하프라이프 2 소스코드 유출 해킹, 독일 해커 악셀 겜베가 밸브 내부망 침투(2003)

독일 출신 해커 악셀 겜베는 2003년 9월 11일께부터 밸브 공동 창업자 게이브 뉴웰의 이메일 계정에 접근하기 시작했다. 훗날 뉴웰이 공개한 설명에 따르면 침입은 아웃룩 미리보기 창의 버퍼 오버플로 취약점을 이용한 것으로 알려졌다. 겜베는 이어 밸브 내부 컴퓨터에 키 입력 기록 프로그램을 설치했다. 이 프로그램은 원격 제어 도구를 변형한 맞춤형 악성코드여서 일반 백신에 걸리지 않았다. 밸브는 한동안 자신들의 사내망이 장악됐다는 사실을 알지 못했다.

겜베는 9월 19일 밸브 개발 서버에서 하프라이프 2 소스코드를 내려받았다. 당시 이 게임은 2003년 9월 30일 출시를 약속한 상태였고 PC 게임 시장에서 가장 기대받던 작품 중 하나였다. 유출된 것은 게임 본편의 미완성 빌드와 소스 엔진 코드였다. 밸브는 정확한 침투 경로를 파악하는 데 시간이 걸렸고 대응은 크게 늦어졌다. 이 사건은 대형 게임 개발사의 보안 허점이 출시 일정에 직접적 타격을 줄 수 있음을 처음 크게 보여 준 사례로 꼽힌다.

2003년 9월 하순 게이브 뉴웰은 밸브 포럼에 글을 올려 9월 11일께부터 자신이 아닌 누군가가 자기 이메일 계정에 접근하고 있었다고 밝혔다. 그는 키 입력 기록 프로그램이 설치된 경위를 구체적으로 설명하고 공격자와 디도스 가해자를 찾는 데 팬 커뮤니티의 도움을 요청했다. 밸브는 이 무렵 약속했던 9월 30일 출시 일정을 지키지 못했고 연말 쇼핑 시즌을 목표로 한다고 밝혔다. 나중에 뉴웰은 개발진이 마비 상태였고 약속한 날짜를 지키지 못해 큰 소동이 될 걸 알았다고 회고했다. 해킹 사실의 공개는 게임사가 내부 보안 사고를 팬에게 직접 설명한 이례적 사례였다.

겜베의 지인이 2003년 10월 2일 소스 엔진 코드를 P2P 네트워크에 올렸고 10월 7일에는 미완성 게임 빌드까지 유포됐다. 팬들은 유출 코드를 컴파일해 실제로 실행되는 버전을 만들어 돌려 봤고 개발 중인 게임의 미완성 상태가 그대로 드러났다. 유출은 개발진 사기에 큰 타격을 줬고 일정을 늦추는 요인이 됐다. 밸브는 결국 출시를 이듬해로 미루는 수밖에 없었다. 이 일은 대형 게임 유출 사고의 전형으로 이후 여러 사건과 비교됐다.

2004년 2월 14일 겜베는 뉴웰에게 이메일을 보내 자신이 침입 당사자임을 고백하고 미안하다고 밝혔다. 그는 자신이 밸브와 하프라이프의 열렬한 팬이며 악의는 없었다고 주장했고 밸브에서 일하고 싶다는 뜻을 비쳤다. 뉴웰은 이 접촉을 곧바로 FBI에 알렸고 FBI 지시에 따라 밸브가 연락을 이어 가며 함정 수사를 벌였다. 밸브는 미국에서 일자리 면접을 보자며 겜베를 유인하려 했다. 겜베는 당시 21세로 알려졌다.

겜베는 미국 면접이 함정이라는 것을 눈치채고 독일을 떠나지 않았고 결국 독일 당국에 체포됐다. 미국 수사기관은 입국 때 체포할 계획이었으나 독일 쪽이 먼저 움직였다. 보도에 따르면 체포는 2004년 중반이었다. 독일 수사에서는 밸브 내부망에 침투한 혐의가 중심이 됐고 소스코드를 직접 올렸는지는 입증되지 않았다. 이 사건은 국경을 넘는 게임업계 해킹 수사의 사례가 됐다.

하프라이프 2는 유출 사태 이후 일정이 크게 밀린 끝에 2004년 11월 16일 정식 출시됐다. 당초 약속한 2003년 9월 30일에서 1년 이상 늦어진 것이었다. 밸브는 이후 보안을 크게 강화해 기자들이 게임을 해 보려면 사무실로 직접 방문하도록 하는 등 사전 공개 방식을 바꿨다. 게임은 평단에서 큰 호평을 받았고 PC 게임 역사에 남는 작품으로 꼽힌다. 이 출시는 해킹으로 인한 최악의 지연이 결국 작품 완성도에는 타격을 주지 않았다는 평가의 근거로 거론된다.

독일 법원은 2006년 11월 겜베에게 밸브 네트워크 침입 혐의로 2년의 집행유예를 선고했다. 재판부는 피고인의 반성과 삶을 바꾸려는 의지를 참작한 것으로 전해졌다. 소스코드를 인터넷에 직접 올렸다는 점은 입증되지 않았다. 겜베는 이후 보안 분야에서 일자리를 얻었고 더 나은 데 시간을 쓸 수 있었을 것이라며 후회를 밝힌 것으로 알려졌다. 판결은 유출로 인한 금전적 피해 규모에 비해 가볍다는 평가도 낳았다.

영국 IT 매체 더 레지스터는 2008년 11월 14일 밸브가 FBI와 짜고 겜베를 유인하려 한 경위를 다뤘다. 보도에 따르면 겜베는 밸브 침입과 별개로 아고봇이라는 봇넷 프로그램의 제작자로 미국에서도 기소됐다. 그는 독일 쇠나우 출신으로 알려졌고 밸브에 구직 의사를 밝혔던 이력이 있었다. 겜베는 미국 방문 유인에 응하지 않고 독일에 머물렀다. 이 보도는 하프라이프 2 해킹이 단순한 팬의 일탈이 아니라 더 광범위한 해킹 활동과 연결돼 있었음을 보여 줬다.