우크라이나 경찰이 인기 게임 플랫폼 로블록스(Roblox)의 사용자 계정 61만 개 이상을 불법적으로 탈취해 판매하고 약 22만5000달러의 수익을 챙긴 혐의로 20대 남성 3명을 체포했습니다.
현금 3만5000달러와 전자기기 다수 압수
체포는 리비우(Lviv) 지역 경찰이 주도했으며, 관련 장소 10곳에 대한 수색 과정에서 현금 3만5000달러와 함께 휴대전화 37대, 데스크톱 PC 11대, 노트북 7대, 태블릿 5대, USB 드라이브 4개를 압수했습니다.
체포된 피의자들은 각각 19세, 21세, 22세입니다. 경찰은 구체적인 게임 플랫폼명을 공개하지 않았지만, 우크라이나 검찰총장실(Prosecutor General's Office)은 피해 대상이 로블록스라고 밝혔습니다.
검찰총장실 보도자료에는 다음과 같이 적혀 있습니다.
"리비우 지역 검사들이 사이버 경찰과 우크라이나 안보국(SBU)과 공동으로, 타인의 게임 계정에 무단 접근해 이를 수익원으로 삼아온 조직의 활동을 차단했습니다."
"이는 사용자가 게임을 만들고 소통하며 게임 내 화폐로 가상 아이템을 구매하는 로블록스 프로필과 관련된 사안입니다. 많은 사용자에게 이러한 계정은 축적된 자원과 구매한 아이템 때문에 단순한 게임 가치를 넘어 금전적 가치까지 지니고 있습니다."
경찰 작전 현장출처: gp.gov.ua
로블록스 계정은 왜 비싸게 거래되는가
로블록스는 누구나 게임을 제작하고 플레이할 수 있는 수백만 개 규모의 게임 플랫폼입니다. 로블록스 계정의 가치는 게임 자체에 머무르지 않습니다. 로블록스 스튜디오(Roblox Studio)에서 제작한 에셋을 판매하거나 다른 사용자에게 아이템을 거래해 게임 내 화폐 '로벅스(Robux)'를 벌 수 있기 때문입니다.
따라서 이런 계정에는 높은 로벅스 잔액, 더 이상 구할 수 없는 한정판 아이템, 수년간 쌓아온 진행 상황과 업적·해금 콘텐츠, 프리미엄 콘텐츠 유료 이용권 등 실제 돈으로 환산할 수 있는 가치가 담겨 있습니다.
당국에 따르면 해커들이 2025년 10월부터 2026년 1월 사이에 탈취한 61만 개 계정 중 최소 357개는 고가치의 '엘리트' 계정이었던 것으로 확인됐습니다.
'게임 향상 도구'로 위장한 악성코드
조사 결과, 19세 피의자가 이 그룹의 수괴로 밝혀졌습니다. 그는 게임 포럼에서 나머지 두 명을 모집해 계정 탈취 계획을 세운 것으로 전해졌습니다.
이들의 수법은 '게임 성능 향상 도구'로 위장한 정보 탈취형(infostealer) 악성코드를 배포해 피해자의 기기를 감염시키고 로그인 정보를 빼내는 것이었습니다.
탈취된 계정은 계정 가치, 인벤토리 희귀도, 잔여 로벅스 잔액 등을 기준으로 분류된 뒤, 러시아 웹사이트와 폐쇄형 온라인 커뮤니티에서 판매됐습니다.
이번 사건으로 3명의 피의자는 우크라이나 형법 제185조(절도)와 제361조(IT 시스템 무단 개입) 위반 혐의로 기소됐으며, 최대 15년의 징역형에 처해질 수 있습니다.
당국은 이 해킹 조직의 다른 공범이나 추가 피해자가 있는지 확인하기 위해 수사를 계속 진행할 방침입니다.
계정 보호를 위한 필수 수칙
전문가들은 이런 피해를 예방하기 위해 게임 계정마다 고유하고 강력한 비밀번호를 사용하고, 가능한 경우 2단계 인증(2FA)을 반드시 활성화할 것을 권고합니다. 또한 출처가 불분명한 '게임 부스트', '핵', '무료 로벅스 생성기' 같은 프로그램은 정보 탈취 악성코드의 전형적인 위장 수단이므로 설치해서는 안 됩니다.