600만명 개인정보 유출… 게임업계 전반에 번진 보안 불신
보안 투자, ‘3N’ 간 격차 뚜렷… 성장 속도와 정반대 행보 지적
넥슨, 보안 투자 최상위… 크래프톤·넷마블은 아쉬워

넷마블에서 600만 명이 넘는 개인정보가 유출된 해킹 사건을 계기로, 국내 게임업계의 보안 투자 격차와 ‘투자 공백’ 문제가 다시 도마 위에 오르고 있다. 글로벌 확장과 멀티플랫폼 전략을 가속화하고 있는 게임 산업은 해커들의 주요 표적이 된 지 오래지만, 대형 게임사 간 보안 인력·예산 투자 수준은 여전히 들쭉날쭉한 상태다. 넷마블 사태는 국내 게임업계의 구조적 취약성이 그대로 노출된 것이라는 지적이 나오고 있다.

넷마블은 지난달 26일  자사 PC 게임 포털사이트가 해킹 공격을 받아 고객·가맹 PC방·전현직 임직원 등 약 611만 명의 개인정보가 외부에 유출된 것으로 파악됐다고 밝혔다. 이름·생년월일과 함께 유출된 비밀번호는 암호화돼 활용이 어렵다고 설명했지만, 국내 대표 게임사에서 수백만 건 단위 유출이 발생했다는 사실만으로도 이용자 불안과 기업 신뢰도에는 적지 않은 타격이 불가피하다.

넷마블은 26일 “외부 해킹으로 고객정보 유출 정황을 확인하고 대응 중”이라고 밝혔다. <출처=넷마블 홈페이지>

최근 해킹 시도는 단순 계정 탈취를 넘어 CDN(콘텐츠전송망), 결제 시스템, 블록체인 인프라 등으로 확장되고 있다. 지난 8월에는 넥슨 ‘블루아카이브’가 CDN 취약점을 노린 외부 공격으로 긴급 점검에 돌입하기도 했고, 위메이드의 블록체인 플랫폼 위믹스는 올해 초 해킹으로 약 90억 원 규모의 자산이 탈취되는 피해를 입었다. 글로벌 인기와 높은 자산 가치가 결합된 게임 생태계가 해커들에게 수익성 높은 표적이 되고 있다는 것이다.

그러나 정작 게임업계의 보안 투자 규모는 위험 증가 속도에 미치지 못한다는 지적이다.

한국인터넷진흥원(KISA)의 정보보호 공시현황에 따르면 넷마블의 지난해 정보보호 투자액은 56억8550만원으로,  경쟁사인 넥슨(227억5200만원), 엔씨소프트(181억7190만원)의 절반에도 미치지 못한다. 막대한 수익을 올리고 있는 크래프톤 역시 지난해 96억9440만원만을 정보보호에 투입해, 1조3026억원에 달한 당기순이익과 비교하면 투자 비중이 지나치게 낮다는 평가다.

최근 2년간의 변화 추이를 살펴봐도 개별 기업 간 온도차가 뚜렷하다.

넥슨은 2022년 133억4140만원을 투자했는데, 2023~2024년 사이 보안 예산을 대폭 확대하며 지난해에는 227억5200만원을 집행했다. 불과 2년 사이 70.5% 증가한 것이다. 

엔씨소프트도 영업환경이 악화된 상황에서도 보안 투자를 줄이지 않았다. 엔씨소프트의 영업이익은 2022년 5590억원에서 2024년에는 1092억원의 영업적자로 전환됐지만, 정보보호 예산은 같은 기간 173억7280만원에서 181억7190만원으로 4.6% 늘어났다. 실적이 악화하는 상황에서도 보안을 핵심 비용으로 유지한 것이다.

반면 크래프톤은 다소 대조적이다. 크래프톤의 영업이익은 2022년 7516억원에서 2024년 1조1825억원으로 크게 증가했음에도, 정보보호 예산은 64억4360만원에서 96억9440만원으로 약 32억5000만원 확대되는 데 그쳤다. 영업이익이 두 배 가까이 늘어난 속도에 비하면 보안 투자 증가 폭은 매우 제한적이라는 평가다.

도마위에 오른 넷마블도 정보보안 투자를 줄였다. 넷마블은 2022년 65억9750만원을 정보보호에 사용했지만, 지난해에는 56억8550만원으로 감소해 4대 게임사 가운데 유일하게 보안 예산을 축소했다. 업계에서도 “지속적인 보안 투자 축소 기조가 결국 이번 대규모 해킹 사고로 이어진 것 아니냐”는 쓴소리가 나오고 있다.

기업별 보안 인력 전략에서도 차이가 분명하게 드러난다. 

넥슨코리아는 정보보호 전담 인력을 2023년 103명에서 2024년 163명으로, 불과 1년 만에 58% 확대하며 인력과 예산 모두 공격적으로 확충했다. 보안 인력 규모만 놓고 보면 국내 게임사 가운데 가장 큰 폭의 확대다.

반면 크래프톤은 같은 기간 IT·보안 조직을 동시에 감축해, 정보보호 전담 인력이 44명에서 33명, 24% 감소한 것으로 집계됐다. 매출과 영업이익이 크게 성장한 시기였음에도 핵심 보안 인력을 줄인 셈이라 업계 안팎에서 우려를 낳고 있다.

엔씨소프트는 전담 인력이 120명에서 101명으로 다소 줄었지만, 보안 예산 자체는 증가한 흐름을 보였다. 넷마블은 전담 인력이 약 37명 수준으로 사실상 정체를 나타냈다. 

한편, 이번 넷마블 사태는 단일 기업의 보안 사고를 넘어, 국내 게임업계 전반의 보안 투자 구조가 재점검돼야 할 시점임을 보여줬다는 평가가 나온다. 글로벌 서비스를 기반으로 성장한 산업인 만큼, 보안 역시 비용이 아닌 필수 인프라로 인식 전환이 필요한 시점이다. 정보보호 투자 격차가 계속 방치될 경우, 향후 더 큰 리스크가 산업 경쟁력 자체를 위협할 수 있다는 우려가 커지고 있다.

[CEO스코어데일리 / 이예림 기자 / leeyerim@ceoscore.co.kr]