CD프로젝트 레드 랜섬웨어 해킹과 '사이버펑크 2077' 소스코드 유출

폴란드 게임사 CD프로젝트 레드는 2021년 2월 8일 공식 성명을 통해 자사가 표적형 랜섬웨어 공격의 피해를 입었다고 밝혔다. 회사는 공격자가 내부 네트워크에 침투해 일부 시스템을 암호화하고 데이터를 탈취해 갔다고 설명했다. 다만 회사의 전체 인프라가 마비되지는 않았으며 백업을 통해 시스템을 자체 복구할 수 있다고 덧붙였다. 이 발표는 '사이버펑크 2077' 출시 이후 각종 버그와 환불 논란으로 이미 곤욕을 치르던 회사에 또 다른 악재로 다가왔다. 게임업계에서는 대형 개발사를 직접 겨냥한 표적 랜섬웨어 공격 사례로 큰 주목을 받았다.

공격자들이 CD프로젝트 레드의 시스템에 남긴 몸값 요구 쪽지에는 '사이버펑크 2077', '위쳐3', 카드게임 '그윈트'의 소스코드는 물론 아직 공개되지 않은 위쳐3 차세대 버전의 소스코드까지 탈취했다는 주장이 담겼다. 또한 회계, 인사, 법무 관련 내부 문서와 함께 직원들의 계약서·신분증 스캔본 등 개인정보도 함께 유출됐을 가능성이 제기됐다. 공격자는 48시간 안에 요구에 응하지 않으면 탈취한 자료를 공개하거나 판매하겠다고 협박했다. 회사 측은 고객 개인정보는 영향을 받지 않은 것으로 파악된다고 밝혔지만 직원 정보 유출 가능성은 인정했다. 이 사건은 게임업계에서 핵심 지식재산인 소스코드를 직접 겨냥한 이중공갈형 공격의 대표 사례로 기록됐다.

CD프로젝트는 공격자의 48시간 시한이 임박한 가운데 공식 성명을 내고 '요구에 응하지도, 협상하지도 않겠다'는 입장을 명확히 밝혔다. 회사는 설령 탈취된 자료가 공개되더라도 이를 감수하겠다며, 영향을 받을 수 있는 이해관계자들에게 개별 연락을 취하는 등 피해 완화 조치를 취하고 있다고 설명했다. 이 결정은 보안업계에서 랜섬웨어 범죄조직에 대한 자금 지원을 거부한 원칙적 대응으로 평가받으며 긍정적 반응을 얻었다. 그러나 동시에 자료 유출이 사실상 예고된 것이나 다름없어 향후 파장이 불가피하다는 우려도 함께 제기됐다. 회사의 이런 결정은 이후 실제로 소스코드가 다크웹에서 경매·유출되는 결과로 이어졌다.

공격 발생 직후 해커들은 다크웹 해킹 포럼에서 탈취한 CD프로젝트 자료를 최소 입찰가 100만 달러에 경매로 내놓기 시작했다. 보안 연구자들은 악성코드 내부에 'HelloKittyMutex'라는 문자열이 발견된 점을 근거로 이 공격이 이중공갈 수법으로 악명 높은 랜섬웨어 조직 '헬로키티'의 소행으로 추정된다고 분석했다. 경매 시도는 초기에 성사되지 않았으며 공격자들은 이후 판매 전략을 바꿔가며 자료 처분을 계속 시도했다. 일부 매체는 이후 탈취된 소스코드 전체가 약 700만 달러에 판매됐다는 보도를 내놓기도 했다. 이 사건은 게임업계 지식재산이 실제 범죄 시장에서 거래되는 상품이 될 수 있음을 보여준 사례로 꼽힌다.

2021년 6월경 애초 경매로 판매를 시도하던 탈취 자료 중 일부가 결국 온라인에 무료로 유출되기 시작했다. 카드게임 '그윈트'의 소스코드가 가장 먼저 공개됐고, 뒤이어 '위쳐3'와 '사이버펑크 2077'의 소스코드까지 일부 유출됐다는 보도가 잇따랐다. CD프로젝트는 공식 성명을 통해 탈취된 데이터가 온라인상에서 유통되고 있다는 사실을 확인하며 상황을 예의주시하고 있다고 밝혔다. 유출은 여러 해킹 포럼과 토렌트를 통해 산발적으로 확산돼 완전한 차단이 사실상 불가능한 상태였다. 이 유출로 회사는 게임 보안·치트 방지 로직 노출 등 장기적인 피해 우려에 직면하게 됐다.

유출 확산 과정에서 일부 해커 그룹은 기부금을 모으면 기부자에게 탈취된 파일 구매용 비밀번호를 나눠주는 독특한 크라우드펀딩 방식의 배포 시도까지 벌인 것으로 알려졌다. 이런 방식은 애초 경매 형태로 자료를 판매하려던 시도가 여의치 않자 등장한 변형된 수익화 전략으로 분석됐다. 이후 4chan 등 커뮤니티를 통해 해당 비밀번호가 추가로 공개되면서 접근 통제 자체가 무력화되는 상황도 벌어졌다. 이로 인해 사실상 누구나 탈취된 소스코드에 접근할 수 있는 상태가 되면서 CD프로젝트의 피해 통제 노력은 사실상 실패로 귀결됐다. 이 사건은 랜섬웨어 유출 데이터가 다양한 형태로 암시장에서 유통될 수 있음을 보여준 사례로 꼽힌다.

유출 사태 이후 오랜 기간 일부 팬 모드 제작자들이 유출된 소스코드를 참고해 게임을 수정하는 상황이 이어지자, CD프로젝트는 2024년 5월 21일 '위쳐3' 공식 모딩 지원 도구 'REDkit'을 스팀·GOG·에픽게임즈스토어를 통해 무료로 정식 출시했다. REDkit은 실제 개발에 쓰인 것과 동일한 도구를 기반으로 새로운 캐릭터·스토리라인·지역까지 제작할 수 있도록 지원해, 유출 자료에 의존하지 않고도 합법적 경로로 모드 제작이 가능하게 했다. 회사는 정식 출시에 앞서 스팀을 통한 플레이테스트도 진행하며 커뮤니티 피드백을 반영했다. 이는 대형 게임사가 소스코드 유출 사고 이후 공식 채널로 커뮤니티와의 관계를 회복하려 한 실질적 대응 사례로 평가받았다. 사건 발생 3년여 만에 회사는 이렇게 유출 파문의 부작용을 제도적으로 갈무리하는 모습을 보였다.