소니 인썸니악 게임즈 랜섬웨어 해킹, 울버린 기밀·직원 개인정보 130만 파일 유출

2023년 12월 12일 랜섬웨어 조직 리시다는 소니 산하 스튜디오 인썸니악 게임즈의 내부 데이터를 탈취했다고 주장했다. 조직은 자료 공개까지 7일의 기한을 두고 비트코인 50개, 당시 시세로 약 200만 달러부터 시작하는 경매를 열었다. 조직이 공개한 샘플에는 직원 여권 스캔과 이메일, 기밀 문서가 포함돼 있었다. 또한 미공개작 마블 울버린의 스크린샷과 캐릭터 아트를 가졌다고 밝혔다. 이 사건은 2023년 소니 계열사에서 발생한 세 번째 보안 사고로 보도됐다.

소니는 리시다의 주장을 인지하고 있으며 조사 중이라고 밝혔다. 회사는 다른 소니 인터랙티브 엔터테인먼트 또는 소니 계열 부서가 영향을 받았다고 볼 이유가 없다고 설명했다. 즉 피해가 인썸니악 한 곳에 국한된 것으로 보았다. 이 설명은 소니가 플레이스테이션 네트워크 등 핵심 서비스는 안전하다고 강조한 것으로 해석됐다. 그러나 조직이 도메인 관리자 권한을 20분에서 25분 만에 얻었다고 주장해 네트워크 방어에 대한 의문도 제기됐다.

2023년 12월 19일 마감 시한이 지나자 리시다는 탈취한 데이터를 다크웹 사이트에 공개했다. 공개된 자료는 1.67테라바이트, 130만 개 이상의 파일이다. 조직은 팔리지 않은 데이터를 올렸다고 밝혀 전체의 약 2%는 별도 구매자에게 팔렸음을 시사했다. 소니가 요구받은 몸값은 약 200만 달러였던 것으로 보도됐다. 파일에는 울버린과 스파이더맨 2 관련 개발 자료가 들어 있었다. 마블과 소니의 퍼블리싱 계약서도 공개돼 X맨 관련 게임 세 편 계획이 알려졌다.

유출 자료에는 I-9 고용 서류, 해고 문서, 여권 사진, 슬랙 채널 대화가 포함됐다. 사회보장번호와 여권번호, 집 주소 같은 정보는 신분 도용과 스토킹, 괴롭힘에 쓰일 수 있어 직원들의 불안이 컸다. 로열티 보너스 계획과 함께 액티비전, 애플, NBC유니버설 등과 맺은 비밀유지계약 서류도 포함된 것으로 보도됐다. 미공개 출시 일정과 예산 증가 추이도 드러났다. 공개된 자료로 취소된 스파이더맨 멀티플레이 프로젝트의 존재도 알려졌다. 이는 2023년 록스타, 로크스테디 등에서 잇따른 개발 자료 유출과 함께 업계 보안 경각심을 높였다.

2023년 12월 22일 인썸니악은 개발팀이 며칠간 서로를 지지하는 데 집중했다며 이번 공격에 슬프고 분노한다는 입장을 냈다. 회사는 팀이 입은 감정적 타격을 언급하며 울버린처럼 회복력이 있다고 밝혔다. 울버린 개발은 계획대로 계속된다고 설명했다. 직원들은 자신의 정보가 다크웹에 올라왔는지 확인하느라 며칠을 보냈고, 일부는 공식 통보를 받지 못한 상태였다. 유출된 플레이 가능 빌드가 퍼지자 저작권 삭제 요청이 이어졌다.