닌텐도 인사 데이터를 인질로 20억? 섀도바이트3 사건의 실체

2026년 6월 12일~13일, 국제 사이버 범죄 포럼에 충격적인 글이 하나 올라왔다. SHADOWBYT3$라는 이름의 무명 해커 그룹이 일본 게임 공룡 닌텐도를 해킹해 859MB 분량의 민감한 인사 데이터를 빼냈다고 주장한 것이다. 이들은 닌텐도 측에 48시간의 시한을 주며 200만 달러(약 26억 7000만 원)를 요구했고, 6월 15일까지 돈을 지불하지 않으면 모든 데이터를 공개하겠다고 협박했다 .

하지만 데드라인이 지난 지금, 그 누구도 데이터를 공개하지 않았다. 돈을 지불했다는 소식도 없었다. 거의 일주일이 지난 지금까지 이 주장은 처음과 똑같이 전혀 입증되지 않은 상태로 남아 있다 .

이번 사건은 게임사가 두려워하는 소스 코드 유출이나 고객 정보 탈취 사고가 아니다. 표적은 닌텐도 본사가 아니라, 닌텐도가 직원들을 대상으로 설문조사를 진행하고 피드백을 수집하는 데 이용한 제3자 인사 관리 플랫폼 TINYpulse(현재 WebMD Health Services 소유)였기 때문이다 . 이 차이가 이번 사건의 실질적인 위험 수준을 이해하는 핵심 열쇠다.

SHADOWBYT3$가 훔쳤다고 주장한 데이터

이들은 TINYpulse의 계정 정보 하나를 탈취해 859MB가량의 데이터를 빼냈다고 주장했다 . 진위를 입증하기 위해 일부 샘플 데이터를 파일 공유 사이트 Mega.nz에 공개하기도 했지만, 아직까지 어떤 독립된 보안 연구 기관도 이 표본의 진위를 검증하지 못했다 .

이들이 공개했다고 알려진 데이터 세트는 2016년부터 2026년까지의 기록을 포함하고 있으며, 다음과 같은 개인정보와 금융 정보를 담고 있다고 전해진다 :

• 직원의 실명과 회사 이메일 주소
• 사내 만족도 및 익명 피드백 설문 결과
• 업무 분석 보고서 및 직원 평가 기록
• 은행 계좌 거래 내역 PDF 파일
• 사회보장번호 또는 사업자 등록번호가 포함된 세금 신고 서류 (W-9)

특히 미국식 세금 신고 서류인 W-9 양식과 은행 거래 내역의 존재는 파장이 매우 크다. 만약 이 파일들이 실제라면, '완전한 비공개'를 전제로 TINYpulse 설문에 솔직한 의견을 냈던 전현직 닌텐도 직원들이 신원 도용 및 금융 사기라는 심각한 2차 피해에 노출될 수 있다 .

공격 경로의 실체: 닌텐도가 뚫린 게 아니다

가장 중요한 사실은 해킹이 '어떻게' 일어났다고 주장되는가이다. SHADOWBYT3$는 닌텐도의 메인 네트워크를 직접 뚫었다고 주장하지 않았다. 이들은 인사 플랫폼인 TINYpulse를 곧바로 공격했다고 밝혔다 .

실제로 이들은 한 포럼에서 이런 글을 남기기도 했다. "애초에 우리 목표는 닌텐도를 직접 터는 게 아니었다. 우리가 원한 건 직원들의 신상정보(PII), 운영 계획, 그리고 사적인 대화들을 빼내는 거였다" .

사이버 보안 분석가들은 이번 사건을 닌텐도 자체 인프라에 대한 직접 공격이 아닌 공급망 공격, 즉 보안이 상대적으로 허술한 외주 업체를 노린 사고로 일관되게 평가하고 있다 . 위협 인텔리전스 플랫폼 Hackmanac은 이 사건의 잠재적 영향력을 중간 단계인 'ESIX 5.60'으로 평가했는데, 이는 닌텐도 본사 네트워크가 직접 뚫렸을 때와는 비교할 수 없을 만큼 낮은 수준이다 .

이러한 격리성 덕분에, 2020년 닌텐도 '기가릭'처럼 게임 소스코드나 콘솔 개발 도구가 유출된 사건과는 궤를 달리한다 . 따라서 일반 게이머들은 자신의 계정이나 결제 정보가 털렸을지도 모른다는 불안감을 가질 이유가 전혀 없다.

SHADOWBYT3$는 누구인가?

이번 협박의 주인공은 대형 랜섬웨어 카르텔이 아니다. 랜섬웨어 추적 데이터베이스에 따르면, SHADOWBYT3$라는 이름은 2025년 10월경 처음 등장했다 . 이들은 텔레그램(Telegram)이나 톡스(Tox) 같은 암호화 메신저를 통해 소통하며, 랜섬웨어를 서비스 형태로 판매하는 서비스형 갈취(EaaS, Extortion-as-a-Service) 조직으로 분류된다. 2026년 중반까지 확인된 피해자는 손에 꼽을 정도로 규모가 매우 작다 .

이처럼 빈약한 이력과 초기 단계의 운영 방식은 두 가지 가능성을 시사한다. 하나는 실제로 제한적인 데이터 탈취에는 성공했지만, 협박을 끝까지 밀어붙일 만한 운영 능력이 부족해 데이터 유출을 실행에 옮기지 못했을 가능성이다. 다른 하나는 '닌텐도'라는 막강한 브랜드 파워를 이용해 손쉽게 돈을 뜯어내기 위해 모든 걸 지어낸 자작극일 가능성이다 . 데드라인이 지나도록 단 하나의 유출도 없었기에, 이 두 설명 모두 현재로선 설득력을 가진다.

닌텐도와 TINYpulse의 침묵

사건이 이렇게 시끄럽게 보도됐음에도, 닌텐도와 TINYpulse(혹은 모회사 WebMD Health Services) 어느 쪽에서도 공식 입장을 내놓지 않고 있다 . 사실 이런 무대응은 이례적인 일은 아니다. 대기업들은 보통 검증되지 않은 협박 건에 대해서는 신중하게 대응한다. 특히 외주사의 소프트웨어가 경로로 지목된 경우에는 더욱 그렇다. 혹시라도 제한적인 유출을 인정했다간, 각국의 개인정보보호법에 따른 강제 신고 의무와 대규모 소송이라는 상상하기 싫은 상황으로 번질 수 있기 때문이다.

일부 보안 연구자들은 해커가 공개한 샘플 데이터를 살펴본 결과 “적어도 일부는 실제 데이터일 가능성이 있다”는 소견을 내놓기도 했다 . 그러나 공식 확인이나 제3자 감사가 수반되지 않은 지금, 이는 추측의 영역일 뿐이다.

닌텐도 임직원이 지금 할 수 있는 조치

사건의 실체가 입증되지 않았더라도, 유출됐다고 주장된 데이터의 종류가 워낙 민감해 주의가 필요하다. 은행 거래 내역과 세금 서류는 단순히 창피한 수준을 넘어, 금융 사기를 일으킬 수 있는 핵폭탄과 같다. 2016년부터 2026년 사이 닌텐도에서 근무한 이력이 있는 전현직 직원이라면 다음 예방 조치를 취하는 것이 좋다:

• 은행 계좌 및 신용카드 명세서에 평소와 다른 비정상적인 거래가 없는지 점검한다.
• 신용평가기관에 사기 경보 또는 신용 동결(크레딧 프리즈)을 신청한다.
• 자신의 닌텐도 업무를 잘 아는 사람처럼 위장한 정교한 피싱 공격에 각별히 유의한다.
• 닌텐도 인사팀이나 법무팀에서 발송하는 공식 공지를 유심히 살핀다. 실제 유출이 내부적으로 확인되면 이 경로로 대응 지침이 나올 가능성이 가장 높다.

닌텐도의 침묵이 전략적인 선택일 수는 있어도, 개인정보가 지하 포럼에 돌아다니고 있는지 여부를 모르는 채 불안에 떨어야 하는 직원들의 고통은 가볍지 않다.

더 큰 그림: 제3자 인사 도구의 취약성

이번 해프닝이 실제 사건이든 자작극이든 간에, 전 세계 기업들이 간과하고 있는 고질적인 보안 허점을 정확히 찔렀다. TINYpulse 같은 직원 참여도 측정 플랫폼은 수년 치의 피드백, 신상 정보, 때로는 금융 문서까지 보관하지만, 기업의 핵심 인프라만큼 견고한 보안 감사를 받는 경우는 드물다.

갈취 그룹들은 이런 제3자 협업 도구를 집중적으로 노린다. 대형 IT 기업의 단단한 정문을 부수는 대신, 똑같이 귀중한 정보를 쥐고 있으면서 방비는 상대적으로 허술한 '옆문'을 공략하는 것이다 . SHADOWBYT3$의 주장이 설사 거짓으로 결론 나더라도, 그들이 묘사한 공격 시나리오 자체는 지금 이 순간에도 수많은 기업에서 실제로 벌어지고 있는 현실이다.

지금 닌텐도 협박 사건은 미묘한 경계에 걸쳐 있다. 완전히 거짓이라고 치부하기엔 세부 묘사가 구체적이지만, 그렇다고 공개적으로 입증된 증거는 단 하나도 없다. 가장 유력한 결말은 이 글 역시 '확인되지 않은 침해 주장' 목록 속으로 조용히 사라지는 것이다. 하지만 자신들의 세금 서류와 은행 명세서가 어딘가의 서버에 방치되어 있을지도 모르는 직원들에게 이 불확실성은 그 자체만으로도 큰 피해다.