스파이웨어를 조사하던 유럽의회 의원이 스파이웨어에 감염됐어요 — 페가수스 사건의 아이러니

조사하는 사람이 표적이 됐어요

토론토 대학교 산하 보안 연구소 시티즌랩(Citizen Lab)이 무거운 조사 결과를 발표했어요. 유럽의회에서 스파이웨어 남용을 조사하는 위원회에 참여했던 의원의 휴대폰이 페가수스(Pegasus) 스파이웨어에 감염된 정황이 포렌식으로 확인됐다는 내용인데요. 스파이웨어를 감시하라고 만든 조직의 구성원이 바로 그 스파이웨어의 표적이 됐다는 점에서, 단순한 해킹 사건을 넘어 민주주의 제도 자체를 겨눈 공격이라는 평가가 나와요.

배경을 조금 풀어볼게요. 유럽의회는 몇 년 전부터 PEGA 위원회라는 특별 조사 기구를 꾸려서 유럽 각국 정부의 스파이웨어 사용 실태를 파헤쳐 왔어요. 그리스에서는 프레데터(Predator)라는 스파이웨어로 기자와 정치인이 감시당한 사건이 있었고, 스페인에서는 카탈루냐 독립운동 인사 수십 명이 페가수스에 감염된 '카탈란게이트'가 터졌고, 폴란드에서도 야당 인사 감시 논란이 있었거든요. 그 조사의 한복판에 있던 사람이 감염됐으니, 조사 활동 자체를 들여다보려 했다는 의심을 지우기 어려운 상황이에요.

페가수스가 뭐냐면요

페가수스는 이스라엘 기업 NSO 그룹이 만든 상용 스파이웨어예요. '상용'이라는 말이 중요한데, 해커 집단이 아니라 정식 회사가 정부 기관에 판매하는 제품이라는 뜻이거든요. 무서운 건 감염 방식이에요. 흔히 해킹이라고 하면 이상한 링크를 눌러야 당한다고 생각하잖아요? 페가수스는 제로클릭(zero-click) 공격을 써요. 사용자가 아무것도 누르지 않아도, 예를 들어 iMessage로 조작된 데이터가 도착하는 것만으로 메시지 앱의 취약점이 터지면서 감염되는 방식이에요. 과거 FORCEDENTRY라는 익스플로잇은 이미지 파일 파싱 과정의 허점을 파고들었죠. 이런 공격에는 제조사도 아직 모르는 취약점, 즉 제로데이(0-day)가 쓰이기 때문에 최신 업데이트를 해도 완전히 막기 어려워요.

일단 감염되면 게임 끝이에요. 마이크와 카메라를 몰래 켜고, 암호화 메신저의 대화도 화면에 표시되기 전 단계에서 읽어가고, 위치와 사진, 통화까지 전부 가져갈 수 있거든요. 종단간 암호화가 소용없는 게, 암호화가 풀린 뒤의 기기 자체를 장악하기 때문이에요.

어떻게 잡아냈을까요

시티즌랩은 이런 감염을 포렌식으로 추적하는 데 세계 최고 수준의 노하우를 갖고 있어요. iOS의 시스템 로그와 백업 데이터에서 스파이웨어가 남긴 흔적, 예를 들어 특정 프로세스 실행 기록이나 알려진 공격 인프라와의 통신 흔적을 대조하는 방식인데요. 국제앰네스티가 공개한 MVT(Mobile Verification Toolkit)라는 오픈소스 도구도 같은 원리로 동작해요. 애플이 국가 지원 공격 의심 사용자에게 보내는 '위협 알림'이 조사의 출발점이 되는 경우도 많고요.

업계 맥락: 용병 스파이웨어 산업

이 사건은 '용병 스파이웨어(mercenary spyware)' 산업이라는 더 큰 그림 안에 있어요. NSO 그룹은 미국 상무부 블랙리스트에 올랐고, 애플과 왓츠앱(메타)이 각각 소송을 걸었고, 프레데터를 만든 인텔렉사(Intellexa) 관계자들은 미국의 제재를 받았어요. 그런데도 이 산업은 사라지지 않고 있어요. 수요자가 다름 아닌 정부이고, 규제를 만들 주체도 정부라는 구조적 모순 때문이거든요. 이번 사건은 그 모순의 결정판인 셈이에요. 감시를 규제하려는 입법자가 감시당했으니까요.

한국 개발자에게 주는 시사점

"나는 표적이 될 일 없는데"라고 생각하기 쉽지만, 배울 점이 분명히 있어요. 첫째, 기업 보안 담당자라면 모바일을 위협 모델에 넣어야 해요. 임원이나 핵심 개발자의 폰이 뚫리면 사내 시스템 접근 권한이 통째로 넘어가거든요. 둘째, 고위험 상황에 있는 사람에게는 실질적인 대응책이 있어요. iOS의 잠금 모드(Lockdown Mode)는 제로클릭 공격의 통로가 되는 기능들을 과감히 꺼버리는 기능이고, 실제로 여러 익스플로잇을 막아낸 기록이 있어요. 주기적인 재부팅도 메모리에만 상주하는 스파이웨어를 초기화하는 데 의외로 효과적이고요. 셋째, 개발자로서는 이미지 파서 하나의 버그가 국제 정치 사건으로 이어지는 시대라는 것, 즉 우리가 짜는 파싱 코드의 보안이 생각보다 훨씬 무겁다는 걸 실감하게 해주는 사례예요.

한줄 정리: 스파이웨어 조사 위원이 스파이웨어에 감염된 이 사건은, 기술적 취약점이 민주주의의 취약점으로 직결된다는 걸 보여줘요. 여러분은 본인 폰이 표적형 공격을 당했는지 점검해본 적 있나요? 잠금 모드 같은 기능, 실제로 쓸 만하다고 보세요?