17일 카카오게임즈에 따르면 회사는 이달 12일 오후 10시44분 파트너스와 RINK 서비스에 대한 외부의 비정상적인 접근을 확인했다. 이후 조사 과정에서 14일 오전 0시50분 일부 고객 140명의 개인정보가 유출된 사실을 확인했다. RINK는 PC에서 실행 중인 게임을 모바일 기기로 전송해 원격으로 플레이할 수 있도록 하는 카카오게임즈의 서비스다.
공격은 12일 오후 10시44분부터 13일 오후 7시37분 사이 발생한 것으로 추정된다. 외부 공격자가 파트너스와 RINK 시스템의 취약점을 이용해 비정상적으로 접근했고 이 과정에서 개인정보가 외부로 유출된 것으로 파악됐다.
서비스별로 보면 파트너스에서는 외부 연동을 위한 타사 식별코드 또는 타사 아이디가 유출됐다. RINK에서는 자사 식별코드와 일부 국가코드가 빠져나갔다.
카카오게임즈는 외부 연동을 위한 식별코드와 자사 식별코드, 국가코드는 개인을 특정하기 어려운 정보로 악용될 위험이 낮다고 설명했다. 타사 아이디가 유출된 일부 이용자의 경우에도 비밀번호는 유출되지 않았다고 밝혔다.
카카오게임즈는 사고 인지 직후 비정상적인 외부 접근 경로와 관련 계정을 차단하고 관련 시스템의 추가 접근을 막았다. 사고 관련 기록과 증거자료를 확보하고 취약점 점검·보완, 추가 개인정보 유출 여부 조사, 이상 징후 감시 강화 등의 조치도 진행했다.
카카오게임즈는 개인정보보호위원회와 관계기관에 사고를 신고했다. 현재 관계기관과 외부 보안 전문기관과 함께 구체적인 사고 원인과 영향 범위를 조사하고 있다.
카카오게임즈 측은 유출 정보가 피싱이나 스미싱, 보이스피싱, 계정 도용 등에 악용될 가능성에 대비해 이용자들에게 주의를 당부했다. 본인이 요청하지 않은 비밀번호 변경이나 로그인·결제 알림을 확인하고 출처가 불분명한 문자나 이메일의 인터넷 주소와 첨부파일을 열지 말 것을 권고했다.
카카오게임즈는 “이번 사고를 엄중하게 인식하고 있다”며 “고객님께 피해가 발생하지 않도록 필요한 보호조치와 재발방지 대책을 최우선으로 시행하겠다”고 밝혔다.
