니케 PC 런처를 썼다면 지금 가장 궁금한 것은 내 PC가 괜찮은지입니다. 2026년 11월 4일 기준으로 이 질문에 답한 공식 안내는 아직 없습니다.
니케 운영진이 공식 X에서 밝힌 내용은 'PC 런처의 스크립트 파일이 제3자에 의해 변조되었을 가능성이 있는 이상 현상'을 확인했고, 11월 4일 2시 30분경 클라이언트를 수정·업데이트했으며, 영향 범위를 확인 중이고 후속 조치는 별도로 공지한다는 데까지입니다. 공지에는 악성코드라는 말이 없습니다.
악성코드, 원격 제어, 정보 탈취는 깃허브 계정 MotherSphere가 올린 보고서와 이를 인용한 언론의 주장입니다. 보고서도 감염 PC 1대와 댓글로 모인 다른 이용자 제보를 바탕으로 썼고, 문제의 프로그램은 실행하지 않고 분석했다고 밝혔습니다.
그래서 이 글은 누가 무엇을 말했는지를 문장마다 나눠 적습니다. 시각은 한국 시간으로 통일하고 보고서 원문 시각인 GMT를 함께 씁니다. 사건이 진행 중이라 새 공식 공지가 나오면 날짜와 함께 고칩니다.
누가 뭐라고 했나: 공식 공지와 보고서·언론 (11월 4일 기준)
| 쟁점 | 공식 공지(니케 운영진) | 보고서·언론 주장(공식 확인 아님) |
|---|---|---|
| 무슨 일인가 | PC 런처 스크립트 파일이 제3자에 의해 변조됐을 가능성이 있는 이상 현상을 확인했다고 공지 | 보고서: 레벨 인피니트 CDN의 자바스크립트 파일 4개가 변조됐다고 주장. 일부 언론은 공급망 공격 가능성으로 표현 |
| 악성코드인가 | 악성코드라는 표현을 쓰지 않음 | 보고서: 변조 파일이 외부에서 원격 제어 프로그램을 내려받아 실행할 수 있다고 주장. 명령 실행, 파일 접근, 화면 캡처, 브라우저 정보와 가상자산 지갑 파일 수집 기능을 적음 |
| 언제부터인가 | 시작 시점 언급 없음 | 보고서: 9월 27일 파일 변조, 가장 이른 실행 보고는 10월 24일 1시 40분. 이용자 댓글이 출처이고 그 전이 안전하다는 뜻은 아님 |
| 고쳐졌나 | 11월 4일 2시 30분경(UTC+9) 클라이언트 수정·업데이트 진행 | 보고서: 그 직전 파일 3개 교체. 네 번째 파일은 7시 26분에도 일부 CDN 서버에 변조본이 남아 있었다고 적음. 이미 감염된 PC의 상태를 되돌리지는 않는다고 적음 |
| 피해 규모·정보 유출 | 영향 범위 확인 중 | 언론: 감염자 수와 실제 유출 여부는 확인되지 않음. 디지털타임스는 KISA가 국내 시장이나 이용자에게 영향을 미치면 침해사고 신고나 조사 대상이 된다고 전했다고 보도. 실제 신고·조사 착수는 미확인 |
| 침입 경로·공격자 | 언급 없음 | 보고서: 공격자가 어떻게 파일을 바꿀 권한을 얻었는지 밝혀지지 않았다고 적음. 공격자 신원도 미확인 |
| 이용자가 할 일 | 실행 중단, 삭제, 감염 확인 방법에 대한 지시 없음. 후속 조치는 별도 공지 | 보고서: 공식 확인 때까지 런처를 열지 말고 다시 열기 전 캐시 삭제. 일부 언론은 비밀번호 변경과 전체 검사를 권장 |
| 모바일·다른 환경 | 판단 없음 | 보고서: 리눅스·스팀 덱의 프로톤 실행도 위험 대상에 포함, 모바일 판단은 없음. 일부 언론은 모바일 영향이 확인되지 않았다고 보도 |
내 PC는 어떻게 하나: 말한 주체별 세 층
답은 누가 말했느냐에 따라 세 층으로 나뉩니다. 첫째는 공식 안내입니다. 영향 범위를 확인 중이고 후속 조치는 별도 공지로 안내한다는 것이 전부이며, 실행 중단이나 삭제, 감염 확인 방법에 대한 지시는 없습니다.
둘째는 보고서가 모두에게 권한 것입니다. 공식이 수정 완료를 확인할 때까지 런처를 열지 말고, 다시 열기 전에 캐시 폴더를 지우라는 내용이며, 보고서가 표기한 경로는 %APPDATA%\nikke_launcher\tbs_cache입니다.
보고서는 공격자 서버 주소를 hosts 파일이나 공유기, 방화벽에서 막으라는 항목도 함께 적었는데, 이 글에는 주소를 옮기지 않았습니다. 이 권고들은 공식 공지 전에 쓰였고, 공식이 밝힌 수정·업데이트가 그 조건에 해당하는지는 공식도 보고서도 밝히지 않았습니다.
셋째는 보고서가 감염된 경우로 적은 조치입니다.
런처를 닫거나 인터넷 연결을 끊고(작업 관리자 여는 법을 알면 런처가 완전히 꺼졌는지 볼 수 있습니다), 윈도우에 남은 항목을 지운 뒤(아래 첫 번째 질문 참고), 깨끗한 기기에서 니케 계정, 이메일, 디스코드, 금융, 브라우저 저장 비밀번호 순으로 바꾸고, 2단계 인증을 켜고, 모든 세션에서 로그아웃하고, 개발자 토큰과 키를 폐기하고, 가상자산은 새 지갑으로 옮기라는 내용입니다.
보고서는 윈도우 재설치를 가장 안전한 선택으로 판단했습니다. 재설치를 고민한다면 윈도우 버전과 사양 확인하는 법을 보고 지금 환경을 적어 두면 좋습니다. 이 셋째 층은 보고서 작성자의 판단이지 공식 절차가 아닙니다.
공식도 보고서도 '삭제하면 끝', '10월 23일 이전 실행은 안전', '업데이트 후 안전', '모바일은 안전'이라고 말하지 않았습니다.
시간순 정리: 한국 시간 기준, 괄호는 GMT
- 19월 27일 15시 41분(06:41 GMT): 파일 4개 변조 주장보고서 주장입니다. 런처가 CDN에서 불러오는 자바스크립트 파일 4개가 이때 바뀌었고, 이후 실행한 사람의 캐시에 변조 파일이 남아 있을 수 있다고 적었습니다. 공식 공지에는 시작 시점이 없습니다.
- 210월 24일 1시 40분(10월 23일 16:40 GMT): 가장 이른 실행 보고보고서가 이용자 댓글을 출처로 적은 시각입니다. 기사마다 10월 23일과 24일로 갈리는 데는 이유가 둘 있습니다. 보고서가 처음에는 10월 24일로 적었다가 이 시각으로 고쳤고, 이 시각은 GMT로는 23일, 한국 시간으로는 24일입니다. 가장 이른 보고일 뿐 안전 구간의 경계가 아닙니다. 보고서는 프로그램이 일부 실행에서만 작동했다고도 적었지만, 그것으로 내 PC의 상태를 판단할 수는 없습니다.
- 310월 29일 0시 46분(10월 28일 15:46 GMT): 원본 서버 파일 1개 복구 주장보고서 주장입니다. 파일 4개 중 1개가 원본 서버에서 정상 파일로 돌아왔지만 일부 CDN 서버는 변조본을 계속 제공했다고 적었습니다.
- 411월 4일 2시 4분~2시 30분경: 파일 교체와 공식 수정보고서는 2시 4분~21분(11월 3일 17:04~17:21 GMT)에 파일 3개가 교체됐다고 적었습니다. 공식 공지는 2시 30분경(UTC+9) 클라이언트를 수정·업데이트했다고 밝혔습니다. 두 시각은 가깝지만, 같은 조치인지는 공식이 확인하지 않았습니다.
- 511월 4일 7시 26분(11월 3일 22:26 GMT): 일부 CDN 잔존 주장보고서 주장입니다. CDN 서버 두 곳이 변조된 파일을 여전히 제공했다고 적었습니다. 공식이 밝힌 수정 시각보다 5시간 가까이 뒤의 일입니다.
- 611월 4일 11시(02:00 GMT)~12시 13분(03:13 GMT): 보고서 마지막 갱신과 공식 공지보고서 본문의 마지막 갱신 표기는 11시이고, 이때 본문은 아직 공식 입장이 없다고 적었습니다. 12시 13분에 니케 공식 X 공지가 올라왔습니다. 그래서 보고서의 권고는 공지 내용을 반영하지 않은 상태입니다. 11월 4일 저녁 기준으로 런처를 다시 열어도 된다는 말은 공지에도 보고서 본문에도 없습니다.
이용자들이 짚는 쟁점과 공식 쪽 입장
- 공지 시점: 2시 30분 수정 뒤 12시 13분 공지까지 10시간 가까이 걸린 점을 짚는 의견이 있습니다. 공지에는 그 사이 경위가 없고, 공식 쪽은 영향 범위를 확인 중이며 후속 조치를 별도로 공지한다는 입장입니다.
- 표현: '이상 현상'이라는 말이 사안에 비해 가볍다는 비판이 있습니다. 공식 쪽은 변조 '가능성'으로 표현했고, 영향 범위 확인이 끝나지 않았다는 입장입니다.
- 후속 대응: 11월 4일 오후까지 뚜렷한 후속 방안이 나오지 않았다는 비판이 이용자와 언론에서 나왔습니다. 공식 쪽은 후속 조치를 별도로 안내한다는 입장이고, 어느 회사가 어디까지 책임지는지는 공지에 없습니다. 이 글은 책임을 판단하지 않습니다.
- 계정·지갑 피해 불안: 계정과 가상자산 지갑에 2차 피해가 생길지 걱정하는 목소리가 있습니다. 공식 쪽은 피해 규모나 정보 유출 여부를 밝히지 않았고, 영향 범위를 확인 중이라는 입장입니다.
이 글을 고치는 기준
이 글은 갱신형입니다. 니케 공식 채널의 후속 공지, 공공기관 안내, 믿을 만한 언론 보도가 나올 때만 날짜와 함께 고칩니다. 보고서 권고가 바뀌면 보고서의 내용이라고 표시해 반영합니다.
커뮤니티 글은 사실 근거로 쓰지 않습니다. 피해 규모, 정보 유출 여부, 침입 경로, 공격자 신원은 공식 발표나 믿을 만한 보도로 확인되기 전까지 미확인으로 둡니다. 캐시 경로 외에 보고서의 감염 표식과 파일명을 옮기지 않은 것도 같은 이유입니다. 표식 일부가 여러 차례 정정됐고, 틀린 표식은 잘못된 안심으로 이어질 수 있습니다.
