[속보] 루안티 ContentDB 서버 침해…비밀번호 재사용 이용자에 변경 권고

루안티(Luanti)의 콘텐츠 저장소 ContentDB가 서버 침해로 서비스를 중단했다. 루안티가 27일 공식 블로그에 공개한 보안 공지에 따르면 공격자는 계정 이메일과 해시 처리된 비밀번호, 업로드 파일 등이 담긴 데이터에 접근할 수 있었다. 운영진은 다른 사이트에서 ContentDB와 같거나 비슷한 비밀번호를 사용하는 이용자에게 즉시 변경을 권고했다.

공격에는 취약점 두 건이 쓰였다. 이 가운데 하나는 외부 구성요소에서 발견돼 해당 유지관리자에게 신고됐으며, 구체적인 내용은 수정과 공개가 이뤄진 뒤 알릴 예정이다. 운영진은 공격 사실을 알기 전인 22일 취약점 하나에 대한 패치를 적용했지만, 이미 침해가 시작된 상태였다고 설명했다.

공지에 명시된 UTC 기준으로 공격자는 22일부터 내부 설정에 접근했고, 이를 이용해 직원 계정에 로그인했다. 26일 0시 15분부터는 서버의 도커 컨테이너 안에서 명령을 실행할 수 있었던 것으로 확인됐다. 운영진은 같은 날 오전 9시 침해를 발견해 서비스를 내리고 세션, API 토큰, GitHub OAuth 토큰 등 인증 수단을 폐기했다.

접근 가능한 정보에는 사용자명과 이메일, 비밀번호 해시가 포함됐다. 비밀번호는 평문이 아니라 솔트를 적용한 bcrypt 해시로 보관됐다. 다만 운영진은 약하거나 흔한 비밀번호는 추측될 수 있다며 기존 비밀번호를 더 이상 안전한 것으로 여기지 말라고 당부했다. 26일 이전 2주 동안 패키지를 내려받거나 게임 안에서 조회한 이용자의 IP 주소도 접근 범위에 포함됐으며, 이 주소는 계정과 연결돼 있지 않았다고 밝혔다.

배포 파일의 실제 변조 여부는 별개다. 운영진은 모든 업로드 파일을 백업과 대조해 변경 사항을 발견하지 못했다고 밝혔다. 동시에 취약한 기간에 공격자가 악성 파일을 제공했을 가능성까지 배제한 것은 아니라고 설명했다. 파일 변조나 악성 코드 유포가 확인됐다는 의미는 아니다.

22일부터 26일 사이 ContentDB에서 파일을 내려받은 이용자에게는 다운로드 내역을 점검하고, 필요하면 다시 내려받거나 프로젝트 원본 소스와 비교하는 방안을 안내했다. 루안티를 사칭한 피싱 이메일에도 주의가 필요하다고 덧붙였다. 서비스가 재개되면 비밀번호와 API 토큰을 재설정하도록 할 예정이다.

운영진은 취약한 구성요소를 교체하면서 보안 감사를 이어가고 있다. 보안 업데이트 동안 ContentDB를 오프라인으로 유지하며, 복구에는 일주일 이상 걸릴 수 있다고 공지했다. 추가 조사 결과는 추후 공개할 계획이다.

출처: Luanti 공식 블로그 보안 공지
https://blog.luanti.org/2026/10/27/contentdb-security-incident/