고정 헤더 영역
상세 컨텐츠
본문 제목
[시프트업] '승리의 여신: 니케' PC 런처 공급망 공격 의혹…레벨 인피니트 CDN 파일 변조로 원격제어 악성코드 유포, 계정·브라우저·가상자산 지갑 정보 탈취 우려_2026년 11월
본문
시프트업이 개발하고 텐센트 자회사 레벨 인피니트가 서비스하는 ‘승리의 여신: 니케’ PC 런처가 악성코드 유포 경로로 악용됐다는 의혹이 나왔다. 2026년 9월 27일 공식 CDN의 자바스크립트 파일 4개가 변조됐고, 10월 하순부터 일부 런처 실행 때 원격제어 악성코드가 설치될 수 있었다. 이 악성코드는 브라우저 저장 비밀번호·게임 계정·가상자산 지갑·개발자 인증키를 노린다. 운영사는 11월 4일 스크립트 변조 가능성을 공지하고 보안 업데이트를 했다.
□ 개요
‘승리의 여신: 니케’의 PC 런처가 불러오는 공식 CDN 파일이 변조돼, 런처를 실행한 일부 이용자 PC에 원격제어 악성코드가 설치될 수 있었다는 분석이 나왔다. 공식 배포 경로를 악용한 공급망 공격으로 보인다.
이 의혹은 중국 커뮤니티 이용자들의 이상 징후 제보에서 시작됐다. 이후 독립 보안 연구자가 깃허브에 기술 분석 보고서를 공개했다. 보고서에 따르면 9월 27일 레벨 인피니트 CDN에 있는 자바스크립트 파일 4개에 외부 코드를 불러오는 명령이 삽입됐다. 늦어도 10월 23~24일부터는 일부 런처 실행 때 원격제어 프로그램이 내려받아져 실행됐다. 이 프로그램은 원격 명령 실행, 파일 열람·탈취, 전체 화면 캡처 기능을 갖췄다. 노리는 정보는 브라우저 저장 비밀번호·쿠키, 니케 계정 정보, 가상자산 지갑 28종, 개발자용 SSH 키와 클라우드 인증정보다. 윈도우에서는 크롬 브라우저에 자신을 등록해 런처를 끈 뒤에도 동작할 수 있고, 프로톤으로 실행하는 리눅스·스팀 덱 이용자도 같은 위험에 노출된다. 변조 파일 4개 가운데 1개는 10월 28일 원본 서버에서 수정됐지만, 11월 4일 오전까지 일부 배포 서버에서 변조본이 내려받아졌다. 나머지 3개는 11월 4일 새벽 2시쯤 정상 파일로 교체됐다.
운영사는 11월 4일 공식 공지에서 외부 제3자가 PC 런처 스크립트 파일을 변조했을 가능성을 보여주는 이상 징후를 발견했다고 밝혔다. 같은 날 새벽 2시 30분쯤 클라이언트 변경과 보안 업데이트를 했으며, 영향 범위를 확인해 후속 조치를 따로 안내하겠다고 했다. 실제 정보 탈취 여부와 감염 규모, 해커가 CDN 파일을 바꿀 권한을 얻은 경로는 확인되지 않았다. 넥슨은 계열사를 포함한 전 임직원에게 긴급 보안 공지를 내고, 니케 PC 런처를 삭제해 보안팀에 알리도록 했다. 레벨 인피니트가 서비스하는 왕자영요, 펍지 모바일, 델타 포스 등 다른 게임도 영향을 받았을지 우려가 나오지만, 같은 악성코드가 발견된 정황은 아직 없다.
□ 사고내용 요약
1. 회사명 : 시프트업(개발사) / 레벨 인피니트(텐센트 자회사, 글로벌 퍼블리셔·CDN 운영)
2. 사고유형
- 공급망 공격(의혹) : 공식 CDN의 런처 스크립트 파일 변조로 원격제어 악성코드(RAT) 유포
- CDN 침투 경로는 미확인
3. 피해규모
- 미확인(감염자 수, 실제 정보 탈취 여부 미공개)
- 영향 기간 : 2026년 9월 27일 파일 변조 ~ 11월 4일 교체(실행 흔적은 10월 23~24일 이후)
4. 탈취 우려 정보
- 브라우저 저장 비밀번호·쿠키·인증 토큰
- 니케(런처) 계정 로그인 정보
- 가상자산 지갑 28종 데이터
- 개발자용 SSH 키, API·클라우드 인증정보
- PC 파일, 화면 캡처
5. 특이사항
- 공식 배포 서버(CDN)를 통한 공급망 공격이라 정상 런처만 실행해도 감염될 수 있었음
- 파일 변조 후 약 37일 동안 운영사가 탐지하지 못하고 이용자·연구자 제보로 드러남
- 감염 흔적 확인 : 설치 폴더 ‘Launcher/intl_service/debug.log’에서 ‘k2f_chan’ 문자열 검색(없어도 안전하다고 단정할 수 없음)
- 게임사 임직원 PC를 통한 2차 침투 우려로 넥슨이 전사 런처 삭제를 지시
- 모바일 버전은 분석 대상이 아니어서 영향 여부를 알 수 없음
□ 사고대응 타임라인
- 2026년 09월 27일(일)
. 레벨 인피니트 CDN 자바스크립트 파일 4개 변조
- 2026년 10월 23일(금)~24일(토) 이후
. 일부 런처 실행 때 원격제어 악성코드 다운로드·실행
- 2026년 10월 28일(수)
. 변조 파일 1개 원본 서버에서 수정(일부 배포 서버는 계속 변조본 제공)
- 2026년 10월 29일(목)
. (참고) 니케 4주년 글로벌 업데이트
- 2026년 11월 03일(화)~04일(수)
. 독립 보안 연구자, 깃허브에 분석 보고서 공개
- 2026년 11월 04일(수)
. 02:04~02:21 변조 파일 3개 정상 파일로 교체
. 02:30경 클라이언트 변경·보안 업데이트, 운영사 공식 공지(스크립트 변조 가능성 인정)
. 07:26 일부 배포 서버에서 변조본 여전히 다운로드됨
. 넥슨, 전 임직원 대상 긴급 보안 공지(런처 삭제)
- 진행 중
. 영향 범위 확인, 후속 조치 안내 예정
□ 보안 이슈 관련 공식 안내
< 니케 운영사 공지 요약(2026.11.04) >
· 외부 제3자가 PC 런처의 스크립트 파일을 변조했을 가능성을 보여주는 이상 징후를 발견함
· 11월 4일 오전 2시 30분경 클라이언트 변경과 보안 업데이트를 진행함
· 정확한 영향 범위를 확인하고 있으며, 후속 조치는 별도로 안내할 예정
< 분석 보고서 권고 사항 >
· 공식 해결 공지가 나올 때까지 PC 런처 실행 중단
· 재실행 전 런처 캐시 삭제
· 감염 의심 시 다른 기기(스마트폰 등)에서 주요 사이트 비밀번호 변경, 기존 로그인 세션 모두 종료
· 가상자산은 새 지갑으로 이동, 개발자용 보안 키 폐기
· 감염 흔적 확인 : ‘Launcher/intl_service/debug.log’에서 ‘k2f_chan’ 검색
※ 공지 원문이 확인되지 않아 주요 내용을 요약함
□ 대응내역
- (레벨 인피니트·시프트업) 변조 파일 교체, 클라이언트 변경·보안 업데이트, 스크립트 변조 가능성 공지, 영향 범위 확인
- (넥슨) 계열사 포함 전 임직원 긴급 보안 공지, 니케 PC 런처 삭제 후 보안팀 전달 지시
- (크래프톤) 보안 조직이 기존 정책에 따라 대응, 추가 조치는 없음
- (넷마블) 회사 이메일 계정의 게임 로그인 제한 정책 기존 운영, 별도 공지 없음
※ CDN 침투 경로, 감염자 수, 실제 탈취 여부, 이용자 개별 안내·보상, 국내 관계기관 신고 여부는 미공개
□ 재발방지대책(권고사항)
1. 기술적 조치
- 런처가 내려받는 스크립트·리소스에 코드 서명과 해시(무결성) 검증 적용
- CDN 원본·배포 서버 파일 변경 모니터링과 업로드 권한 MFA, 캐시 전면 무효화 절차 마련
- 런처의 외부 도메인 호출 제한(허용 목록)
- 기업에서는 EDR로 런처 하위 프로세스와 브라우저 확장 등록 등 이상행위 탐지
2. 관리적 조치
- 업무용 PC에 게임·비업무 런처 설치 금지와 정기 점검
- 침해 사실과 영향 기간, 감염 확인·치료 방법을 이용자에게 신속하게 공식 안내
- 퍼블리셔·개발사 간 배포 인프라 보안 책임 범위 명확화
□ 관련기사(출처)
- 니케 PC 런처 해킹 의혹... 왕자영요 등 레벨 인피니트 게임 영향도 촉각 - 전자신문
- [단독] 넥슨, 니케 해킹 사태에 전사 보안 공지…“런처 즉시 삭제” - MTN
- 시프트업 ‘승리의 여신: 니케’ PC 런처 해킹 노출 정황 - 비즈니스포스트
- [이슈] ‘승리의 여신: 니케’ PC 런처 해킹 의혹 - 인벤
- 시프트업 ‘니케’ 해킹 의혹 확산…크래프톤에도 불똥 튀나 - MTN
- Goddess of Victory: NIKKE PC launcher reportedly compromised in supply-chain attack - AUTOMATON WEST
- nikke_malware_analysis (기술 분석 보고서) - GitHub
감사합니다.
