스팀 ID 8,900만 개 유출됐나? 밸브 "스팀 해킹 사실 아니야"

12일 다크웹에서 약 8,900만 개의 스팀 정보가 거래 중이라는 것이 알려지자, 밸브가 진화에 나섰다.

한 해커는 약 8,900만 건의 스팀 사용자 기록과 일회용 인증 코드를 보유하고 있으며, 이 데이터를 5,000만 달러에 판매하겠다고 다크웹에 광고했다. 보안 전문 매체 '블리핑컴퓨터'는 유출된 파일에 약 3,000건의 기록이 들어있었으며 해당 파일에 수신자의 전화번호와 스팀의 일회용 암호가 담긴 SMS 문자를 발견했다고 보도했다.

같은 매체는 해킹의 원인으로 트윌로(Twilio)의 클라우드 API가 탈취된 것이라고 지목했다. 8,900만 건의 스팀 정보가 거래 중이라는 정보가 인터넷에 일파만파 퍼지자 스팀의 운영사 밸브는 입장을 냈다.15일, 밸브는 "사건을 조사한 바, 스팀 시스템은 해킹되지 않았다"라며 밸브의 책임을 부정했다. 아울러 "이번에 유출된 내용은 문자 메시지 일부이며, 15분 동안만 유효한 일회성 코드와 전화번호만 포함된 것"이라고 해명했다.

정리하자면, 새로운 자리에서 스팀에 로그인할 때 2차 인증에 필요한 코드와 그 코드를 받기 위한 전화번호가 유출됐다는 것. 스팀의 시스템은 해킹이 되지 않았으며, 15분간 유효한 코드로 스팀의 계정 보안을 침해할 수 없다는 것이 밸브측 설명이다. 밸브는 현재 문자 메시지 전송 과정 중 유출이 일어난 것으로 추정하고 제공 업체를 확인 중이다. 트윌로 또한 "회사 시스템은 유출되지 않았다"라고 설명하면서 SMS 제공 업체에서 실수가 벌어졌을 것이라는 추측이 나오고 있다.

밸브와 트윌로의 진술이 사실이라면, 이번 유출로 사용자가 입을 피해는 크지 않을 것으로 보인다. 그러나 이번 사건과 별계로 게이머의 스팀 계정이 탈취되는 일은 잦은 편이기 때문에, 주기적으로 계정의 보안 상태를 점검하는 것은 필요하다. 스팀 가드 앱을 사용하는 한편, PC방에서의 사용을 조심하는 등 자기 조치가 주기적으로 이루어져야 할 것으로 보인다.