요약
표적 광고가 화면에 뜨기만 해도 기기를 감염시키는 스파이웨어 유포 기법이 처음으로 공개 확인됐습니다.
보안 연구 기관 시티즌랩이 낸 보고서입니다. 이스라엘 광고 회사 디스커버테크가 광고 경매로 특정인을 골라 용병 스파이웨어(정부 등 고객에게 파는 상업용 해킹 도구) 업체 칸디루의 악성 코드를 심었다고 밝혔고, 이 기법에 AdFection이라는 이름을 붙였습니다.
왜 중요한가
- 광고를 누르지 않아도 표시되는 것만으로 감염되는 제로클릭 공격이어서, 표적 광고 자체가 공격 통로가 됐습니다.
- 이 업체는 2020년부터 구글과 IAB 유럽의 광고 업체 목록에 올라 있었지만 아무도 걸러내지 못했습니다.
- 보고서는 지금으로서는 표적 광고에 사용자와 네트워크를 안전하게 노출할 방법이 없다고 결론지었습니다.
핵심 내용
- 알자지라에서는 2024~2025년 최소 45대의 기기가 광고 노출 직후 칸디루 서버와 통신하며 감염됐습니다.
- 광고 속 스크립트가 광고 ID와 IP를 서버로 보내고, 표적일 때만 악성 코드를 돌려줘 광고 업체의 검사를 피했습니다.
- 디스커버테크의 Controlium 플랫폼은 고객이 광고 ID나 IP 주소로 특정인을 겨냥해 자동으로 감염시킬 수 있게 했습니다.
- 이 업체의 광고는 NATO, 유엔, 유럽의회 등 기관 네트워크에도 노출됐지만, 노출이 곧 감염을 뜻하지는 않습니다.
- 구글은 광고 거래소 접근을 끊었고, 보고서는 개인에게 광고 차단기 사용과 모바일 광고 ID 초기화를 권했습니다.
HN 반응
- 댓글 상당수는 이스라엘 기업을 믿을 수 있느냐는 논쟁으로 번졌고, 국가 작전이라는 증거가 있느냐는 반문도 나왔습니다.
- 광고 기술 업계 종사자라는 이용자는 제로클릭 감염 원리가 모호하고 광고 물량이 많아 플랫폼이 다 걸러낼 수 없다고 반론했습니다.
이스라엘 기술 기업이 이런 종류의 익스플로잇에 책임이 있는 게 처음도 아닙니다. 이쯤 되면 이스라엘에 기반을 둔 기술 기업은(특히 강한 산업을 이루고 있는 사이버 보안 기업은) 모두 이스라엘 정부에 예속돼 있다고, 따라서 믿을 만하지 않다고 봐야 한다고까지 말하고 싶습니다. 이런 기업이 신뢰할 만한 독립 주체로 행동할지, 아니면 국가의 이익을 위해 당신의 데이터를 넘길지 어떻게 확신할 수 있습니까?
저라면 이스라엘 기업보다 차라리 중국 기업을 믿겠어요. 이보다 신뢰할 수 없고 사용자에게 더 적대적인 나라가 또 있나요?
이상한 질문이고 이상한 댓글입니다. 보통 소프트웨어를 만드는 건 나라가 아니니까요. 다만 나라가 기업에 미치는 영향력이 큰 것처럼 보이긴 합니다. 중국의 감시 카메라가 그런 경우입니다.
디지털 자유를 가장 크게 제한하는 나라를 꼽으라면 이 표를 보라고 하겠습니다: https://eylenburg.github.io/countries.htm
가장 많은 사람에게서 가장 많은 프라이버시를 빼앗은 기업을 꼽으라면 구글과 메타 같은 미국 빅테크입니다.
이스라엘에도 Zcash처럼 그럭저럭 괜찮은 소프트웨어가 있기는 합니다.
여기서 말하는 이스라엘 기업들은 말 그대로 범죄 기업입니다. 메타가 하는 짓도 불법이어야 합니다. 둘 다 비도덕적입니다.
언론인 한 명을 노린 스파이웨어 하나는 페이스북 사용자 한 명이 겪는 피해보다 훨씬 나쁩니다. 하지만 사회 전체에 미치는 총영향으로 보면 둘 다 민주주의와 인권을 심각하게 무너뜨립니다.
신뢰에 관해서라면, 프라이버시 문제에서는 신뢰 자체를 피하라는 쪽입니다. 꼭 필요하면 E2EE를 쓰거나 직접 호스팅하세요. 어느 나라인지는 그다지 중요하지 않습니다.
결국 우리는 어딘가에서는 클로즈드 소스 코드를 돌리게 됩니다
그렇다면 이스라엘 기술을 피하는 편이 훨씬 낫습니다
원칙적으로 이스라엘 제품을 전부 보이콧하면 더 똑똑하고, 더 윤리적이고, 더 안전해집니다
Zcash는 Monero의 대안으로 만들어졌습니다. Monero에서는 모든 거래가 완전히 익명입니다. Zcash에서는 거래를 익명으로 할지 말지 고를 수 있어서, 사용자가 익명 거래를 피하라는 압박을, 그리고 익명 거래를 쓰는 사용자와 엮이거나 거래하는 것을 피하라는 압박을 받을 수 있습니다. 이게 Zcash의 주된 장점이자 셀링 포인트라고 하니 참 대단합니다.
"사용자에게 적대적"이라는 게 뭔지 좀 더 정의해 주세요. 중국 기기는 아무렇게나 백도어를 심어서 온 세상 사람들에게 문을 열어 줍니다. 일반 소비자용 공유기 펌웨어요? 뚫려 있습니다. 손에 넣을 수 있는 정보는 닥치는 대로 삼키고, 그 정보로 사람들을 협박하는 사기 단지를 운영합니다. 이스라엘은 좀 더 표적을 정해 움직이는 방식인 듯하지만, 피해 범위가 확실히 있기는 합니다. 사이버 보안에서 어느 한 나라가 다른 나라보다 더 나쁘다고 말하기는 어렵습니다. 미국, 이란, 북한, 중국, 이스라엘, 러시아 등 모두 마찬가지입니다. 전부 소비자를 위험에 빠뜨립니다. 당장이든, 나중에 익스플로잇이 드러나 다른 악당(사기꾼)들이 그걸 써먹게 될 때든요. 어느 쪽이든 우리에게는 지는 게임입니다.
그들은 이 소프트웨어로 사람을 찾아내서 죽여요. 그러고는 그걸 공개적으로 자랑하고요. 얼마나 더 적대적이어야 하는데요?
저도 그 정의를 듣고 싶네요. 이스라엘 기업을 믿지 않는다는 것과, 중국을 믿는다는 것은 별개의 이야기니까요. 중국을 택하면 기업 하나가 아니라 수십 년째 신뢰할 수 없기로 유명한 정부를 믿는 셈이거든요. 이스라엘 정부가 기업을 설득해 협력하게 만들 수 있느냐는 일단 접어 두더라도, 중국 정부가 자국 기업들을 자기 사업처럼 부린다는 건 다들 아는 사실이잖아요.
폭발하는 호출기요. 이스라엘은 말 그대로 소비자용 기술로 사람들을 죽였어요.
그들이 죽인 건 전투원이고, 그 전쟁을 일으킨 건 그 전투원들 쪽입니다. 이스라엘에게 자신을 공격하는 자들에 맞서 스스로를 방어할 권리가 있다고 인정한다면, 표적을 그렇게까지 정밀하게 겨냥하지 않는 수단으로 이 전투원들을 무력화하는 쪽을 택할 수도 있었고, 그러면 '부수적 피해'가 더 늘어났을 겁니다. 그랬다면 당신은 어떻게 반응했겠습니까?
아, 자기방어를 위한 반인도 범죄이자 테러 행위였다는 거군요. 좋은 걸 배웠네요. 팔이 타서 날아간 아이들한테 가서 그렇게 말해 보세요.
그들은 표적 자체보다 훨씬 많은 민간인을 죽이고 불구로 만들었습니다.
안타깝지만 이스라엘이 저지르는 잔학 행위에는 어떤 정당화도 있을 수 없습니다. 전혀요.
오, 수치를 갖고 계세요? 아니면 그냥 거짓말이에요?
그 수치를 집계하고 발표하는 기관의 구성원을 일부러 전부 몰살하려고 들었으니, 수치가 그들에게 몹시 불리하게 짜여 있다고 봐도 되겠죠.
레바논에서요?
저는 대량 학살을 정당화하려는 사람들과는 보통 논쟁하지 않습니다.
수치는 여러 독립적인 출처에서 얼마든지 찾아볼 수 있습니다. 이스라엘은 하마스가 지금까지 죽인 것보다 비교도 안 되게, 자릿수가 다르게 많은 민간인을 죽였습니다. 이 호출기 공격만 해도 기기 하나마다 부수적 피해자가 여럿 나왔다고 보도됐고요.
그러니 역겨운 인간이 되고 싶으시면 다른 사람한테 가서 하세요.
하마스가 호출기 공격이랑 무슨 상관인데요?
이스라엘 기업이 아닌 회사가 팔았고(헤즈볼라가 그 정도로 멍청하지는 않으니까요), 오직 헤즈볼라한테만 팔았죠. 그래도 진정성 없는 우려를 만들어 내려는 시도는 잘 봤어요.
"진정성 없다"고요?
우리가 사는 세상에서 NSO 그룹은 법적 책임으로부터 보호받습니다. 미국 시민이라도 좋든 싫든 이스라엘의 감시 아래 살고 있습니다. 언론인이라면 이스라엘이 당신의 적대 세력에게 Pegasus 스파이웨어를 팔아 당신을 추적하게 하고 목숨을 위태롭게 할 겁니다. 모사드라면 수단만 있을 때 제 폰을 터뜨리고도 남을 겁니다. 이츠하크 라빈은 그보다 사소한 일로도 살해당했습니다.
호출기 공격은 인간을 혐오하는 리쿠드 전술이라는 모자이크의 돌 하나일 뿐입니다. 리쿠드가 이스라엘의 평판에 끼친 손상은 의도된 것이었고, 이스라엘 국민을 급진화하고 비민족주의 정치 운동을 폭력적으로 억누르도록 처음부터 설계된 것입니다. 제가 보기에 나머지 세계가 질려 하는 것은 당연합니다.
네, 이스라엘 기업에서 사지 말라고 사람들을 설득하려는 뻔한 레퍼토리입니다(전에도 보고 반박한 적이 있습니다). 하지만 이미 설명했듯이 그건 해당하지 않고, NSO 시나리오에서는 어차피 당신이 그들의 고객도 아닙니다.
헤즈볼라 일원이 아니라면 그럴 것 같지 않습니다. 이츠하크 라빈은 모사드가 죽인 게 아니고, 당신의 행동이 이츠하크 라빈의 행동보다 더 중요하다고 생각한다면 그건 과대망상입니다.
호출기 공격은 모사드가 설계했습니다. 리쿠드와 특별한 관련이 있다고 믿을 이유가 없습니다.
NSO 그룹에는 그 시나리오가 전적으로 해당합니다. 해외에서 초법적인 행위를 하는 이스라엘 기업은 NSO만이 아닙니다. 국가의 보호를 받는 기업도 NSO만이 아닙니다. 다만 NSO는 유난히 악질적이고 비인도적이며, 자의식 있는 스마트폰 사용자라는 상당한 계층의 심기를 개인적으로 건드리는 곳일 뿐입니다. 홍보에 좋지 않죠.
당신도 알고 있겠지만, 이츠하크 라빈은 네타냐후의 지지, 자신의 목숨이 위협받고 있다는 사실에 대한 리쿠드의 완전한 인지, 신베트의 묵시적 협조 속에서 살해됐습니다: https://jewishstandard.timesofisrael.com/rabins-murder-and-a-critical-election/
그러니 어쩌면 모사드는 정말 그 일과 무관했을지도 모릅니다. 하지만 그렇다고 리쿠드의 폭력적인 수사가 달라지는 것도, 리쿠드가 모사드의 폭력적 목표 추구를 부추기는 방식이 달라지는 것도 아닙니다. 이 부패하고 치명적이며 억압적인 사고방식은 리쿠드의 정치 전략에 뿌리박혀 있고, 평화나 비폭력을 장려하는 목소리를 의도적으로 억누릅니다.
모사드는 이스라엘 총리에게 직접 보고하고, 당시 총리는 리쿠드 정치인이었습니다. 모사드가 리쿠드의 개입 없이 공격 전체를 실행했다고 생각하십니까? 제 지성을 그렇게 쉽게 모욕하지 마십시오. 모사드가 그 공격을 연구하고 개발하도록 밀어붙인 것이 리쿠드의 재촉이었다 해도 저는 놀라지 않을 겁니다.
이스라엘 기업이 고객에게 위험하다는 주장을 당신은 계속 입증하지 못하고 있습니다. 제가 반박하는 게 바로 그 주장인데, 당신은 신베트의 묵시적 협조라는 음모론 냄새가 나는 무관한 이야기만 늘어놓고 있습니다.
이스라엘 기업은 고객을 포함한 모든 이에게 본질적으로 위험합니다. 이들은 법의 지배를 받지 않고, 피해자 수에도, 피해를 입히는 방식에도 한계가 없습니다. 이스라엘 정부가 범죄자를, 심지어 범죄 기업 전체를 조사, 인도, 기소로부터 보호한다는 건 음모론이 아닙니다. 이런 조직에는 책임을 묻는 제도가 없고, 대부분은 신빙성 있는 조사를 받지 않으므로 고객을 무차별로 공격해도 처벌받지 않습니다.
저라면 제가 이스라엘 시민이라 해도 그들을 믿지 않을 겁니다.
일부 다국적 기업은 연구개발 사무소를 이스라엘에 두고 있고, 꽤 훌륭한 연구도 많이 나옵니다. 신뢰 면에서는 러시아가 아마 더 나쁠 텐데, 러시아는 이스라엘과 달리 서방에 공공연히 적대적이기도 합니다.
이게 범죄 집단이 아니라 국가 차원의 작전이라는 증거가 있나요?
포춘 500대 기업 중 아주 많은 곳이 이스라엘 사이버 보안 서비스를 씁니다.
그렇다면 당신의 걱정이 현실과 어긋나 있거나, 이점이 당신이 생각하는 어떤 위험보다 훨씬 크다는 뜻인 것 같습니다.
(이스라엘 사람이고 사이버 보안 분야에서 일하는 입장에서 하는 말입니다)
아니면 포춘 500대 기업은 개인과는 취약점도, 재력도, 걱정거리도 다른 걸 수도 있잖아요.
EU 전력망의 상당 부분이 이스라엘산 임베디드 시스템을 씁니다.
그러니까 그렇게 하지 말아야 한다는 말입니다. 그런 이스라엘 기업들은(정부의 요청을 거절할 수 없거나 거절하지 않을 테니) 고객의 최선의 이익에 어긋나는 일을 할 가능성이 꽤 있으니까요.
애드테크 엔지니어입니다(업계 경력 13년쯤 됩니다). 몇 가지 짚겠습니다:
이 보고서는 "제로클릭" 부분에서 몹시 선정적입니다. 유포와 C&C 방식은 어느 정도 상세히 다루지만, 핵심인 "그 멀웨어를 제로클릭 방식으로 실행시킨 메커니즘이 무엇이었는가"는 매우 모호하게 넘어갑니다.
아래에 달린 "광고 제공자에게 책임을 물어야 한다"는 지적에 관해서입니다. "광고 제공자"라는 건 존재하지 않습니다. 애드테크 생태계는 다양한 틈새시장과 비즈니스 모델로 들끓고 있습니다. 유명한 LUMAscape 다이어그램을 보세요: https://lumapartners.com/lumascapes/ . 트래픽 양이 워낙 방대해서 그 일부라도 검증하는 것이 사실상 불가능합니다. 구글이 서드파티 광고 소재를 사전 검사하는 데 막대한 컴퓨팅 자원을 쏟아부었는데도 악의적 행위자는 빠져나옵니다. 여기에 그쪽의 정교함까지 더해집니다(사용자 유형에 대한 판단에 따라 랜딩 페이지를 달리하는 것부터, 딱 그런 캠페인 하나만 돌리려고 일회용 광고주 계정을 양산하는 것, 정교한 기술적·사회공학적 수단으로 정상 계정을 탈취하는 것까지). 결국 분개한 정치인들은 늘 하던 대로 구글을 고소하거나 벌금을 물리고 그걸 승리라 부르는데, 진짜 악당들은 그냥 계속 갑니다.