니케 해킹 확인법과 대처: 감염 검사 순서와 AI에게 물을 때 지킬 것

9월 27일 뒤에 니케 PC 런처¹를 한 번이라도 켰다면, 그 PC 크롬에 저장된 비밀번호와 가상자산 지갑 정보가 남의 손에 넘어갔을 수 있다(외부 연구자 분석). 승리의 여신: 니케 운영진도 2026년 11월 5일 공지에서 PC와 바깥 계정, 자산까지 영향이 갈 수 있다며 니케 해킹 사고를 인정했다. 첫 확인은 메모장으로 로그 파일 하나를 열어 보는 것이고, 거기서 아무것도 안 나와도 백신 검사는 따로 한다. 같은 날 같은 질문을 두 AI에게 했다. 무료 ChatGPT는 처음에 평범한 기록으로 봤다가 답 중간에 웹 자료를 찾아 붙이며 감염 흔적이라고 고쳤고, 유료 Claude Opus는 첫 문장부터 감염 흔적이라고 짚었다.

• 9월 27일: 게임 서비스가 쓰던 바깥 주소를 남이 빼앗아, 런처가 받아 쓰는 파일에 악성 코드를 넣음
• 10월 30일부터: 악성 프로그램이 이용자 PC로 퍼짐
• 11월 4일 새벽: 긴급 업데이트
• 11월 5일: 공식 사과 · 점검 방법 공지. 모바일판은 영향 없음

나는 해당될까

기준 시각은 9월 27일 15시 41분(한국 시각)이다. 그 뒤로 Windows PC 런처를 한 번도 안 켰다면 해당하지 않는다.

니케 해킹 사건은 어떻게 일어났나

런처는 바깥 배포 서버에서 스크립트 파일을 받아 쓴다. 그 파일이 바꿔치기됐다. 니케는 시프트업이 만들고 레벨 인피니트가 서비스한다.

9월 27일, 일부 게임 서비스가 쓰던 바깥 주소(insightjs.com 도메인²)가 남 손에 넘어갔다. 공격자는 그 주소를 거쳐 레벨 인피니트 공식 배포 서버(CDN³)의 스크립트를 바꿔 놓았다고 보안뉴스는 전했다. 믿고 쓰던 바깥 부품을 통해 들어온 셈이라, BleepingComputer는 이를 ‘공급망 공격’⁴이라고 불렀다.

깔릴 수 있었던 건 원격 조종 프로그램(RAT)⁵이다. 바이라인네트워크가 전한 외부 연구자 보고서를 보면 파일을 내려받아 열고 화면을 찍는 등 19가지 명령이 들어 있었다. 브라우저에 저장된 비밀번호와 로그인 정보, 가상자산 지갑 정보도 빼 갈 수 있다고 한다. 크롬 정상 파일처럼 숨어서, 런처를 꺼도 남게 만들었다는 분석이다.

운영진은 10월 30일부터 퍼졌다고 밝혔다. 외부 연구자는 늦어도 10월 23일부터 실행 흔적을 봤다고 적었다.

니케 해킹 확인법, 공지는 어떤 순서를 권하나

런처가 PC에 그대로 있으면 자동 점검이 가장 쉽다. 런처를 지웠거나 내 눈으로 확인하고 싶다면 수동 점검을 한다. 어느 쪽이든 마지막 4단계(계정 · 백신 검사)는 꼭 한다.

우리 PC에는 니케가 깔려 있지 않아 이 로그를 직접 열어 보지는 못했다. 아래 순서는 11월 5일 올라온 공식 공지 두 편을 옮긴 것이다. 한국어 공지는 찾지 못해 영어 원문을 기준으로 삼았다.

자동 점검: 공식 PC 클라이언트로

11월 5일 오전 8시(한국 시각)부터 공식 PC 클라이언트에 이번 악성 프로그램을 찾아 지우는 기능(ACE)이 들어갔다(‘후속 조치’ 공지).

1. 크롬을 비롯한 브라우저를 모두 끈다. 덜 꺼지면 DLL⁶ 파일이 남을 수 있다. 공지는 남은 파일이 더는 실행되지 않는다고 적었다.
2. 니케 PC 클라이언트를 켠다.
3. 악성 프로그램이 발견되면 지울지 묻는 창이 뜬다. 동의하면 로그 · DLL · 레지스트리 항목을 한꺼번에 지운다. 창이 안 뜨고 게임이 그대로 켜지면 발견되지 않은 것이다.

수동 점검: 메모장으로

시작 전에 이 글이나 공식 수동 점검 공지(영어)를 휴대폰에 띄워 둔다. 1단계에서 PC 인터넷을 끊는다. 공지는 점검을 마칠 때까지 런처를 다시 켜지 말라고 권한다.

1. 끄고 끊기

PC 인터넷을 끊고 니케 · 런처 · 크롬을 모두 끈다. 화면 오른쪽 아래 알림 영역에 니케 아이콘이 남아 있지 않은지도 본다.

2. 로그에서 찾기

바탕화면 니케 아이콘을 오른쪽 클릭 → [파일 위치 열기]. Launcher\intl_service\debug.log를 오른쪽 클릭 → [연결 프로그램] → [메모장]. Ctrl + F로 k2f_chan registered를 찾는다.

글자가 나오면 악성 프로그램이 실행됐을 수 있다는 뜻이니 3단계로 간다. 안 나왔다고 안전한 건 아니다. 공지는 그때도 백신 전체 검사를 하라고 한다. 그 경우 4단계로 건너뛴다.

3. 감염 흔적이 나오면 대처하기

지울 것은 다섯 가지이고, 이 순서를 지킨다. 이름은 한 글자도 바꾸지 말고 공지 원문에서 복사해 붙인다. 같은 이름이 다른 위치에 있으면 그건 정상이니 건드리지 않는다.

지울 다섯 가지 자세히 보기

1. 레지스트리⁷ 항목 하나: Win + R → regedit → 주소 칸에 HKEY_CURRENT_USER\Software\Classes\CLSID를 붙이고, 그 아래 {E77CC89B-7401-4C04-8CED-149DB35ADD04} 항목이 있으면 지운다.
2. PC 다시 시작.
3. 크롬 폴더 안 하위 폴더 하나: Win + R → %LOCALAPPDATA%\Google\Chrome\User Data\ → PlatformExperienceHelper 폴더 안에서 이름이 64자리(숫자 0부터 9, 영문 소문자 a부터 f)이고 안에 platform_experience_helper.dll이 든 하위 폴더만 지운다. PlatformExperienceHelper 폴더째 지우면 안 된다. 크롬 정상 파일이 들어 있을 수 있다.
4. 런처 로그 파일 하나: 런처 설치 폴더의 Launcher\log\tinyget 안에서 크기가 205,135바이트(약 200KB)이고 이름이 tinyget.<날짜>-<시각>.log 모양인 파일만 지운다. 없으면 넘어간다.
5. 런처 임시 폴더: Win + R → %APPDATA%\nikke_launcher → tbs_cache 폴더를 통째로 지운다.

손으로 지우기가 자신 없다면 런처를 다시 깔아 자동 점검을 쓰는 방법도 있다. 자동 점검도 로그 · DLL · 레지스트리 항목을 지운다고 공지는 적었다.

4. 다른 기기에서 계정 지키고 백신 검사하기

여기는 모든 사람이 한다. 비밀번호는 감염되지 않은 기기에서, 또는 점검을 마친 PC에서 바꾼다.

1. 그 PC에서 쓴 계정의 비밀번호를 바꾼다. API 키⁸나 접속 토큰⁹을 둔 적이 있으면 기존 것을 끊고 새로 받는다.
2. 구글 · 디스코드 · 스팀 같은 계정의 보안 설정에서 ’모든 기기에서 로그아웃’을 누른다. 공지에는 없고 보안뉴스가 덧붙인 권고다. 로그인 상태(세션)¹⁰만 빼 가도 비밀번호 없이 들어갈 수 있어서다.
3. 백신을 최신으로 올려 전체 검사를 하고, Microsoft Defender 오프라인 검사¹¹도 돌린다. 둘 다 공지에 있다.

피해를 봤다면 어디에 신고하고 보상을 묻나

PC나 바깥 서비스 계정, 개인 자산에 피해를 봤다면 게임 안 고객센터로 문의하라고 운영진은 적었다. 하나씩 살펴보고 답하겠다는 말도 붙였다. 어떤 기준으로 보상하는지는 11월 5일 공지에 아직 없다.

보안뉴스는 경찰청 사이버범죄수사대와 한국인터넷진흥원(KISA)에도 신고하고 침해 흔적을 남겨 두라고 권했다. 흔적을 남기려면 PC 포맷은 신고한 다음으로 미루는 편이 낫다.

AI에게 해킹 로그를 물어봐도 될까

11월 5일까지 우리가 읽은 공지와 보도에는 이번 공격에 AI가 쓰였다는 말이 없었다. AI 이야기가 나온 건 피해를 알아챈 사람들 쪽에서였다.

월요신문은 리그 오브 레전드가 갑자기 안 켜진 이용자가 OpenAI의 코딩 AI Codex에 원인을 물었고, 그 답이 니케 런처를 가리켰다는 커뮤니티 글을 전했다. 롤의 부정행위 방지 프로그램 뱅가드가 DLL 바꿔치기를 감지해 롤 실행을 막았다는 설명이었다. 이용자 본인의 이야기라 따로 확인된 사실은 아니다.

니케 커뮤니티에도 런처 로그를 ChatGPT에 올려 악성 기록이 몇 번 나왔는지 물어본 이용자가 있었다.

답의 끝에서 ChatGPT는 다운로드 · 등록 · 시작 기록을 합쳐 6번 들어왔다고 세면 안 된다고 했다. 로그만으로는 원격 조종 횟수나 빠져나간 정보를 알 수 없다는 말도 붙였다.

이 캡처를 옮기다가, 로그 한 줄에 글쓴이의 Windows 사용자 이름이 그대로 찍혀 있는 걸 봤다. 위 그림에서는 그 부분을 가렸다.

그래서 우리는 파일을 올리지 않고 찾은 글자만 적어 보기로 했다. 11월 5일, ChatGPT 무료 계정에 넣은 질문은 아래 그대로다.

니케 PC 런처를 썼어. NIKKE\Launcher\intl_service\debug.log 파일을 메모장으로 열어
Ctrl+F로 찾아보니 "k2f_chan registered"라는 줄이 나와. 이게 무슨 뜻이고,
지금 무엇부터 해야 하는지 순서대로 짧게 알려 줘. 모르는 건 모른다고 말해 줘.

첫 문단은 이 글자를 채널 하나가 등록됐다는 평범한 기록으로 읽었다. 한 줄로는 확정할 수 없다고도 했다. 같은 답 안에서 ChatGPT가 이번 사고를 다룬 웹 자료를 찾아 붙인 뒤에야 판단이 바뀌었다.

이어진 ’지금 해야 할 일’은 공식 안내와 큰 줄기가 비슷했다. 계정 보호를 지우기보다 앞에 둔 것, 크롬 끄기가 빠진 것이 달랐다. 지우는 단계에서는 레지스트리나 DLL을 마음대로 지우지 말고 공식 절차를 따르라고 했다. 한 번 물어본 결과이니, 다시 물으면 다른 답이 나올 수 있다.

같은 날 밤, 같은 질문을 howtldr 운영자의 Claude 유료 계정에도 넣었다. 모델은 Opus 5.5, 대화가 기록에 남지 않는 시크릿 모드였다. howtldr은 글을 정리할 때 Claude를 쓴다. 그래서 고르지 않고 나온 화면 그대로 싣는다.

Opus는 런처에 들어간 자동 점검과 수동 점검 공지가 있다는 것까지 알고 있었다. 다만 공지에 없는 조언도 섞었다. 백신 검사만으로는 부족하니 Windows를 다시 설치하라고 했고, 런처 임시 폴더는 지우기 전에 증거로 복사해 두라고 했다. 공식 공지는 재설치를 말하지 않고, 그 폴더는 지우라고만 적었다. Opus는 독립 연구자들의 권고를 근거로 들었다.

답 곳곳에 ‘맥북’ · GitHub · Cloudflare 같은 말이 들어 있었다. 시크릿 모드였는데도 우리 계정에 적어 둔 설정이 반영된 것으로 보인다. 같은 질문이라도 독자가 물으면 이 부분은 달라진다.

한 번씩 물어본 결과지만 간극은 컸다. 무료 쪽은 답 중간에야 맞았고, 유료 쪽은 검색을 먼저 하고 첫 문장부터 맞았다. 유료 쪽은 공지보다 한 걸음 더 나간 조언도 했는데, 그 한 걸음을 따를지는 공지와 내 PC 사정을 보고 정할 일이다.

AI에게 물을 때 지킬 것

1. 로그 파일 대신 찾은 글자만 적는다. 꼭 올려야 하면 사용자 이름부터 지운다.
2. 질문 끝에 “이번 니케 런처 보안 사고 공지를 찾아보고 답해 줘”를 붙이거나 웹 검색을 켠다. 무료 ChatGPT 답도 웹 검색 뒤에야 맞게 바뀌었다.
3. 지울 이름과 재설치 여부는 AI 답이 아니라 공식 원문으로 정한다. 유료 모델도 공지에 없는 조언을 섞었다.
4. 비밀번호는 AI 창에 넣지 않는다. 바꾸는 일은 감염되지 않은 기기에서 직접 한다.
5. ChatGPT는 설정 → 데이터 제어의 ’모두를 위한 모델 개선(Improve the model for everyone)’을 끄면 대화를 모델 학습에 쓰지 않는다고 OpenAI 도움말은 적었다.

공지에 아직 없는 것

• 실제로 감염된 PC가 몇 대인지, 정보가 얼마나 빠져나갔는지
• 운영진이 밝힌 유포 시작일(10월 30일)과 외부 연구자가 본 첫 흔적(10월 23일)이 왜 다른지
• 게임 밖 피해를 어떤 기준으로 보상하는지

같은 PC로 니케를 하는 가족이 있다면, 기준 시각(9월 27일 15시 41분)과 debug.log 위치만 알려 줘도 스스로 확인할 수 있다.

용어 풀이

11개

1. 런처: 게임을 켜기 전에 먼저 뜨는 실행 프로그램. 업데이트를 받고 게임을 띄워 준다. ↩

2. 도메인: 인터넷 주소의 이름 부분(예: example.com). 쓰던 회사가 관리를 놓치면 남이 그 이름을 차지할 수 있다. ↩

3. CDN: 파일을 여러 곳에 복사해 두고 가까운 곳에서 빨리 내려 주는 배포망. 게임은 업데이트 파일을 주로 여기서 받는다. ↩

4. 공급망 공격: 목표를 직접 뚫지 않고, 목표가 믿고 받아 쓰는 바깥 부품(서비스 · 프로그램)을 먼저 오염시키는 공격. ↩

5. RAT(원격 조종 프로그램, Remote Access Trojan): 공격자가 멀리서 남의 PC를 조종하게 해 주는 악성 프로그램. ↩

6. DLL: 여러 프로그램이 함께 쓰는 Windows 프로그램 조각 파일. 진짜와 이름이 같은 가짜를 끼워 넣는 공격이 흔하다. ↩

7. 레지스트리: Windows가 프로그램 설정을 모아 두는 저장소. 잘못 지우면 프로그램이나 Windows가 제대로 돌지 않는다. ↩

8. API 키: 프로그램이 다른 서비스에 접속할 때 쓰는 비밀번호 같은 값. 개발자 · AI 도구 이용자가 PC에 두는 경우가 많다. ↩

9. 접속 토큰: 로그인을 마친 뒤 서비스가 내주는 출입증 같은 값. 이것만 있으면 비밀번호 없이 접속할 수 있어, 털렸다면 끊고 새로 받아야 한다. ↩

10. 세션: 로그인한 상태를 기억하는 값. 이것만 빼 가도 비밀번호 없이 계정에 들어갈 수 있다. ↩

11. Microsoft Defender 오프라인 검사: Windows를 다시 시작해 다른 프로그램이 돌기 전에 하는 검사. Windows 보안 → 바이러스 및 위협 방지 → 검사 옵션에서 고른다. ↩