문득 생각이 들었는데, 온라인 게임에서의 해킹 피해 복구라는걸 해주는게 당연하다라는 마인드에 대해서입니다.

 온라인 게임의 해킹 피해란, 자신이 아닌 누군가가 자신의 계정으로 접속해서, 아이템을 다른데 옮기거나 없애거나 캐릭터를 지우거나 하는 것 등이 있는데 말이죠.

 그래서 해킹 피해 신고를 하거나 신고기능이 없으면 여튼 그에 준하는 요청을 회사측에 했을 때, 그걸 복구해주지 않는 것이 원칙이 아닌가...라는 생각이 들었습니다.

 회사 측에서는 접속자가 본인인지 아닌지 알 수 있는 방법이라곤 없다시피한데 말이죠... 요즘이나 OTP 등이 퍼져있지만 전 정확히 OTP가 어떤 방식으로 돌아가는 시스템인지 모르겠으니 빼놓고 보겠습니다(OTP가 뭔지 모르는게 아니라, 저도 OTP 쓰고 있지만 그 '시간제한 걸린 일회용 비밀번호'라는걸 발급하고 인증하는 시스템의 구조를 정확히 파악하고 있지 않다는 뜻입니다).

 A라는 사용자가 오후 1시에 게임을 끄고, 다른 IP에서 3시에 접속해서 B라는 유저의 캐릭터에게 상당수의 아이템을 넘기고 로그아웃. 다음날 오전 11시에 다시 원래 IP에서 접속을 잠깐 했다가 곧이어 해킹피해 신고가 들어왔다는 상황을 가정해봅시다.

 회사는 A라는 아이디가 언제 어느 IP로 접속했는지 로그를 남겨놓고 있으며, 그가 3시에 B라는 유저와 거래를 한 것도 로그로 남겨서 알고 있다고 칩시다.

 아이템 피해의 경우, 이를 복구해주는 최선의 방법은 아이템을 잃기 전 상황으로 돌려놔 주는 것이겠죠. 긴 시간동안 저장은 못 할지언정, 특정 캐릭터의 아이템 소유상황은 로그가 가능하긴 할테니 복구해줄 수도 있을 것입니다. 위의 경우에는 B에게 제제를 가하는 동시에 A의 상태를 3시 이전으로 롤백시키는 방법이 동원될 수 있겠군요.

 다만 이것을 무작정 복구해주기에는, '정말로 해킹 사건이 맞는가'의 문제가 있습니다.

 게임 회사의 입장에서 A가 3시에 다른 IP로 접속한 것이 정말로 자기 자신이 아니라 다른 사람이 접속했는지 확신할 방법은 없습니다.

 다른 사람이라고 해도 정말로 본인의 동의 없이 접속한 타인인지 알 수 있는 방법이 없습니다.

 이걸 무분별하게 복구해주게 되면 어떤 사태가 일어나는가?  바로 '돈복사'가 됩니다.

 B로 옮겨진 아이템을 다시 A로 옮기는게 아니라, A가 그 아이템을 가지고 있던 상황으로 다시 돌리는 것이기 때문이죠. 다른 사람들에게 영향이 가지를 않습니다.

 물론 B 역시 해당 사건이 일어나기 전 상황으로 되돌린다면 결과적으로 B에 옮겨진 물건을 A에게 다시 되돌려주는 모양새가 되긴 합니다. 그런데 현실과 큰 차이가 있죠.

 이를 설명하는데에는 이 사건과 관계없는 제삼자, C를 등장시켜봅시다.

 A로부터 B에게 +7롱소드가 이동했습니다.

 B는 이를 경매장에 올렸고, C는 +7롱소드를 구입했습니다.

 이후 피해복구를 위해 A와 B 모두 이전 상황으로 돌아갔습니다.

 결과는 어떻게 되었나요?

 네, 그렇습니다. A와 C 둘 다 +7롱소드를 가지고 있게 되었습니다.

 현실세계라면 이런 일은 있을 수 없습니다. 이미 C에게 넘어간 물건이 오진 않죠. 같은 회사에서 만든 같은 모델인 동일제품을 새로 구할 수는 있겠지만, 몇날몇일을 동거동락하며 사지를 헤쳐오고 사실 손잡이에 좋아하는 여자애 이름을 몰래 적어둔 그 +7롱소드는 돌아오지 않습니다.

 그렇다고 해킹 피해 복구를 안 해주는게 말이 되느냐?

 저도 해킹 당한 적 있고, 그런 상황 되면 복구해줬으면...하는 마음이 당연히 있습니다. 다만 그걸 요구하는게 맞는 상황이 있고 틀린 상황이 있는겁니다.

 그 기준점으로 삼기 가장 좋은 건 역시 '누구의 책임으로 해킹을 당했는가?' 겠지요.

 뉴스에서도 나오듯 게임회사도 해킹을 당합니다. 유저들의 정보가 담긴 DB가 유출되면, 사실 모든 유저의 아이디/비번이 유출됬다고 봐도 되는 대형 사건이죠.

 개인이 해킹을 당하는 경우는 더더욱 비일비재합니다.

 그렇다면 누구 책임인지 알 수 있는 방법은 무엇인가?

 아쉽게도 그것은 현 상황에서 거의 존재하지 않는다고 보셔도 되겠습니다.

 이게 대체 무슨 소리인가?

 정보가 유출된 경우, 대체 언제 아이디 비번 정보가 유출되었는지 알 수 있는 방법이 없다고 보셔도 됩니다.

 악성코드 잡는 프로그램을 열심히 돌리고 계신가요?

 그래봤자 이미 만들어진 프로그램입니다.

 권투선수가 얼굴을 막고있으면 어딜 때리시겠습니까? 배를 때리겠죠?

 그런 해킹 프로그램과 해킹 방지 프로그램 사이의 관계는 그런겁니다.

 얼굴 맞으면 KO 당하니까 얼굴을 막으면, 배를 때리게 만들고. 배를 때리니까 배도 막게 만들면 옆구리를 때리게 만들고. 계속계속 업데이트 하면서 더 많은 곳을 막게 되지만, 계속계속 업데이트 하면서 더 많은 곳을 때리게도 되는겁니다.

 당신이 찾아낸 백도어 프로그램. 그게 이미 당신의 계정정보를 퍼다날른 뒤에 잡힌걸 수도 있지요.

 이는 회사에서도 마찬가지입니다. 게임회사 해킹당해서 DB유출됬다는 기사가 뜨죠? 그게 정말로 그 때 유출된걸까요? 아니면 유출되었다는걸 그때서야 발견한 걸까요? 답은 후자라는 거죠.

 하여튼 어디서 유출되었든 똑같은 정보(아이디 비번)입니다.

 그래서 결국엔 '지금 이 사태가 누구 책임인가?' 가 애매해지죠.

 초창기에 회사에서 전적으로 '유저의 관리소홀'로 밀어붙이다가, 회사측도 같은 정보를 관리하므로 회사측에도 책임이 있을 수 있음이 인정되는 방향으로 해서 판도가 바뀐 것으로 알고 있습니다.

 자 그럼 누구책임인지는 모르는 상황에서, 피해복구의 필요성은 서로 달라집니다.

 유저는 필요로 합니다. 자기는 억울한 피해자로 복구를 받아야할 입장이죠.

 회사는 필요로 하지 않습니다. 정확히는 복구를 해주기 위한 시스템의 구축을 필요로 하지 않습니다.

 앞서 이야기했듯 접속로그, IP로그, 거래로그, 채팅로그, 기타 등등...로그의 종류와 기한을 늘리고 추적할 방안이 많아질 수록 해킹피해 복구는 쉬워집니다.

 그런데 2주일 뒤에 내놓을 업데이트 준비로 바뻐죽겠는데, 혹은 새로 만드는 게임이라면 2달 뒤에 클베한다고 사장이 발표때려놔서 천수관음이 있어도 모자랄 판국인데, 그걸 그렇게 세밀하게 만들 짬이 있을까요.

 게임회사 사정은 유저가 알 바 아니라고 하실 수도 있습니다. 하지만 게임회사 사정을 아셔야합니다. 생산자의 입장을 아셔야 소비자의 입장에서 자신이 무엇을 감수하고 무엇을 중요시하며 어느정도면 만족하는지 수준을 가늠해야합니다. 내 회사 사정은 알 바 아니고 시간 정확하고 장식화려하고 브랜드 이름있고 디자이너 유명하고 고장 잘 안나고 기믹 들어가있고 생긴거 독특해서 맘에 드는 시계 하나 구입하시려면 8천만원 짜리 손목시계 이런거 밖에 없다는겁니다. 제한된 시간안에 혹은 제한된 자본 내에서 회사에서 ~~~짜리로 만들 수 있는 제품은 한계가 있습니다. 내가 어느 부분을 포기하고 어느 부분은 포기 안 할 것인지 정하셔야합니다.

 여튼 다시 본론으로 돌아가서, 7월 9일 오베! 라고 한 게임이 있다면 그 게임이 7월 9일 오베를 하기 위해 필요한 작업이 있고, 거기서 낼 수 있는 퀄리티에는 한계가 있습니다.

 누구 책임인지도 모르고 언제 터질지도 모르는 해킹사건사고, 그냥 가끔 피해복구 확정된 유저 캐릭 롤백하거나 새로 똑같은 아이템 생성해서 넣어두면 해결되는거 철저하게 아이템 추적해서 되돌려주게 만드려고 종족 3개 나올거 2개밖에 못내보내고, 50렙 만렙인데 40렙 던젼까지밖에 못내보내고 그런걸 원하시진 않으시겠죠? 지금만 해도 게임 이렇게밖에 못만드네 어쩌네 하는 사람들이 많은 판국에 해킹 당하기 전까지는 신경도 안쓸 시스템 만들라고 다른거 작업량 줄어도 이해할 사람이 얼마나 되겠습니까.

 이런저런거 다 집어치우고, 여튼 게임 만든건 게임회사니 게임회사에 책임이 있지 않은가? 이렇게 생각하실 수도 있죠.

 현실에서 절도를 한번 봅시다. 열쇠를 복사해서 빈집을 터는거에요. 열쇠가 계정/비밀번호 정보라고 보면 되겠죠.

 이 때, 이 열쇠를 너무 알기 쉬운 곳에 보관해서 들킨 것일 수도 있습니다. 아니면 어디 흘렸는데 모르고 있다가 누가 그걸 줏어다 쓴걸 수도 있죠.

 경찰은 이유가 어찌되었든 도난을 당했으면 일을 해 줍니다.

 결과적으로 '도둑'이 '집주인'에게 피해를 보상하는 방향으로 움직이도록 협조해주죠(형사로 넘어가면 예외).

 아마도 이런 인식이 게임회사에도 빗대어져 적용되고 있는 것 같습니다.

 범인은 범인대로 잡고, 피해입은 유저는 선량한 일반 시민이니 복구해주고(다행히 현실보다 복구가 훨씬 쉬운 가상세계이니 만큼), 게임 관리 입장에서 당연히 그래야 하는 것 아니냐라는 거겠죠.

 그런데 게임회사의 입장은 정확히는 경찰에 들어맞지는 않습니다. 어디에 들어맞느냐? 바로 '털린 집의 잠금장치'를 담당하는 회사죠.

 비밀번호로 현관문 열고 들어가는 시스템 다들 아실겁니다. 아파트에 특히 많죠.

 그 비밀번호가 유출되어서 집이 털렸습니다. 어떤 경로인지는 모르겠네요.

 그럼 이 잠금장치를 만든 회사가 털린 집 재산을 복구해주기 위해 노력해야하는 걸까요?

 상식적으로 생각해보시면 아니라는 답을 내실 수 있으실겁니다.

 물론, 잠금장치를 만든 보안회사와 게임회사가 완전히 동일하지는 않습니다. 하지만 그 회사에서 준비해준 가장 정상적인 방법인 아이디와 비번으로 유저는 접속했고(비록 본인이 아니라도), 그런데도 유저는 그것에 대한 책임을 게임회사에 무작정 물으며 해킹을 안해주면 망한 회사네 뭐네 한다... 안타까울 수 밖에 없는 모습이죠.

 "해킹피해복구를 회사가 안해줘도 되는게 맞다니, 재판 판결도 나온 상황에 무슨 헛소리냐"

 이런 소리 들을만한 글이긴 합니다만, 게임관련 공부하는 사람이기 이전에 저 역시 해킹을 당해본 게이머 한 명으로 너무 널리 퍼진 이런 인식은 좀 아니지않나...해서 글을 남겨봤습니다.