게임 유출이 형사 사건이 된 뒤 스튜디오는 무엇을 증거로 내미나

유출이 형사 사건이 되자 증거의 기준이 달라졌다

상하이에서 미공개 빌드를 빼낸 세 사람이 잡혔고, 그중 둘은 4월 24일 유죄를 받았다.

수법은 단순했다. 2000년 이후 출생한 수·우·저우 세 명이 내부 테스트 빌드를 확보해 미공개 콘텐츠를 추출한 뒤 영상 플랫폼에 올렸다. 원신, 붕괴: 스타레일, 젠레스 존 제로의 미공개 캐릭터와 스킬 연출, 게임 내 장면이 그렇게 먼저 돌았다. 동기는 거창하지 않았다. 계정으로 트래픽을 끌고 플랫폼 보상과 시청자 후원을 받는 것이었고, 경고를 받고 영상을 지우면 없던 일이 된다고 믿었다고 한다. 경찰이 이걸 알게 된 경위도 우연에 가깝다. 2025년 10월 쉬후이구의 미호요 사업장을 정기 방문했다가 발견했고, 사건은 2026년 2월 27일 공개됐다(Shanghai Daily).

판결은 4월 24일 나왔다. 죄명은 저작권 침해였고, 수는 징역 1년 2개월에 집행유예, 우는 구류 1년에 집행유예를 받았다. 수가 올린 영상은 60만 회, 우의 영상은 30만 회를 넘겼다(Global Times).

이 사건에서 스튜디오 쪽이 가진 도구를 보면 빈자리가 그대로 보인다. 중요한 일은 전부 아무도 모르는 사이에 끝나 있었다. 빌드가 건물 밖으로 나갔고, 누가 어느 배포본에서 무엇을 뽑았는지는 어디에도 기록되지 않았으며, 영상이 60만 회를 지나는 동안 그 숫자를 붙잡아 둔 것도 없었다. 남은 건 사후 삭제 요청이다.

일의 부피도 만만치 않다. 호요버스는 2025년 한 해에만 2,388건의 민사 소송을 걸었고, 경찰과 22건의 형사 수사에 협조했으며, 988개 계정을 정지시키고 1,240건의 공개 사과를 받아냈다. 삭제한 침해 링크가 10만 9,000건을 넘고, 회수한 손해배상과 합의금은 3,700만 위안, 약 538만 달러였다(AUTOMATON WEST, GamingOnPhone). 소송 건수로 회수액을 나눠 보면 한 건당 평균이 2,000달러대다. 법무팀 하나가 공장처럼 돌아가고 있는데 건당 단가는 이 수준이라는 뜻이다. 문제는 유출이 일어난다는 사실이 아니라, 한 건을 처리하는 비용이 회수액을 거의 다 먹는다는 데 있다.

바뀐 건 정서가 아니라 기준선이다

바뀐 건 정서가 아니라 기준선이다.

중국 최고 사법기관이 2025년 4월 내놓은 새 사법해석은 형사 입건 요건을 수치로 못 박았다. 침해물 500건 이상 유포, 다운로드 1만 건 이상, 조회수 10만 회 이상, 또는 유료 회원 1,000명 이상의 서비스 운영이다(Shanghai Daily). 4월의 유죄 판결은 그 경로가 실제로 끝까지 작동한다는 걸 처음으로 보여준 사례다. 미호요 쪽도 이 판결을 새 사법해석 아래 나온 첫 게임 유출 형사 사건으로 설명했다.

수치 기준은 소프트웨어에게 유리한 조건이다. 사람의 판단이 아니라 세면 되는 숫자이기 때문이다. 지금까지 증거가 사 올 수 있는 건 삭제뿐이었다. 시각이 박히고 원본이 보존된 증거는 이제 형사 입건까지 갈 수 있다. 유출자가 저울에 올리는 값이 달라지고, 퍼블리셔 법무팀이 월요일 아침에 할 수 있는 일도 달라진다.

동시에 이 기준선에는 함정이 하나 있다. 조회수는 플랫폼 위에 있고 플랫폼 위의 것은 지워진다. 상하이 사건의 세 명도 지우면 끝난다고 믿었다. 실제로 지우면 숫자가 사라진다. 12만 회를 지나는 순간에 아무도 스냅샷을 남기지 않았다면, 그 영상이 기준을 넘겼다는 사실 자체를 나중에 증명할 방법이 없다. 결국 이 시장의 핵심 기능은 탐지가 아니라 보존의 타이밍이다.

시야를 조금 넓히면 게임만의 이야기도 아니다. 공개 전 시사용 영상, 미발매 음원, 발표 전 하드웨어 도면과 리뷰 자료가 전부 같은 구조에 놓여 있다. 다만 지금 기준선이 숫자로 서 있고 판례가 생긴 곳은 중국의 게임 쪽이다. 첫 고객이 어디 있는지는 이미 정해져 있다.

세 겹으로 쌓되 파는 순서를 지킨다

세 겹으로 쌓되 파는 순서를 지켜야 한다.

첫 겹은 증거층이고 이게 쐐기다. 감시 대상 목록을 정의하고, 후보 프레임을 지각 해시로 비공개 에셋 지문 대장과 대조하고, 일치가 나오면 시각과 해시가 박힌 증거 묶음을 만든다. 묶음에는 URL, 첫 게시 시각, 누적 조회수 추이, 원본 아카이브가 들어가고 법정 기준선 대비 현재 위치가 표시된다. 엔진에 손댈 필요가 없어서 일주일이면 켤 수 있다. 계약도 보안팀이 아니라 법무팀에서 끊긴다.

둘째 겹이 수령자별 빌드 표식이다. 여기서 흔한 오해는 모든 텍스처에 스테가노그래피를 심어야 한다는 생각인데, 그건 비싸고 압축에 죽는다. 실제로 통하는 쪽은 아무도 눈치채지 못하고 아무도 벗겨내지 않는 자리에 수령자별 편차를 두는 것이다. 문자열 테이블의 여백, 에셋 로드 순서, 쓰이지 않는 UV 오프셋, 빌드마다 다른 오디오 디더, 셰이더 상수의 미세 잡음 같은 것들이다. 목표는 유출 영상 10초나 스크린샷 한 장에서 배포본을 특정하는 것이지, 완벽한 은닉이 아니다.

셋째 겹은 접근 원장이다. 어떤 빌드 해시가 어떤 계정의 어떤 기기로 나갔는지를 기록해 두고 증거 묶음과 이어 붙이면, 배포에서 게시까지의 사슬이 문서 한 장이 된다. 상하이 사건에서 가장 오래 걸린 부분이 계정 추적이었다는 점을 생각하면 이 원장의 값어치가 어디에 있는지 분명하다.

flowchart LR
  A[사전 빌드 배포<br/>수령자별 표식 삽입] --> B[접근 원장<br/>빌드 해시·계정·기기]
  C[공개 플랫폼 감시<br/>영상·이미지 지문 대조] --> D[증거 묶음<br/>시각·해시·누적 조회수]
  B --> E[출처 추적<br/>어느 배포본인가]
  D --> E
  E --> F[기준선 판정<br/>삭제·민사·형사 분기]

시장 진입은 중국 퍼블리셔부터다. 집행 경로가 실제로 존재하는 유일한 곳이고, 예산이 있다는 증거도 이미 공개돼 있다. 그다음이 중국에 서비스하는 한국·일본 퍼블리셔, 그리고 사전 배포가 잦은 콘솔·PC 대작 순서다.

볼 숫자는 둘이다

봐야 할 숫자는 둘이다. 첫 공개 게시부터 완성된 증거 묶음까지 걸리는 시간, 그리고 확인된 유출 중 특정 배포본까지 역추적된 비율이다. 앞의 숫자가 하루를 넘으면 이건 집행 도구가 아니라 리포트 도구고, 리포트는 이미 충분히 많다.

그런데 이 제품의 진짜 채택 장벽은 성능이 아니다. 출처 추적은 자주 회사 안쪽을 가리킨다. 상하이의 세 명도 내부 테스트 빌드에서 뽑아냈다. 추적 기능을 켠다는 건 언젠가 자기 직원이나 자기 QA 협력사의 이름이 화면에 뜨는 도구를 들이는 일이고, 그건 스튜디오가 열고 싶지 않은 인사와 계약 문제를 연다. 그래서 기본 리포트는 유출 사실만 보여주고 이름은 지정된 보안 책임자 한 명에게만 열리는 모드가 처음부터 있어야 한다. 이건 부가 기능이 아니라 계약이 통과하느냐를 가르는 조건이다.

남은 위험은 반대쪽이다. 집행을 싸게 만드는 도구는 과잉 집행도 싸게 만든다. 호요버스의 2,388건이라는 숫자가 성과이면서 동시에 커뮤니티 부담인 것처럼, 고객사는 결국 어디에 선을 그었는지로 평가받는다. 그래서 법정 기준선 판정을 제품 안에 넣어 수치가 실제로 충족된 건에만 형사 경로를 권하도록 설계해야 한다. 규정 준수 장식이 아니라, 고객이 다음 헤드라인이 되지 않게 하는 안전장치다.

이 제품이 가장 잘 팔리는 순간은 유출이 터진 다음 주다. 문제는 그때 시작하면 남아 있는 게 없다는 것이다. 표식은 빌드가 나가기 전에 심어야 표식이고, 조회수는 지워지기 전에 찍어야 숫자다.