[동아게임백과사전] 안티치트는 어떻게 핵 이용자를 잡을까?

온라인 게임을 즐기다 보면 수십만 개의 계정이 불법 프로그램 사용으로 제재됐다는 공지를 심심치 않게 볼 수 있습니다. 게임사들은 안티치트를 통해 핵이나 봇, 매크로를 적발했다며 제재된 계정 수를 공개하는데요.

이쯤 되면 궁금증이 생깁니다. 안티치트 프로그램은 수많은 이용자 가운데 핵을 사용하는 사람을 대체 어떻게 찾아내는 걸까요?

오늘날과 같은 안티치트의 출발점을 살펴보기 위해서는 2000년으로 거슬러 올라가야 합니다. 초기 온라인 게임에도 서버 관리자가 기록을 확인하거나 비정상적인 움직임을 보이는 이용자를 내보내는 기능은 존재했습니다. 이 때문에 최초의 안티치트를 하나로 단정하기는 어렵지만, 독립적으로 개발돼 여러 게임에 적용된 상용 안티치트의 시초로는 2000년 공개된 ‘펑크버스터’가 자주 언급됩니다.

펑크버스터는 ‘팀 포트리스 클래식’에서 기승을 부리던 핵 이용자에게 문제의식을 느낀 토니 레이가 개발하기 시작한 프로그램인데요. 2000년 9월 21일 ‘하프라이프’용 첫 베타 버전이 공개됐고, 이후 ‘리턴 투 캐슬 울펜슈타인’을 시작으로 ‘퀘이크 3’, ‘배틀필드’ 시리즈 등 여러 온라인 게임에 공식 도입됐습니다.

기본 원리는 비교적 단순합니다. 이용자의 PC에서 실행 중인 프로그램과 메모리 등을 검사한 뒤, 이미 알려진 핵 프로그램의 코드나 파일 특징과 일치하는 흔적을 찾는 방식입니다. 탐지 대상이 발견되면 해당 이용자를 서버에서 퇴장시키거나 게임 키, 계정 식별자 또는 서버 접속 권한 등을 차단했습니다.

쉽게 말해 경찰이 수배자의 얼굴과 지문을 목록으로 만들어 대조하는 것과 비슷합니다. 안티치트 업체가 새로운 핵 프로그램의 특징을 확보하면 이를 탐지 목록에 추가하고, 이용자의 PC에서 동일한 특징이 발견되는지 확인하는 방식입니다.

이후 밸브의 ‘밸브 안티치트’, 엔프로텍트의 ‘게임가드’, ‘배틀아이’, ‘이지 안티치트’ 등도 속속 등장했는데요. 각 프로그램의 세부 구조에는 차이가 있었지만, 게임 파일이나 메모리를 검사하고 알려진 핵의 특징을 찾아내는 방식이 오랫동안 안티치트의 기본으로 자리 잡았습니다.

하지만 여기에 맞춰 핵 프로그램은 탐지 목록에 등록된 흔적을 숨기거나 다른 프로그램으로 위장하는 방향으로 발전했습니다. 이에 게임사도 외부 솔루션을 사용하는 데 그치지 않고, ‘콜 오브 듀티’의 리코셰나 ‘배틀그라운드’의 자킨토스를 비롯한 자체 탐지 솔루션처럼 게임의 구조와 플레이 데이터를 반영한 안티치트 체계를 구축하는 사례도 늘었습니다.

이렇게 핵과 안티치트가 서로 탐지와 우회를 반복하면서 현대의 안티치트는 한 가지 방법에만 의존하지 않게 됐는데요. 크게 보면 이용자의 PC를 살피는 클라이언트 탐지와 게임 서버에서 플레이 기록을 분석하는 서버 탐지를 함께 사용합니다.

클라이언트 안티치트는 게임 파일이 변조됐는지, 게임 프로세스에 다른 프로그램이 코드를 삽입했는지, 알려진 핵 프로그램이 실행되고 있는지 등을 검사합니다.

서버 탐지는 이용자가 실제로 어떻게 움직이고 조준했는지를 봅니다. 예를 들어 사람의 손으로는 나오기 어려울 정도로 조준점이 적의 머리로 순간 이동하거나, 벽 너머에 있는 적을 지속적으로 따라가거나, 반동이 지나치게 일정하게 상쇄되는 행동이 반복되면 의심 대상으로 분류할 수 있습니다.

최근에는 여기에 머신러닝과 딥러닝도 활용됩니다. 조준 속도와 궤적, 사격 간격, 적과의 거리, 이동 방식, 명중률 등 방대한 플레이 데이터를 학습시킨 뒤 정상 이용자와 핵 이용자의 행동 차이를 찾는 방식입니다. 단순히 명중률이 높다는 이유만으로 잡는 것이 아니라, 조준점이 움직이는 과정과 여러 경기에서 반복되는 패턴을 종합적으로 분석합니다.

크래프톤 역시 ‘배틀그라운드’에 비정상적인 행동을 식별하는 AI 기반 탐지 체계를 운영하고 있습니다. 크래프톤은 탐지 모델을 개선한 이후 불법 프로그램 탐지량이 증가하고, 의심 행위를 찾아내는 데 걸리는 시간도 크게 줄었다고 밝혔습니다.

배틀그라운드는 한 경기에 참가하는 인원이 많아 핵 이용자 한 명이 최대 99명의 다른 이용자에게 피해를 줄 수 있는데요. 이 때문에 게임이 끝난 뒤 계정을 제재하는 것뿐만 아니라, 경기 도중 핵 이용자를 빠르게 탐지하고 차단하는 것도 중요합니다.

그렇다면 의심스러운 행동을 발견하는 즉시 차단하면 될 것 같지만, 실제 운영은 그렇게 간단하지 않습니다. 실력이 뛰어난 이용자를 핵으로 오인할 수 있고, 마우스나 그래픽 프로그램처럼 정상적인 소프트웨어가 탐지 규칙과 충돌할 가능성도 있기 때문입니다.

또 핵 이용자를 발견하자마자 차단하면 핵 제작자가 어떤 기능이 탐지됐는지 빠르게 알아낼 수 있습니다. 게임사들이 의심 계정을 일정 기간 관찰한 뒤 한꺼번에 제재하는 ‘밴 웨이브’를 사용하는 이유입니다. 핵 제작자가 어떤 기능이 탐지됐는지 곧바로 파악하기 어렵게 하고, 연관 계정이나 동일한 불법 프로그램의 사용 양상을 추가로 분석하기 위한 전략입니다.

탐지 능력을 높이기 위해 운영체제의 가장 깊은 영역인 커널에서 작동하는 안티치트도 등장했습니다.

대표적인 사례가 라이엇게임즈의 ‘뱅가드’입니다. 뱅가드는 게임 클라이언트와 시스템 상태가 변조되지 않았는지 확인하기 위해 커널 드라이버를 사용합니다. 커널 드라이버는 운영체제의 핵심 영역에서 작동하며 하드웨어와 메모리, 다른 프로그램의 동작을 일반 프로그램보다 높은 권한으로 확인할 수 있는데요.

하지만 커널 안티치트는 이용자의 PC에서 매우 높은 권한을 갖는 만큼 개인정보 보호와 보안, 프로그램 충돌, 성능 저하를 둘러싼 논란도 낳았습니다. 특히 뱅가드는 게임을 실행하지 않을 때도 PC가 부팅되는 순간부터 드라이버가 작동한다는 점에서 큰 반발을 불러왔습니다.

이에 라이엇게임즈는 2026년 6월 24일부터 일정한 보안 조건을 갖춘 PC를 대상으로, 이용자가 선택하면 뱅가드 드라이버를 게임 실행 중에만 작동시킬 수 있는 ‘온디맨드’ 방식을 순차적으로 지원하기 시작했죠.

이렇듯 안티치트가 완벽한 방패인 것은 아닙니다. 높은 권한으로 시스템을 검사하는 과정에서 정상적인 프로그램과 충돌해 이용자에게 불편을 줄 수 있고, 새로운 탐지법이 등장하면 핵 제작자도 곧바로 우회법을 연구합니다. 안티치트가 방어선을 높이면 핵 제작자는 이를 넘을 새로운 방법을 찾는 만큼, 양측의 싸움은 쉽게 끝나지 않습니다.

그럼에도 안티치트가 없다면 온라인 게임의 피해는 지금보다 훨씬 커질 수밖에 없습니다. 크래프톤은 2025년 DMA 장비를 활용한 핵 행위 약 26만 건을 영구 제재하고, 핵 제작 및 유통 조직을 상대로 법적 대응도 병행했다고 밝혔습니다.

전체 불법 프로그램으로 범위를 넓히면 2025년 11월까지 영구 제재된 계정은 약 781만 개에 달합니다. 안티치트와 같은 탐지 체계가 없었다면 이처럼 수백만 개에 이르는 불법 프로그램 이용 계정을 찾아내 제재하기는 어려웠을 것입니다.

안티치트는 게임을 실행할 때마다 별다른 설명 없이 함께 켜지는 프로그램인 만큼 귀찮게 느껴질 수도 있는데요. 하지만 우리가 최소한 비슷한 조건에서 대결할 수 있는 것은 보이지 않는 곳에서 핵과 끝없는 싸움을 벌이고 있는 안티치트 덕분일 수도 있으니, 조금은 관대하게 생각해 봐도 좋겠습니다.