2026년 승리의 여신: 니케 PC 클라이언트 해킹 사고

1. 개요

2026년 11월 3일 밤부터 4일 새벽 사이, 모바일 게임 '승리의 여신: 니케'의 PC 런처가 실행될 때 불러오는 레벨 인피니트(텐센트)의 공식 배포 서버(CDN) 파일이 지난 9월 27일 변조돼 이용자 PC에 원격 제어 악성코드가 설치됐을 수 있다는 사실이 드러났다. 이용자 커뮤니티와 독립 보안 연구자의 기술 보고서를 통해 알려졌고, 연합뉴스·인벤 등 여러 매체가 11월 4일 이를 보도했다.

문제가 된 것은 가짜 설치 파일이나 불법 프로그램이 아니라 공식 런처가 정상적으로 내려받는 파일이었다. 따라서 이용자가 별다른 잘못을 하지 않았어도 런처를 한 번 실행한 것만으로 감염될 수 있었다는 점이 사안을 무겁게 만들었다. 다만 실제로 정보가 얼마나 유출됐는지, 공격자가 누구인지는 보도 시점까지 밝혀지지 않았다.

2. 서버 변조와 악성코드의 구조

연합뉴스와 중앙이코노미뉴스가 전한 깃허브 기술 보고서에 따르면, 레벨 인피니트가 쓰는 CDN 서버의 자바스크립트 파일이 9월 27일 신원 미상의 공격자에 의해 변조됐다. 나무위키 문서는 변조된 파일을 3개(aegis-fix.min.js, images.7fec4c32.js, FeedList.feb647c9.js)로 적었고, 인벤은 보고서가 공식 서버 파일 4개에 외부 악성 프로그램을 불러오는 명령어가 심어졌다고 분석했다고 전했다. 파일 수를 두고 출처마다 서술이 다르다. 이 파일들은 모두 니케 PC 런처를 켜면 자동으로 작동한다. 이 때문에 변조된 코드가 외부 서버(insightjs.com, insightjs.org)에서 추가 스크립트를 내려받는 로더 구실을 하게 됐다고 한다.

일단 설치되면 이 에이전트는 정해진 정보만 빼가는 프로그램이 아니라 운영자가 원격으로 명령을 내리는 원격 접근 도구에 가까운 것으로 분석됐다. 나무위키 문서가 정리한 기능은 임의의 프로그램 실행, PC 내 파일 열람·다운로드, 전체 모니터 스크린샷 촬영, 브라우저에 저장된 비밀번호와 쿠키 수집, 개발 도구 키·토큰 수집, 암호화폐 지갑 파일 28종 검색 등이다. 크롬 설치 경로에 악성 DLL을 심어 런처를 끈 뒤에도 계속 동작할 수 있게 하는 지속성 수단과, 감염 흔적을 지우는 루틴까지 들어 있었다고 한다. 인벤 보도에 따르면 프로톤(Proton)으로 게임을 돌리는 리눅스와 스팀 덱 이용자도 같은 위험에 노출된다.

감염 시점도 출처마다 다르다. 나무위키 문서는 9월 27일부터 런처를 한 번이라도 실행했다면 설치될 수 있었다고 서술했다. 반면 연합뉴스와 인벤은 보고서 게시자가 늦어도 10월 24일부터 감염이 가능했다고 봤다며, 10월 24일 이후 런처를 실행한 이용자를 감염 위험 대상으로 지목했다.

3. 발각과 공론화

나무위키 문서에 따르면 사건이 드러난 것은 11월 3일 오후 9시경이다. 니케 마이너 갤러리의 한 유동닉이 전날까지 잘 되던 리그 오브 레전드가 갑자기 실행되지 않는 이유를 찾다가, 뱅가드가 하이재킹된 DLL을 감지해 게임 실행을 막고 있다는 사실을 알게 됐다. 조사해 보니 그 DLL은 니케 런처로 설치된 것이었고, 프록시를 켠 채 런처를 실행해 보니 런처 자체가 해킹됐다는 정황까지 나왔다고 한다. 이 이용자는 한국인터넷진흥원 산하 침해사고대응팀에 신고하는 한편 자신의 깃허브로 검사기를 배포하며 위험을 알렸다.

그러나 최초 공론화 글은 갤러리 매니저가 제보자를 분탕으로 규정해 글을 지우고 제보자를 차단하는 바람에 원본을 확인할 수 없는 상태라고 나무위키 문서는 적었다. 한편 인벤은 중국 게임 커뮤니티 NGA 이용자들이 이상 징후를 발견하면서 의혹이 시작됐다고 전했고, 대만 게임 포럼 바하무트에서는 일본 서버 이용자 여러 명의 기록에서도 같은 흔적이 나왔다는 제보가 이어졌다고 한다. 인벤에 따르면 보고서는 3일 깃허브에 공개됐고, 이튿날 아침 국내 언론이 이를 보도했다.

4. 서버 정상화와 회사의 대응

변조 파일은 4일 새벽에야 정상 파일로 바뀌기 시작했다. 인벤이 전한 보고서 내용으로는 변조된 파일 4개 중 3개가 한국 시간 4일 오전 2시 4분부터 2시 21분 사이에 교체됐다. 나머지 1개는 10월 28일 원본 서버에서 이미 수정됐지만, 4일 오전 7시 26분까지도 일부 지역 배포 서버 두 곳에서는 변조된 파일이 계속 내려받아졌다. 나무위키 문서는 이와 달리 새벽 2시경 변조된 js 파일 2개가 교체됐고 나머지 1개는 10월 28일에 정리돼 있었다고 적었다. 같은 문서는 4시까지도 일부 CDN 서버가 변조본을 제공했으며, 공격자가 3시 30분경 서버 응답을 끊고 달아났다고 서술했다.

회사 측의 공식 입장은 보도 시점까지 제한적이었다. 레벨 인피니트는 연합뉴스 질의에 "내부 확인 중"이라고만 답했다. 인벤은 4일 오전 기준 개발사 시프트업과 레벨 인피니트 양사의 공식 채널에 관련 입장이 올라오지 않았다고 전했다. 세이프타임즈는 서버 파일을 교체하는 것과 이미 이용자 PC에 내려받은 악성 프로그램을 제거하는 것은 별개라고 짚었다. 배포 경로를 정상화한 뒤에도 기존 감염 여부를 확인하고 필요한 조치를 안내하는 절차가 남는다는 것이다.

5. 이용자 대응 요령

보고서 게시자와 나무위키 문서가 공통으로 안내한 감염 확인법은 게임 설치 경로의 Launcher\intl_service\debug.log를 열어 'k2f_chan'이라는 문구가 있는지 찾는 것이다. 이 문구가 있으면 에이전트가 실행된 흔적으로 본다. 한 레딧 게시물에서도 debug log에 k2f_chan이 보이고 "registered"라고 적혀 있으면 즉시 니케를 삭제하고 모든 비밀번호를 바꾸라고 권했다.

다만 기록이 없다고 안심할 수는 없다는 것이 연구자의 설명이다. 악성코드에 흔적을 지우는 루틴이 있어, 사후 점검에서 아무것도 보이지 않아도 유출이 없었다고 단정할 수 없기 때문이다. 감염이 의심되면 인터넷을 끄고 나무위키 문서에 적힌 악성 캐시 폴더와 DLL, 레지스트리 키를 삭제하라고 한다. 이후 안전한 다른 기기에서 비밀번호를 바꾸고 기존 로그인 연결을 모두 끊으며, 가상자산은 새 지갑으로 옮기고 개발자용 보안 키는 폐기하라는 권고가 이어졌다. 공식 해결 공지가 나오기 전에는 PC 런처 실행을 멈추라는 당부도 있었다.

6. 진위 논란

핵심 쟁점은 이번 사고가 실제 대규모 정보 탈취로 이어졌다고 봐야 하는지, 그리고 침투 경로와 범위를 지금 알려진 대로 받아들일 수 있는지다.

6.1. 심각한 피해로 봐야 한다는 쪽

이쪽은 악성코드의 성격을 가장 큰 근거로 든다. 설치된 것이 단순한 정보 탈취기가 아니라 원격 제어 에이전트라면, 공격자는 임의의 프로그램 실행부터 파일 열람, 스크린샷 촬영, 저장된 계정과 지갑 정보 수집까지 사실상 무엇이든 할 수 있었다. 게다가 나무위키 문서에 따르면 흔적을 지우는 루틴과 로그가 남지 않는 구조 탓에 피해자는 무엇이 언제 얼마나 빠져나갔는지 확인할 방법이 없다. 감염 흔적이 없다는 사실이 곧 안전을 뜻하지 않는다는 점에서 최악을 가정해야 한다는 논리다.

노출 범위도 넓다. 공식 런처를 켜기만 하면 감염될 수 있었고, 변조 시점은 9월 27일로 알려져 있다. 윈도우 이용자뿐 아니라 리눅스와 스팀 덱 이용자도 위험하고, 일본 서버 이용자의 기록에서도 같은 흔적이 보고됐다. 에펨코리아에 올라온 한 이용자의 글은 일부 이용자들이 컴퓨터를 통째로 포맷해야 할지 고민할 만큼 상황을 심각하게 받아들이고 있음을 보여준다. 이 글에는 Windows 자격 증명과 브라우저 비밀번호, AI 코딩 도구와 깃허브 정보까지 털렸다는 주장도 담겼다. 나무위키 문서의 기능 목록(Windows 자격 증명 관리자 덤프 수집 등)은 이런 우려와 맞닿는다.

6.2. 단정하기 이르다는 쪽

반대편은 "할 수 있다"와 "했다"는 다르다고 맞선다. 세이프타임즈는 악성 프로그램에 그런 기능이 있다는 분석만으로 실제 정보 탈취가 이뤄졌다고 단정할 수는 없고, 피해 인원과 유출 정보의 종류·규모도 확인되지 않았다고 지적했다. 인벤에 따르면 연구자도 안전을 위해 악성 프로그램 본체를 직접 작동시키지 않고 코드 구조만 분석했다. 또 윈도우에 저장된 일반 비밀번호를 모두 빼가는 수준은 아니고 개발 도구와 관련된 정보만 읽어가는 구조라고 했다. 에펨코리아 글이 전한 "윈도우 자격 증명까지 다 털렸다"는 식의 이야기와 다르고, 나무위키 문서의 설명과도 차이가 난다.

침투 경로를 둘러싼 설명도 하나로 모이지 않았다. 에펨코리아에 옮겨 적힌 한 커뮤니티 글은 니케 자체가 해킹된 것이 아니라 레벨 인피니트가 관리하던 도메인 두 개가 만료됐고, 이를 알아낸 해커가 그중 하나를 사들여 악성코드를 올렸다고 주장했다. 이 글은 최초 유포일을 9월 27일로 봤다는 점에서 보고서와 같지만, CDN 서버 자체가 해킹됐다는 연합뉴스·인벤의 설명과는 원인이 다르다. 공격자가 어떻게 공식 배포 서버의 파일을 바꿀 권한을 얻었는지는 인벤 보도에서도 아직 밝혀지지 않았다고 했다. 모바일 앱이 영향을 받았는지, 한국 이용자에게 배포된 파일도 같은 경로를 썼는지는 추가 확인이 필요하다는 것이 세이프타임즈의 입장이다. 인벤도 이번 의혹은 PC 런처가 불러오는 파일에서만 발견됐고 모바일 환경의 영향은 확인할 수 없다고 했다.

결국 서버 변조와 악성코드 삽입 자체는 보고서와 여러 매체 보도가 일치하지만, 실제 유출 규모와 침투 경위는 회사의 공식 조사 결과를 기다려야 하는 상태다.

7. 여담

에펨코리아에 옮겨진 해외 익명 게시판 글에는 니케뿐 아니라 PUBG 모바일, 델타 포스, 왕자영요 등 텐센트 계열 게임 여럿이 해킹됐다는 목록이 올라왔고, 텐센트 전체가 당했다는 말이 돈다는 이야기가 있었다. 그러나 이를 뒷받침하는 근거는 확인되지 않았고, 이번 보도들도 PC 런처 한 곳만을 지목했다. 같은 에펨코리아 글에서는 이에 분노한 중국인들이 런처를 해킹했다는 주장도 나왔으나 역시 확인되지 않았다.
같은 게시물의 한 이용자는 PC 클라이언트가 없는 '아웃랜더스'는 이번 일과 무관하다고 적었다.
사고가 알려지기 며칠 전인 10월 29일, 니케는 전 세계에 4주년 업데이트를 적용했다.

8. 출처 및 관련 링크

AI가 교차 확인한 내용

추정 발생 시기2026년 9월 ~ 2026년 11월

공격 시작 시점과 공론화 시점이 갈려 범위로 적었다. 연합뉴스, 인벤, 중앙이코노미뉴스, 나무위키, 에펨코리아 게시물이 모두 변조·최초 유포를 2026년 9월 27일로 말한다. 사고가 알려진 것은 2026년 11월 3일 밤~4일 새벽이다. 연합뉴스, 인벤, 중앙이코노미뉴스는 감염 위험이 확인된 시점을 10월 24일 이후로 설명한다. 나무위키와 에펨코리아 게시물은 9월 27일부터 실행한 사람이 위험하다고 본다.

연대표

시기 ▲	사건
2026년 9월	레벨 인피니트의 CDN 서버 파일이 9월 27일 공격자에게 변조돼 '니케' PC 런처를 통한 악성코드 유포가 시작된 것으로 지목됐다.
2026년 10월	연합뉴스, 인벤, 중앙이코노미뉴스에 따르면 보고서 게시자는 늦어도 10월 24일부터 PC 런처 실행 이용자가 감염 위험에 노출됐다고 봤다.
2026년 10월	변조된 파일 중 1개가 10월 28일 원본 서버에서 정리됐다(인벤, 나무위키).
2026년 11월	11월 3일 밤~4일 새벽 사이 PC 런처 악성코드 의혹이 공론화되고 깃허브 보고서가 공개됐다.
2026년 11월	11월 4일 새벽 변조 파일들이 정상 파일로 교체됐으나, 일부 배포 서버에는 변조본이 한동안 남아 있었다.

확인된 사실

'승리의 여신: 니케' PC 런처가 해킹 피해로 악성코드 유포 경로가 됐다는 의혹이 2026년 11월 3~4일 불거졌다. 연합뉴스, 인벤, 세이프타임즈, 중앙이코노미뉴스, 나무위키가 이를 다뤘다.
텐센트 산하 레벨 인피니트의 공식 배포 서버(CDN) 파일이 2026년 9월 27일 신원 미상의 공격자에게 변조된 것으로 지목됐다. 연합뉴스, 인벤, 중앙이코노미뉴스, 나무위키가 같은 내용을 전한다.
PC 런처를 실행하면 변조된 파일이 작동한다. 그러면 외부 서버에서 원격 제어 악성코드가 내려받아져 실행될 수 있다. 연합뉴스, 인벤, 중앙이코노미뉴스, 나무위키가 이렇게 설명한다.
감염되면 공격자는 이용자 권한으로 임의 명령을 실행하고 파일에 접근하며 화면을 캡처할 수 있다. 브라우저에 저장된 계정 정보와 가상화폐 지갑 데이터도 탈취 대상으로 지목됐다. 연합뉴스, 인벤, 중앙이코노미뉴스, 나무위키, 에펨코리아 게시물이 공통으로 전한다.
이 내용은 깃허브에 올라온 개인 보안 연구자의 기술 보고서에 근거한다. 연합뉴스, 인벤, 세이프타임즈, 중앙이코노미뉴스가 보도했다.
감염 여부는 게임 설치 폴더의 Launcher/intl_service/debug.log에서 'k2f_chan' 문구가 있는지로 확인할 수 있다고 안내됐다. 인벤과 나무위키가 이를 전하고, 에펨코리아 게시물과 레딧 게시물도 같은 'k2f_chan' 기록을 언급한다. 인벤은 기록이 없다고 안심할 수는 없다고 덧붙였다.
권고 조치는 공식 조치 전까지 PC 런처 실행을 중단하는 것이다. 브라우저에 저장된 계정 비밀번호를 바꾸고 가상화폐 지갑 등을 보호하라는 내용도 있다. 연합뉴스, 중앙이코노미뉴스, 인벤, 나무위키가 이를 전한다.
문제가 된 것은 PC 런처다. 인벤은 보고서만으로는 모바일 앱에 영향이 있는지 확인할 수 없다고 했고, 세이프타임즈도 모바일 앱 영향 여부는 추가 확인이 필요하다고 했다.
인벤과 나무위키는 Windows PC뿐 아니라 프로톤으로 구동하는 리눅스·스팀 덱 이용자도 같은 위험에 노출된다고 전했다.
공격자의 정체와 공격자가 CDN을 변조할 권한을 얻은 경위는 밝혀지지 않았다. 실제 피해 규모도 확인되지 않았다. 인벤, 나무위키, 세이프타임즈가 공통으로 말한다.
변조 파일은 2026년 11월 4일 새벽 정상 파일로 교체됐다. 나머지 1개는 이미 10월 28일에 수정돼 있었다. 그러나 일부 배포 서버에서는 이후에도 변조본이 한동안 내려받아졌다. 인벤과 나무위키가 이를 전한다.
연합뉴스 질의에 레벨 인피니트 측은 "내부 확인 중"이라고 답했다. 연합뉴스와 중앙이코노미뉴스가 보도했다. 인벤은 4일 오전 기준으로 공식 채널에 관련 입장이 올라오지 않았다고 전했다.
'니케'는 시프트업이 개발하고 텐센트 산하 레벨 인피니트가 서비스·퍼블리싱한다. 연합뉴스, 인벤, 세이프타임즈, 중앙이코노미뉴스가 이를 전한다.

쟁점

감염 위험 시작 시점이 다르다. 연합뉴스와 중앙이코노미뉴스는 보고서 게시자가 10월 24일 이후 실행한 이용자를 감염 위험 대상으로 봤다고 했다. 인벤은 늦어도 10월 24일부터 악성 프로그램이 설치·실행될 수 있었다고 했다. 반면 나무위키와 에펨코리아 게시물은 9월 27일부터 한 번이라도 실행했다면 위험하다고 본다.
변조된 파일 수가 다르다. 인벤은 4개라고 했고 나무위키는 js 파일 3개라고 했다. 연합뉴스와 중앙이코노미뉴스는 '자바스크립트 파일'이라고만 했다.
해킹 경로 설명이 다르다. 에펨코리아 게시물이 인용한 커뮤니티 글은 레벨 인피니트가 관리하던 도메인 두 개가 만료됐고, 해커가 그중 하나를 사들여 악성코드를 올렸다고 한다. 이는 CDN 서버의 파일이 변조됐다는 연합뉴스, 인벤, 나무위키의 설명과 다르다. 같은 글은 '니케' 자체가 해킹당한 것은 아니라고 했다.
에펨코리아 게시물이 인용한 해외 커뮤니티 글은 텐센트 전체와 여러 게임(PUBG MOBILE, 델타포스 등)이 해킹당했다고 주장한다. 다른 출처들은 '니케' PC 런처만 다루며, 이 주장을 확인해 주지 않는다.
최초 발견·공론화 주체 설명이 다르다. 인벤은 중국 게임 커뮤니티 NGA 이용자들이 이상 징후를 발견하면서 의혹이 시작됐다고 했다. 나무위키는 11월 3일 밤 니케 마이너 갤러리의 한 이용자가 롤 실행 차단 원인을 조사하다 최초로 공론화했다고 한다.
깃허브 보고서 공개일이 다르다. 인벤은 3일에 공개됐다고 했고, 연합뉴스, 중앙이코노미뉴스, 세이프타임즈는 4일 올라왔다고 썼다.
정상 파일 교체 후에도 변조본이 남은 시간이 다르다. 인벤은 4일 오전 7시 26분까지 일부 지역 배포 서버 두 곳에서 변조본이 내려받아졌다고 했다. 나무위키는 4일 새벽 4시까지도 일부 CDN 서버가 변조본을 제공했다고 한다.
탈취되는 정보 범위 설명이 다르다. 인벤은 윈도우에 저장된 일반 비밀번호를 모두 빼가는 수준은 아니고 개발 도구 관련 정보만 읽어가는 구조라고 했다. 나무위키는 Windows 자격 증명 관리자 덤프 수집 기능이 있다고 한다. 에펨코리아 게시물이 인용한 글도 Windows Credential 등이 털렸다고 주장한다. 세이프타임즈는 이런 기능이 있다는 분석만으로 실제 탈취가 이뤄졌다고 단정할 수 없다고 했다.