넥슨게임즈 '블루 아카이브' CDN 해킹 '코유키의 난' 사건

넥슨게임즈가 서비스하는 모바일 게임 '블루 아카이브'에서 8월 31일 오후 9시 6분경 중간자 공격으로 추정되는 방식의 결제 오류가 발생하기 시작했다. 이용자들은 게임 내에서 평소와 다른 결제 창이나 오류 메시지를 접했다고 보고했다. 초기에는 서버 일시 장애로 여겨졌으나, 곧이어 더 심각한 이상 현상이 이어지며 사태의 심각성이 드러났다. 게임 내 커뮤니티에서는 실시간으로 관련 스크린샷과 목격담이 쏟아졌다. 이는 이후 대규모 CDN 해킹 사건의 첫 신호로 확인됐다.

같은 날 오후 9시 20분경에는 게임 내 사교 공간인 '카페'에 접속한 이용자들 화면에서 다른 학생 캐릭터들이 모두 사라지고 캐릭터 '쿠로사키 코유키'만 십수 명 이상 복제되어 돌아다니는 기이한 현상이 나타났다. 이 장면이 SNS와 커뮤니티에 빠르게 퍼지면서 이용자들 사이에서는 "해킹이 아니냐"는 의혹이 급속히 확산됐다. 국내 커뮤니티에서는 이를 '코유키의 난'으로, 해외 이용자들 사이에서는 'Koyuki Incident'로 부르며 하나의 사건으로 자리 잡았다. 넥슨게임즈는 사태 파악을 위해 즉각 비상 대응에 돌입했다. 이 현상은 이번 사건을 상징하는 장면으로 지금도 회자된다.

결제 오류와 캐릭터 복제 현상이 동시다발적으로 보고되면서 블루 아카이브 국내외 이용자 커뮤니티는 극도의 혼란에 빠졌다. 이용자들은 자신의 계정 정보와 결제 정보가 유출된 것은 아닌지 우려하며 게임 접속을 중단하거나 결제 수단을 해지하는 등 자구책을 취했다. 일부 이용자는 해외 IP로 추정되는 접속 흔적을 캡처해 공유하며 해킹 근거로 제시했다. 넥슨게임즈 공식 채널에는 문의와 항의가 폭주했다. 사태는 밤사이 빠르게 게임업계 전반의 주요 이슈로 부상했다.

넥슨게임즈는 9월 1일 공식 공지를 통해 게임 실행 시 참조하는 CDN(콘텐츠전송네트워크) 환경설정이 외부에서 무단으로 변조된 사실을 확인했다고 밝혔다. 해당 환경설정은 게임 서비스와 분리된 내부 시스템에서 관리되고 있었지만, 외부에서 특정한 방식으로 접근한 기록이 발견됐다. 넥슨게임즈는 즉시 CDN 배포 경로를 긴급 차단하고 내부 전용으로 전환하는 조치를 취했다. 회사 측은 이용자 피해를 최소화하기 위해 24시간 비상 대응 체제를 가동했다고 설명했다. 이 발표로 사태의 원인이 처음으로 공식 확인됐다.

후속 조사에서 넥슨게임즈는 CDN 환경설정 일부가 네덜란드 소재의 특정 IP 주소(45.94.31.77)로 변경돼 있었다는 사실을 확인했다고 밝혔다. 이는 외부 공격자가 해당 IP를 경유해 게임 클라이언트가 참조하는 설정값을 조작했음을 보여주는 핵심 단서였다. 넥슨게임즈는 이 IP를 즉시 차단하고 관련 접근 기록을 전수 조사했다. 회사는 이 과정에서 게임 서버 자체가 직접 뚫린 것은 아니라는 점을 강조했다. 다만 CDN이라는 외부 연계 지점이 공격 경로로 활용됐다는 사실은 게임업계 보안의 새로운 취약점을 드러냈다.

넥슨게임즈는 9월 2일 추가 공지를 통해 게임 데이터베이스와 이용자 계정 정보, 결제 관련 정보는 별도의 분리된 데이터베이스에서 운영되고 있어 이번 CDN 변조로 인한 유출 피해는 없었다고 공식 발표했다. 회사는 사태 초기 결제 오류가 개인정보 유출과는 무관한 중간자 공격성 오류였다고 설명했다. 이용자들의 불안을 잠재우기 위해 회사는 조사 결과를 상세히 공개하며 투명성을 강조했다. 다만 일부 이용자들은 초기 대응이 늦었다는 점을 지적하며 아쉬움을 표했다. 이 발표로 사태는 일단 진정 국면에 접어들었다.

넥슨게임즈는 이번 사건을 한국인터넷진흥원(KISA)에 공식 신고하고 외부 보안 전문기관과 공조해 정밀 조사를 이어가겠다고 밝혔다. 재발 방지책으로는 CDN 설정 변경 권한에 대한 이중 제어 시스템 도입, 파일 변조 여부 상시 확인 절차 강화, 모의해킹과 버그바운티 프로그램 확대 등이 제시됐다. 회사는 이번 사건을 계기로 외부 연계 인프라 전반에 대한 보안 점검을 강화하겠다고 약속했다. 업계에서는 이번 대응을 비교적 신속하고 투명했다는 평가와 함께, CDN이라는 새로운 공격 표면에 대한 경각심을 남긴 사례로 평가했다. 사건은 이후 게임업계 보안 컨퍼런스 등에서 대표 사례로 자주 인용된다.