2026년 8월 말, 밸브(Valve)의 스팀(Steam)에서 12TB가 넘는 옛 데이터가 인터넷에 퍼졌습니다. 커뮤니티에서는 '테라리크(Teraleak)'라는 이름이 붙었고, 하프라이프 3가 들어 있다는 소문까지 돌았습니다. 하지만 확인된 사실만 추려 보면 이야기는 훨씬 단순하고, 그래서 더 교훈적입니다. 이 글은 실제로 무엇이 유출됐는지, 무엇이 아직 소문인지, 그리고 서비스를 운영하는 쪽에서 무엇을 배워야 하는지를 정리합니다.
핵심 요약
- 2026년 8월 29일 전후 스팀2 시대(2003~2013) 데이터 12TB 이상이 온라인에 확산
- 원인은 해킹이 아니라 외부에서 접근 가능하게 남은 레거시 엔드포인트
- 포탈 2 베타·F-Stop·초기 L4D·CS:GO 빌드 확인, 하프라이프 3·에피소드 3 빌드는 없음
- 현재 계정·결제 정보 유출 정황 없음, 밸브 공식 입장 없음
무슨 일이 있었나
Engadget에 따르면 유출 데이터는 2003년부터 2013년 사이 스팀에 올라간 콘텐츠로 보이며, 총량은 12TB를 넘습니다. 밸브 자사 게임(하프라이프, 레프트 4 데드, 포탈)의 베타 빌드와 완성본, 그리고 서드파티 게임의 빌드까지 섞여 있습니다. 확산이 시작된 시점은 8월 29일 전후입니다.
가장 중요한 점은 이것이 해킹이 아니었다는 것입니다. Tom's Hardware는 밸브가 레거시 인프라로 이어지는 엔드포인트를 외부에서 접근 가능한 상태로 남겨 두었고, 아카이브 수집가들이 그곳에서 12~13TB를 내려받았다고 전했습니다. 파일이 2013년에서 끝나는 이유도 그때 밸브가 다른 저장 시스템으로 옮겼기 때문이라는 설명이 나왔습니다(X 사용자 Gabe Follower의 설명을 Engadget이 인용). 기사 작성 시점까지 밸브는 공식 입장을 내지 않았습니다.
확인된 것과 소문인 것
| 항목 | 상태 |
|---|
| 2009년 7월 포탈 2 베타, 취소작 F-Stop 자료, 초기 레프트 4 데드·CS:GO 빌드 | 여러 매체 확인 |
| 하프라이프 2: 에피소드 3와 연결된 'Weaponizer' 무기 모델 | 모델은 확인, 단 포탈 2 개발 파일 안에서 발견 |
| 플레이 가능한 에피소드 3 또는 하프라이프 3 빌드 | 발견되지 않음 |
| 현재 사용자 계정·결제 정보 | 유출 정황 없음 |
기존 글에서 "미공개 하프라이프 2: 에피소드 3 자산 포함"이라고만 쓴 부분은 바로잡아야 합니다. NeonPioneers와 Shane the Gamer가 정리했듯 Weaponizer 모델은 2011년 Dota 2 베타 유출과 밸브 다큐멘터리에서도 이미 등장했고, 밸브가 포탈 2 개발 중에 플레이스홀더로 재사용한 것으로 알려져 있습니다. 즉 "에피소드 3 빌드가 나왔다"가 아니라 "에피소드 3와 연관된 에셋 하나가 포탈 2 파일에서 나왔다"가 정확한 표현입니다.
왜 '해킹이 아니었다'가 더 무서운가
침입 사고라면 방어 체계를 강화하면 됩니다. 반면 이번 건은 아무도 신경 쓰지 않던 옛 저장소가 공개 상태로 10년 넘게 살아 있었다는 점이 문제입니다. 운영 관점에서 정리하면 다음과 같습니다.
- 자산 목록에서 빠진 시스템이 가장 위험합니다. 2013년에 저장 시스템을 옮긴 뒤에도 이전 엔드포인트가 꺼지지 않았다면, 이관 체크리스트에 '구 시스템 폐기'가 없었다는 뜻입니다.
- 데이터 수명 주기 정책이 필요합니다. 보관 기한이 지난 빌드·에셋은 암호화 아카이브로 옮기거나 폐기해야 합니다.
- 외부 노출 점검은 정기적으로 합니다. 자사 도메인과 IP 대역을 외부에서 스캔해 열려 있는 엔드포인트를 찾는 작업은 신규 서비스만이 아니라 레거시에도 적용해야 합니다.
- "오래된 데이터라 괜찮다"는 판단은 회사가 아니라 외부가 내립니다. 이번 유출에 개인정보가 없었던 것은 다행일 뿐, 같은 구조에 고객 데이터가 있었다면 결과는 완전히 달랐을 겁니다.
게이머 입장에서 볼 점
현재까지 계정·결제 정보 유출 정황은 없으므로 비밀번호를 급히 바꿀 이유는 이번 사건만으로는 없습니다. 다만 유출 파일을 "하프라이프 3 빌드"라며 내려받으라고 유도하는 링크는 악성코드 배포에 악용되기 쉬우니 피하는 게 좋습니다. 또 아카이브에는 서드파티 개발사의 저작물도 섞여 있어, 공유·재배포는 저작권 문제가 될 수 있습니다.
정리
스팀 테라리크는 '역대급 해킹'이 아니라 '역대급 방치'에 가깝습니다. 하프라이프 팬들에게는 포탈 2와 F-Stop의 개발 흔적이 흥미로운 볼거리지만, 운영자에게는 꺼지지 않은 구 서버 하나가 얼마나 큰 노출이 될 수 있는지 보여준 사례입니다. 밸브가 공식 설명을 내놓으면 이 글을 업데이트하겠습니다.
자주 묻는 질문
Q. 내 스팀 계정은 안전한가요?
현재까지 공개된 분석에서는 2003~2013년 게임 빌드와 에셋만 확인됐고, 현재 사용자 계정·결제 정보가 포함됐다는 정황은 없습니다. 다만 평소처럼 스팀 가드(2단계 인증)를 켜 두는 것은 이번 사건과 관계없이 권장됩니다.
Q. 하프라이프 3가 들어 있다는 말은 사실인가요?
아닙니다. 플레이 가능한 하프라이프 3나 에피소드 3 빌드는 발견되지 않았습니다. 에피소드 3와 연결된 것은 Weaponizer 모델 하나이며, 그마저 포탈 2 개발 파일에서 나왔습니다. 'ep3' 파일명이 있다는 주장도 검증되지 않았습니다.
Q. 왜 2013년까지 자료만 있나요?
밸브가 2013년 무렵 다른 저장 시스템으로 옮겼고, 노출된 엔드포인트가 그 이전 시스템(스팀2 시대)에 연결돼 있었기 때문이라는 설명이 나왔습니다. 밸브의 공식 확인은 아직 없습니다.
Q. 우리 회사도 비슷한 위험이 있을까요?
시스템 이관을 한 적이 있다면 가능성이 있습니다. 이관 후 구 시스템의 DNS 레코드, 스토리지 버킷, API 엔드포인트가 실제로 꺼졌는지 확인하는 것이 가장 먼저 할 일입니다. 클라우드 스토리지라면 공개 접근 설정과 버킷 정책을 점검하고, 오래된 서브도메인이 아직 응답하는지 외부에서 직접 확인해 보는 것만으로도 상당 부분을 걸러낼 수 있습니다. 특히 담당자가 바뀐 시스템일수록 문서와 실제 상태가 다를 가능성이 큽니다.
Q. 유출 파일을 받아 보는 건 괜찮나요?
권하지 않습니다. 밸브뿐 아니라 서드파티 개발사의 저작물이 섞여 있어 저작권 문제가 될 수 있고, '하프라이프 3 빌드'를 내세운 다운로드 링크는 악성코드 유포 통로로 쓰이기 쉽습니다.
이 글의 작성 원칙
이 글은 공식 발표와 주요 매체 보도를 직접 확인해 정리했습니다. 공식 확인이 없는 내용은 [보도]로 표시했고, 편집자 해석은 사실과 구분해 "편집자 분석"이라고 밝혔습니다. 원래 같은 날 여러 소식을 묶어 쓴 글이었으나, 독자에게 더 도움이 되도록 한 주제로 다시 쓰고 잘못된 수치와 근거 없는 추측을 바로잡았습니다. 새로운 사실이 확인되면 본문 하단에 수정 날짜와 함께 업데이트하겠습니다. 오류를 발견하시면 문의 페이지로 알려주세요.
출처
댓글
댓글 쓰기