까지 전방위 방어를 구축할 수 있도록 지원하고 있다”고 덧붙였다.

DFI팀 분석에 따르면, 계정 유출이 발생한 넷플릭스, 로블록스, 디스코드 사용자 중 7%가 회사 이메일 주소를 등록에 사용한 것으로 나타났다. 트레티아크 분석가는 “유출된 회사 이메일은 피싱, 멀웨어 설치 유도, 비밀번호 무차별 대입 공격으로 이어질 수 있다”며, “‘Word2025!’처럼 예측 가능한 패턴은 1시간 이내 해독이 가능하다”고 경고했다. 이 경우 공격자가 직원 계정을 발판으로 회사 외부 시스템과 민감 데이터를 탈취할 위험이 있다.

인포스틸러는 크랙 게임, 치트 프로그램, 비공식 모드 등으로 위장해 배포되며, 계정 비밀번호, 가상화폐 지갑, 신용카드 정보, 브라우저 쿠키 등 민감 데이터를 탈취한다. 유출 데이터는 다크웹에서 거래되거나 무료로 배포돼 추가 공격에 악용된다. 특히 개인과 업무 활동이 한 기기에서 이루어지는 하이브리드 근무·BYOD(Bring-Your-Own-Device) 환경에서는 위험이 배가된다.

국내 보안 전문가들은 이번 보고서가 단순한 게임 계정 탈취 사건을 넘어, 기업 보안 리스크로 직결될 수 있다는 점에 주목해야 한다고 강조한다. 사이버 범죄자들은 개인의 게임 계정을 침해한 뒤, 동일 기기와 동일 계정을 사용하는 기업 환경으로 공격 범위를 확장하는 경향이 있다. 특히 게임 플러그인, 모드, 크랙 버전으로 위장한 인포스틸러는 일반 사용자의 보안 의식을 무너뜨리기 쉬우며, 공격 성공 후에는 내부망 침투와 데이터 유출로 이어질 가능성이 높다.

[2025 대한민국 사이버 보안 컨퍼런스: 보안담당자 초대-7시간 보안교육이수!]

(제13회 KCSCON 2025 / 구 PASCON)

※ Korea Cyber Security Conference 2025

-2025년 9월 16일(화) / 세종대 컨벤션센터 전관-

공공∙기업 정보보안 책임자/실무자 1,200여명 참석!

-2025년 하반기 최대 정보보호 컨퍼런스&전시회-

△주최: 데일리시큐

△일시: 2025년 9월 16일 화요일(오전9시~오후5시)

△장소: 세종대 컨벤션센터 전관

△참석대상: 공공기관·공기업·정부산하기관·금융기관·의료·교육·일반기업

개인정보보호 및 정보보호 담당자, IT담당자 등 1,500여 명

(기관 및 기업에서 정보보호 책임자/실무자만 참석 가능)