스팀에서 인기를 끌고 있는 그림 그리기 숨바꼭질 게임 ‘메챠 카멜레온(Meccha Chameleon)’의 이용자 제작 맵에서 악성코드가 발견돼 주의가 요구되고 있다.

이번 문제는 ‘Feint’라는 닉네임을 사용하는 이용자가 스팀 창작마당에 등록된 맵 파일을 분석하면서 알려졌다. Feint의 지인은 이용자 제작 맵을 내려받는 과정에서 명령 프롬프트 창이 잠시 나타나는 현상을 발견했다. 이를 수상하게 여긴 Feint가 파일을 확인한 결과, ‘레이저 태그 제로(Laser Tag Zero)’라는 맵에 외부 악성코드를 추가로 내려받는 드로퍼가 포함된 것으로 나타났다.

드로퍼는 기기에 침투한 뒤 다른 악성 프로그램을 설치하거나 실행하도록 설계된 악성코드다. 일반적인 게임 맵 파일로 위장해 배포될 경우 이용자가 위험성을 알아차리기 어렵다는 문제가 있다.

Feint가 관련 분석 내용을 미디엄에 공개한 이후 문제의 맵은 ‘메챠 카멜레온’ 스팀 창작마당에서 삭제됐다. 하지만 이후에도 악성코드가 포함된 것으로 의심되는 다른 이용자 제작 맵이 등장하면서 논란이 이어졌다.

이와 함께 게임의 공식 디스코드 서버도 공격을 받았다. ‘메챠 카멜레온’ 제작자인 레모리온1224(Lemorion_1224)는 26일 X를 통해 공식 디스코드 서버가 해킹됐다고 밝혔다. 다만 감염된 PC는 예비 기기로, 게임 데이터에 접근하거나 이를 수정할 수 없는 장비였다는 것이 개발진의 설명이다. 내부 로그를 확인한 결과 게임 데이터가 조작된 정황도 발견되지 않았고, 문제가 된 PC는 완전히 초기화됐다.

개발진은 스팀 공지를 통해 게임 본편 자체에는 보안 문제가 없다고 강조했다. 이용자 제작 맵을 내려받거나 실행하지 않는다면 게임은 정상적으로 이용할 수 있다는 설명이다. 또한 개발진은 디스코드 서버 복구도 완료됐다고 덧붙였다.

한편, 혼란을 틈탄 사칭 사례도 발생했다. 메타 퀘스트 스토어에는 실제로 개발되지 않은 ‘메챠 카멜레온 VR’이 예약 판매 상품으로 등록됐다. 레모리온1224는 해당 제품의 제작이나 판매를 허가한 적이 없다며 이용자들에게 구매하지 말 것을 당부했다. 개발진은 현재 메타 측에 가짜 상품의 삭제를 요청한 상태다.