게임사의 공식 홈페이지에서 내려받은 프로그램을 실행했는데 악성코드에 감염됐다면 누구에게 책임을 물어야 할까요?
2026년 11월 4일, 국내 게임사 시프트업이 개발한 '승리의 여신: 니케'의 PC 실행 프로그램이 해킹 공격에 악용됐다는 의혹이 보도됐습니다.
공개된 보안 분석자료에 따르면 게임 실행 과정에서 불러오는 일부 파일이 변조됐고, 이를 통해 외부 공격자가 이용자 PC에 원격제어 악성 프로그램을 설치할 수 있었던 것으로 분석됐습니다.
해당 악성 프로그램은 PC 내부 파일에 접근하거나 화면을 촬영하고, 브라우저에 저장된 비밀번호와 인증 정보 등을 탈취할 수 있는 기능을 갖춘 것으로 알려졌습니다.
다만 실제 감염자 수와 개인정보 유출 규모는 확인되지 않았으며, 관련 사업자의 법적 책임 역시 확정되지 않은 상태입니다.
이번 사안을 계기로 공식 프로그램을 통한 해킹 피해가 발생했을 때 이용자가 어떤 법적 대응을 검토할 수 있는지 살펴보겠습니다.
공식 프로그램을 이용했다면 게임사에 책임을 물을 수 있을까?
일반적으로 게임 이용자는 공식 홈페이지에서 제공하는 프로그램을 정상적인 서비스의 일부로 인식합니다.
그러나 공식 프로그램을 통해 악성코드가 유포됐다는 사실만으로 게임사의 손해배상책임이 자동으로 인정되는 것은 아닙니다.
「민법」 제390조는 채무불이행으로 인한 손해배상책임을, 제750조는 고의 또는 과실에 의한 위법행위로 타인에게 손해를 가한 경우의 불법행위책임을 규정하고 있습니다.
따라서 이용자가 게임사 등에 손해배상을 청구하려면 서비스 제공자가 부담하는 계약상 의무 또는 법률상 주의의무를 위반했는지, 그로 인해 실제 손해가 발생했는지 등을 검토해야 합니다.
특히 공식 실행 프로그램이나 배포 서버에 대한 관리 권한, 보안조치 이행 여부, 침해사고를 인지한 시점과 이후 대응 과정이 중요할 수 있습니다.
외부 공격자가 시스템에 침입했다는 사정만으로 서비스 제공자의 책임이 당연히 면제되는 것도 아니지만, 공격을 당했다는 사실 자체가 곧바로 과실을 의미하는 것도 아닙니다.
개발사와 배급사가 다르다면 누구를 상대로 청구해야 할까?
이번 사건에서는 게임 개발사와 서비스 운영 주체가 구분된다는 점도 살펴볼 필요가 있습니다.
'승리의 여신: 니케'는 시프트업이 개발했으며, 텐센트 계열 레벨인피니트가 해외 서비스와 PC 런처 제공에 관여하고 있습니다.
이처럼 여러 회사가 게임의 개발·배포·운영에 참여하는 경우에는 실제 보안관리 의무를 부담한 주체를 확인해야 합니다.
예를 들어 문제가 발생한 서버와 배포 파일을 어느 회사가 관리했는지, 이용자와의 서비스 계약은 누구와 체결됐는지, 각 회사가 사고 예방을 위해 어떤 역할을 담당했는지에 따라 책임 판단이 달라질 수 있습니다.
개발사라는 이유만으로 모든 책임을 부담한다고 볼 수 없으며, 반대로 배급사만 책임을 부담한다고 단정할 수도 없습니다.
각 사업자의 역할과 구체적인 의무 위반 여부가 확인돼야 합니다.
계정 정보가 탈취됐다면 개인정보 보호법도 적용될까?
악성 프로그램을 통해 이용자의 로그인 정보나 개인정보가 탈취됐다면 「개인정보 보호법」(이하 '개인정보 보호법') 적용 여부도 문제 될 수 있습니다.
개인정보 보호법 제29조는 개인정보처리자에게 개인정보의 안전성 확보를 위한 필요한 조치를 하도록 규정하고 있습니다.
같은 법 제39조는 개인정보처리자의 법 위반으로 손해를 입은 정보주체의 손해배상 청구를 규정하고 있으며, 제39조의2는 일정한 요건에서 300만 원 이하의 범위로 법정손해배상을 청구할 수 있도록 하고 있습니다.
그러나 여기서 주의할 부분이 있습니다.
이용자 개인의 PC에 저장된 정보가 악성코드에 의해 탈취된 경우와 게임사가 관리하는 개인정보가 유출된 경우는 법적으로 구별해야 한다는 점입니다.
공식 실행 프로그램이 공격에 악용됐다는 사정만으로 게임사가 관리하는 개인정보의 유출이나 개인정보 보호법 위반이 곧바로 인정되는 것은 아닙니다.
개인정보 보호법에 따른 책임을 검토하려면 해당 사업자가 처리하는 개인정보의 범위, 실제 침해 경위, 안전조치의무 위반 여부 등을 확인해야 합니다.
비밀번호나 가상자산을 탈취당했다면 무엇을 입증해야 할까?
실제 피해가 발생했다면 우선 손해의 내용과 발생 경위를 확인할 필요가 있습니다.
게임을 실행한 이후 계정이 탈취되거나 금전적 피해가 발생했다고 하더라도, 그 원인이 반드시 해당 게임의 PC 런처에 있다고 단정할 수는 없습니다.
따라서 게임 실행 시점과 악성코드 감염 정황, 비정상적인 계정 접근 기록, 금전적 피해 발생 시점 등을 함께 살펴봐야 합니다.
손해배상 청구를 검토할 때에는 다음과 같은 자료가 중요할 수 있습니다.
게임 프로그램 설치 및 실행 기록
보안 프로그램의 악성코드 탐지 결과
비정상적인 로그인 및 계정 접속 내역
개인정보 또는 인증 정보 탈취 정황
가상자산 출금 내역 등 금전적 피해 자료
게임사 공지와 고객센터 문의 및 답변 기록
특히 악성코드 감염이 의심되는 경우 추가 피해를 방지하는 조치와 증거 보존을 함께 고려해야 합니다.
비밀번호 변경과 기존 로그인 세션 해제 등은 안전한 다른 기기에서 진행하는 것이 바람직합니다.
감염 기록이 남아 있는 파일을 무분별하게 삭제하면 피해 원인을 입증하는 데 어려움이 생길 수 있으므로, 필요한 경우 전문적인 보안점검을 통해 관련 자료를 확보할 필요도 있습니다.
실제 피해가 확인되지 않아도 손해배상을 청구할 수 있을까?
해킹 위험에 노출됐다는 사실과 법적으로 배상받을 수 있는 손해가 발생했다는 사실은 구별해야 합니다.
악성코드 감염 위험이 있었다는 사정만으로 민사상 손해배상청구가 당연히 인정되지는 않습니다.
실제 감염 여부, 개인정보 유출 여부, 피해 발생 내용, 사업자의 의무 위반 여부 등을 확인해야 합니다.
다만 개인정보처리자의 법 위반으로 인한 개인정보 유출등이 인정되는 경우에는 개인정보 보호법 제39조의2에 따른 법정손해배상 제도가 문제 될 수 있습니다.
이 제도는 일정한 요건에서 실제 손해액을 구체적으로 증명하기 어려운 경우에도 법원이 법정 범위 안에서 상당한 손해액을 인정할 수 있도록 하는 규정입니다.
그러나 해당 규정 역시 개인정보처리자의 고의 또는 과실로 인한 개인정보 유출등이라는 법정 요건이 충족돼야 적용할 수 있습니다.
따라서 일반적인 악성코드 감염 위험만으로 법정손해배상을 청구할 수 있다고 단정해서는 안 됩니다.
해킹 사고에서는 피해 사실과 책임 주체를 구별
이번 니케 PC 런처 해킹 의혹은 이용자가 정상적인 경로로 프로그램을 설치하고 실행했더라도 보안 위험에 노출될 수 있다는 점을 보여줍니다.
다만 공식 프로그램을 통한 공격 가능성이 확인됐다는 사실과 특정 사업자에게 민사상 손해배상책임이 성립한다는 판단은 별개의 문제입니다.
실제 피해를 입은 이용자라면 감염 경위와 손해 발생 자료를 확보하고, 관련 사업자의 보안관리 의무와 사고 대응 과정 등을 종합적으로 검토할 필요가 있습니다.
또한 개발사와 배급사, 실제 프로그램 운영 주체가 서로 다른 경우에는 책임 주체를 구별하는 과정도 중요합니다.
법무법인 소울 정동 분사무소는 온라인 서비스 이용 과정에서 발생하는 해킹 피해와 관련 법률문제에 대해 구체적인 사실관계 및 증거자료를 토대로 필요한 법률적 대응 방안을 검토하고 있습니다.
로톡의 모든 콘텐츠는 저작권법의 보호를 받습니다.
콘텐츠 내용에 대한 무단 복제 및 전재를 금지하며, 위반 시 민형사상 책임을 질 수 있습니다.