게임 계정 해킹 예방 가이드 - 피싱 수법, 2단계 인증, 플랫폼별 보안 설정 총정리

게임 계정은 이제 단순한 로그인 수단이 아닙니다. 수년간 모은 게임 라이브러리, 거래 가능한 아이템과 스킨, 등록해 둔 결제 수단, 친구 목록까지 모두 담긴 자산입니다. 그만큼 노리는 사람도 많습니다. 스팀 커뮤니티에는 계정을 도둑맞았다는 글이 끊이지 않고, 닌텐도는 과거 약 16만 개 계정이 무단 로그인 피해를 입어 구형 로그인 방식을 아예 폐지한 적도 있습니다.

문제는 해킹의 대부분이 뛰어난 기술로 이뤄지는 게 아니라는 점입니다. 피해 사례를 들여다보면 가짜 로그인 페이지에 직접 아이디와 비밀번호를 입력했거나, 다른 사이트에서 유출된 비밀번호를 그대로 재사용했거나, 친구를 사칭한 메시지의 링크를 눌렀던 경우가 대부분입니다. 뒤집어 말하면, 몇 가지 습관과 설정만 갖춰도 피해 확률을 크게 낮출 수 있다는 뜻입니다.

이 글에서는 게임 계정을 노리는 대표적인 사기 수법을 먼저 살펴보고, 스팀·플레이스테이션·닌텐도·엑스박스·에픽게임즈 각 플랫폼의 2단계 인증 설정 방법, 그리고 이미 해킹을 당했을 때의 대처 순서까지 정리합니다.

게임 계정이 노려지는 이유

공격자 입장에서 게임 계정은 돈이 되는 목표입니다. 첫째, 거래 가능한 디지털 자산이 있습니다. 스팀의 카운터 스트라이크 스킨이나 트레이딩 카드처럼 장터에서 현금성 가치로 거래되는 아이템은 계정을 탈취하면 곧바로 빼돌릴 수 있습니다. 둘째, 결제 수단이 연결되어 있습니다. 카드나 간편결제가 등록된 계정을 손에 넣으면 기프트 아이템이나 게임 내 재화를 마음대로 구매해 되팔 수 있습니다. 셋째, 계정 자체를 통째로 파는 시장이 존재합니다. 오래된 계정, 희귀 아이템이 있는 계정, 레벨이 높은 계정일수록 비싸게 거래됩니다.

여기에 한 가지 더, 탈취한 계정은 다음 피해자를 낚는 미끼로 쓰입니다. 해킹된 계정의 친구 목록에 있는 사람들에게 “친구”의 이름으로 피싱 링크를 보내는 식입니다. 아는 사람이 보낸 메시지라 의심 없이 누르게 되고, 피해가 연쇄적으로 번집니다. 내 계정 보안이 허술하면 나만 당하는 게 아니라 친구까지 위험해지는 구조입니다.

가장 흔한 피싱·사기 수법

수법은 계속 변형되지만 뼈대는 비슷합니다. 아래 유형만 기억해도 대부분을 걸러낼 수 있습니다.

• “우리 팀에 투표해 줘” 사기: 친구(혹은 해킹된 친구 계정)가 e스포츠 대회에 나간다며 투표 링크를 보냅니다. 링크를 열면 스팀 로그인을 흉내 낸 가짜 페이지가 뜨고, 여기에 입력한 아이디·비밀번호·인증 코드가 그대로 공격자에게 넘어갑니다. 해외 보안 업체들이 수년째 경고하는 대표 수법입니다.
• 무료 스킨·아이템 지급 사이트: “무료 스킨 뽑기”, “기프트 카드 증정” 같은 문구로 로그인을 유도합니다. 공짜로 아이템을 주는 외부 사이트는 없다고 생각하는 편이 안전합니다.
• 가짜 로그인 창: 진짜와 똑같이 생긴 로그인 팝업을 띄우는 경우가 있습니다. 주소창의 도메인이 공식 도메인인지 반드시 확인하고, 링크를 타고 들어간 페이지에서는 로그인하지 않는 습관이 필요합니다.
• API 키·거래 가로채기: 스팀에서는 피싱으로 얻은 접근 권한으로 계정의 API 키를 등록해 두고, 피해자가 아이템을 거래할 때 거래 상대를 바꿔치기하는 수법이 보고되어 있습니다. 비밀번호를 바꿔도 API 키가 남아 있으면 피해가 계속될 수 있습니다.
• 거래 사칭·중개인 사기: 아이템 거래 중에 “믿을 만한 중개인”을 끼우자며 사칭 계정을 들이밀거나, 거래 직전에 닉네임만 같은 가짜 계정으로 바꿔치기하는 수법입니다. 거래는 플랫폼 공식 기능 안에서만 진행해야 합니다.
• 게임 사칭 악성 파일: 디스코드 등에서 “내가 만든 게임 테스트해 줘”라며 실행 파일을 보내는 경우, 계정 정보를 훔치는 악성코드일 가능성이 높습니다. 출처가 불분명한 실행 파일은 열지 않습니다.

플랫폼별 2단계 인증·패스키 설정

2단계 인증은 비밀번호가 유출되어도 계정을 지켜주는 마지막 잠금장치입니다. 플랫폼마다 명칭과 방식이 조금씩 다릅니다.

플랫폼	명칭	인증 방식	패스키 지원
스팀	스팀 가드	스팀 모바일 앱 승인·코드	미지원 (모바일 앱 인증 권장)
플레이스테이션(PSN)	2단계 인증	인증 앱 또는 문자	지원 (비밀번호 없는 로그인 가능)
닌텐도 어카운트	2단계 인증	인증 앱(OTP)	지원
엑스박스(마이크로소프트 계정)	2단계 인증	Microsoft Authenticator 앱 등	지원 (비밀번호 제거 가능)
에픽게임즈	2단계 인증	인증 앱·문자·이메일	-

설정 위치는 공통적으로 각 플랫폼의 “계정 설정 → 보안” 메뉴입니다. 스팀은 모바일 앱을 설치하고 스팀 가드를 모바일 인증으로 전환하는 것이 핵심입니다. 이메일 인증만 쓰는 것보다 훨씬 안전하고, 장터·거래 기능의 대기 기간도 줄어듭니다. 플레이스테이션과 닌텐도, 마이크로소프트 계정은 패스키를 지원하므로, 스마트폰의 지문·얼굴 인식으로 로그인하도록 바꾸면 비밀번호 유출 자체가 무의미해집니다. 인증 방식 중에서는 문자(SMS)보다 인증 앱이 안전합니다. 문자는 심 스와핑 등으로 가로채일 여지가 있기 때문입니다.

인증 앱을 쓸 때는 백업 코드를 반드시 안전한 곳에 따로 보관해 두어야 합니다. 휴대폰을 잃어버리거나 바꿀 때 백업 코드가 없으면 본인 계정에 스스로 못 들어가는 일이 생깁니다.

비밀번호와 이메일 관리 원칙

게임 계정 보안의 절반은 사실 이메일 보안입니다. 비밀번호 재설정이 이메일로 이뤄지기 때문에, 이메일이 뚫리면 연결된 모든 게임 계정이 함께 넘어갑니다. 그래서 순서는 이렇습니다.

1. 이메일 계정부터 2단계 인증을 켜고, 다른 곳에서 쓰지 않는 강력한 비밀번호를 설정합니다.
2. 게임 계정마다 서로 다른 비밀번호를 씁니다. 한 사이트에서 유출된 아이디·비밀번호 조합을 다른 서비스에 자동으로 대입하는 공격(크리덴셜 스터핑)이 흔하기 때문에, 재사용이 가장 위험합니다.
3. 사람이 전부 외울 수는 없으므로 비밀번호 관리자를 사용합니다. 브라우저 내장 기능이든 전용 앱이든, 재사용하는 것보다는 어느 쪽이든 낫습니다.
4. 유출 이력이 의심되면 해당 비밀번호를 쓰는 모든 서비스에서 즉시 변경합니다.

PC방·공용 컴퓨터에서 로그인할 때

국내 환경에서 특히 주의할 부분입니다. 공용 PC에는 키보드 입력을 가로채는 프로그램이 심어져 있을 가능성을 배제할 수 없고, 로그인 상태를 깜빡 잊고 자리를 뜨는 사고도 잦습니다. 몇 가지 원칙을 지키는 것이 좋습니다.

• 로그인 시 “이 컴퓨터 기억하기”, “자동 로그인” 류의 옵션은 반드시 해제합니다.
• 이용이 끝나면 게임 클라이언트와 브라우저 양쪽에서 로그아웃하고, 가능하면 PC를 재부팅합니다.
• 집에 돌아온 뒤 계정 설정에서 로그인된 기기 목록을 확인하고, 낯선 기기·세션을 전부 로그아웃 처리합니다. 스팀은 “모든 기기에서 로그아웃” 기능을 제공합니다.
• 공용 PC에서는 가급적 비밀번호 직접 입력 대신 모바일 앱 승인이나 QR 로그인처럼 비밀번호를 입력하지 않는 방식을 사용합니다. 단, QR 로그인은 내가 요청한 로그인인지 앱에서 확인한 뒤에만 승인해야 합니다.

해킹당했을 때 대처 순서

이미 피해가 의심된다면 속도가 중요합니다. 순서대로 진행합니다.

1. 이메일 계정 점검: 이메일이 함께 뚫렸는지 먼저 확인하고, 이메일 비밀번호부터 변경합니다.
2. 게임 계정 비밀번호 변경: 로그인이 가능하면 즉시 비밀번호를 바꾸고 모든 기기에서 로그아웃합니다. 로그인이 불가능하면 각 플랫폼의 계정 복구 절차(스팀 고객지원, 플레이스테이션·닌텐도 고객센터 등)를 이용합니다.
3. 2단계 인증 재설정: 공격자가 자기 인증 수단을 걸어뒀을 수 있으므로 인증 기기 목록을 확인하고 낯선 항목을 제거합니다.
4. 스팀이라면 API 키 확인: 계정 설정에서 등록된 API 키가 있는지 확인하고, 본인이 만든 것이 아니면 삭제합니다. 거래 URL도 새로 발급받는 것이 안전합니다.
5. 결제 내역 확인: 무단 결제가 있으면 플랫폼 고객지원과 카드사에 바로 이의를 제기합니다.
6. 친구들에게 알리기: 내 계정이 피싱 메시지를 뿌리는 데 쓰였을 수 있으므로, 복구 후 친구들에게 상황을 알립니다.

플랫폼 고객지원은 계정 소유권을 증명할 수 있는 정보(결제 영수증, 가입 시기, 등록 이메일 등)를 요구하는 경우가 많으니, 구매 영수증 메일은 지우지 않고 보관해 두면 복구가 수월해집니다.

자주 묻는 질문(FAQ)

2단계 인증을 켜면 해킹을 완전히 막을 수 있나요?

완전하지는 않습니다. 가짜 로그인 페이지에 인증 코드까지 직접 입력해 주거나, 모바일 앱에서 낯선 로그인 요청을 무심코 승인해 주면 2단계 인증도 뚫립니다. 다만 비밀번호 유출만으로는 계정에 들어올 수 없게 만들어 주므로, 켜고 안 켜고의 차이는 매우 큽니다. “내가 지금 로그인을 시도한 게 아니라면 절대 승인하지 않는다”는 원칙과 함께 쓸 때 효과가 있습니다.

비밀번호를 바꿨는데도 계속 이상한 일이 생깁니다. 왜 그런가요?

공격자가 비밀번호 외의 접근 수단을 남겨뒀을 가능성이 있습니다. 스팀이라면 몰래 등록해 둔 API 키나 거래 URL, 인증 기기가 대표적입니다. 로그인된 세션이 살아 있는 경우도 있습니다. 비밀번호 변경과 함께 모든 기기 로그아웃, 인증 수단 점검, API 키 삭제까지 한 세트로 진행해야 확실합니다.

자녀 계정도 따로 보안 설정이 필요한가요?

필요합니다. 자녀 계정에도 결제 수단이 연결되거나 아이템이 쌓이는 것은 마찬가지이고, 무료 아이템 미끼에는 오히려 성인보다 취약할 수 있습니다. 자녀 계정에도 2단계 인증을 설정하고, “공짜 스킨 링크는 전부 사기”라는 기준을 알려주는 것이 좋습니다. 결제 비밀번호나 월 한도 설정 같은 자녀 보호 기능을 함께 쓰면 금전 피해를 줄일 수 있습니다.