포커뉴스 › 사건·사고
상대 화면을 훔쳐봤다… 온라인 포커 뒤흔든 '홀카드 악성코드' 스캔들
포커 보조 프로그램의 업데이트 파일에 원격 접속 도구가 숨겨져 하이스테이크 플레이어 약 30명의 화면이 노출됐다는 의혹이 9월 말 불거졌다. 해당 업체는 특정 상대를 노린 표적 공격이었다고 밝혔다.
온라인 포커 하이스테이크 판에서 상대의 홀카드를 실시간으로 훔쳐본 치팅이 있었다는 의혹이 9월 말 터져 나왔다. 사이트 서버가 뚫린 것이 아니라, 플레이어들이 쓰는 포커 보조 프로그램을 통해 개인 PC에 원격 접속 도구가 심겼다는 것이 핵심이다.
어떻게 드러났나
PokerNews와 PokerOrg 보도에 따르면, 9월 29일 사이버 보안 전문가를 자처하는 X(옛 트위터) 사용자 'wolfsec0x0'가 처음 문제를 공개했다. 그는 윈도 PC에 '메시 에이전트(Mesh Agent)'라는 원격 접속 프로그램이 몰래 설치돼 있었고, 이것이 포커 유틸리티 두 종의 변조된 버전을 통해 퍼졌다고 주장했다. 메시 에이전트 자체는 합법적인 오픈소스 원격 관리 도구의 일부다.
이 도구가 깔리면 공격자는 피해자의 화면을 그대로 볼 수 있다. 테이블에 떠 있는 홀카드는 물론이고, 폭로자의 주장대로라면 브라우저에 저장된 비밀번호와 로그인 세션, 저장된 카드 정보까지 접근이 가능했다.
업체는 "표적 공격이었다"
문제가 된 프로그램은 '주로진 포커(Jurojin Poker)'와 '인튜이티브테이블스(IntuitiveTables)'로 확인됐다. 주로진은 여러 테이블을 동시에 돌릴 때 테이블 배치와 단축키, 벳 사이징을 도와주는 도구다.
주로진은 9월 30일 성명을 내고 사실관계를 일부 인정했다. PokerNews가 전한 내용은 이렇다.
- 2025년 6월부터 2026년 6월 사이, 특정 사용자에게 전달된 업데이트 파일이 변조된 파일로 바뀌었다.
- 변조된 파일 일부에 원격 접속 도구가 들어 있었고, 이를 통해 홀카드를 볼 수 있었다.
- 표적은 하이스테이크 플레이어 약 30명이며, 해당 사용자에게는 이메일로 개별 통보했다.
- 불특정 다수를 노린 공격이 아니라, 이미 알려진 치터가 특정 상대를 겨냥한 작전이었다.
아직 확인되지 않은 것들
피해 규모와 기간은 출처마다 조금씩 다르다. PokerOrg는 피해자를 10~30명으로 추정하고, 폭로자 측 자료를 근거로 관련 활동이 2024년 3월까지 거슬러 올라간다고 전했다. 포커 포럼에는 용의 계정 이름도 올라왔지만, PokerOrg는 이를 독자적으로 검증하지 못했다고 밝혔다. 공격자가 누구인지, 피해 금액이 얼마인지도 공식적으로 확인된 것은 없다. 폭로자는 현재 배포되는 버전에는 악성 코드가 없다고 설명했다.
해당 프로그램을 썼다면
PokerOrg는 두 프로그램을 설치한 적이 있는 플레이어에게 다음 조치를 권했다.
- PC를 인터넷에서 분리한다.
- 다른 깨끗한 기기에서 모든 비밀번호를 바꾼다.
- 2단계 인증을 켠다.
- 브라우저에 저장해 둔 카드는 재발급받는다.
- 암호화폐 지갑의 자금을 옮긴다.
- 포커 사이트와 경찰에 알린다.
- 윈도를 초기화하고 새로 설치한다.
초보를 위한 한 줄 — '슈퍼유저'란?
상대의 홀카드를 볼 수 있는 계정을 포커에서는 '슈퍼유저'라고 부른다. 2000년대 후반 일부 온라인 사이트에서 내부자가 이런 계정을 쓴 사실이 드러나며 생긴 말이다. 이번 사건은 사이트 내부가 아니라 플레이어 개인 PC가 뚫렸다는 점이 다르다. 포커와 상관없는 프로그램이라도 출처가 불분명하면 설치하지 않는 것이 가장 확실한 예방책이다.