클릭 없이 광고로 감염되는 스파이웨어, 시티즌랩이 첫 증거 공개

온라인 광고에는 단순히 이미지 이상의 것이 담길 수 있다. 코드도 실릴 수 있다. 토론토대학교의 Citizen Lab 연구진은 이제 그 코드가 단 한 번의 터치도 없이 특정인의 기기에 스파이웨어를 심는 데 쓰였다는 사실을 밝혀냈다. 연구소는 이 기법을 AdFection이라고 부른다. 이 방식으로 해킹당한 사람은 “수상한 점을 전혀 알아채지 못할 것”이라고 선임 연구원 빌 마르차크(Bill Marczak)는 Wired에 말했다. “사실 광고를 아예 보지 못할 수도 있습니다.”

무료 앱이 가득한 휴대전화를 쓰는 사람이라면 누구나 주목해야 할 문제다. 지금까지 제로클릭 공격은 주로 기업이 보안 패치를 배포할 수 있는 메시징 앱의 취약점을 노렸다. 이번 공격은 어떤 광고를 보여줄지 결정하는 일상적인 시스템을 이용했다. 앱이나 웹페이지가 열릴 때마다 1초도 안 되는 시간 동안 진행되는 광고 경매 과정에서, 이미 기기의 광고 ID와 IP 주소, 휴대전화 관련 정보가 오간다는 점을 노린 것이다.

공격의 중심에는 이스라엘에 등록된 기업 Discover-Tech가 있다. 이 회사는 광고 기업을 표방했다. 보고서에 따르면 Discover-Tech의 플랫폼 Controlium은 고객이 광고 ID, 브라우저 쿠키 또는 IP 주소를 이용해 특정 표적을 골라내고, 광고가 표시되는 순간 해당 기기에 코드를 보내도록 했다. 그 밖의 이용자에게는 정상 광고가 노출됐다. Citizen Lab은 알자지라(Al Jazeera) 뉴스 네트워크를 겨냥한 일련의 공격이 스파이웨어 제작사 Candiru의 소행이라는 데 높은 확신을 보였다. Candiru는 현재 Integrity Labs라는 이름을 사용한다. 방송사 내부의 기기 45대 이상이 표적이 됐고, 감염된 Windows 컴퓨터 한 대에서는 Candiru의 서버를 가리키는 파일이 발견됐다.

연구진이 시스템 안으로 들어간 과정은 거의 우스울 정도다. Controlium의 로그인 페이지에는 대시보드 전체의 소스 코드가 그대로 포함돼 있었다. 연구진은 페이지를 저장한 뒤 외부 서버로 연결되는 링크를 끊고 모든 화면을 켜봤다. Discover-Tech 서버에는 광고 입찰 기록 약 40억 건도 거의 4개월 동안 공개된 채 남아 있었다. 기록에 따르면 공격자의 스크립트 태그가 들어간 광고는 Android와 iOS 앱 75,373개, 웹사이트 120,768곳에서 노출됐다. 익숙한 이름들도 눈에 띈다. 메신저 Viber에서는 Android 기기에 이런 광고가 70만 회 넘게 노출됐고, Yahoo Mail과 Opera Mini, Duolingo에도 광고가 등장했다.

이 수치는 신중하게 해석해야 한다. 화면에 Discover-Tech 광고가 떴다고 해서 휴대전화가 해킹당했다는 뜻은 아니라고 연구소는 강조한다. 대부분의 경우 서버는 아무 코드도 보내지 않았으며, 입찰 데이터는 4개월 동안 해당 기업의 광고 플랫폼 가운데 하나에서 수집된 내용만 담고 있다. Citizen Lab은 알자지라 공격에 어느 정부가 비용을 댔는지 밝히지 않았다. 광고가 NATO와 United Nations, 여러 유럽 기관의 네트워크에 도달했다는 연구 결과도 감염이 확인됐다는 뜻이 아니라 공격의 도달 범위를 보여준다. 노르웨이에서는 의회와 경찰 네트워크에 광고가 도달했고, 스웨덴에서는 군과 국가 전력망 운영기관의 네트워크에 노출됐다. 일반 이용자가 취할 수 있는 방어책은 제한적이다. 마르차크는 “누구인지, 무슨 일을 하는지를 근거로” 표적이 될 수 있는 사람이라면 광고 추적을 끄거나 광고를 전부 차단하라고 조언했다.

광고 업계도 대응에 나섰다. Google은 Citizen Lab 및 보안 기업 Confiant와 공동 조사한 뒤 Discover-Tech를 자사 광고 플랫폼에서 차단했으며, 해당 업체와 연관된 웹사이트에 Safe Browsing 경고를 추가했다고 밝혔다. IAB Europe은 승인된 광고 업체 명단에서 Discover-Tech를 정지시켰고, Comcast가 소유한 Beeswax도 자사 플랫폼에서 이 회사를 퇴출했다. Discover-Tech는 Wired와 TechCrunch의 논평 요청에 답하지 않았다.

Citizen Lab은 2026년 10월 15일 보고서를 공개했다. 보고서는 2024년과 2025년에 알자지라를 겨냥한 공격과 2026년 3월부터 6월까지의 입찰 데이터를 다룬다. 연구소는 DARK CARTOGRAPHER라고 부르는 별도의 집단에 관한 두 번째 보고서도 공개할 예정이다. Citizen Lab에 따르면 이 집단은 30개국이 넘는 곳에서 이동통신사의 취약점을 이용해 휴대전화의 광고 ID와 전화번호를 연결하는 데 같은 인프라를 사용했다.

마르차크는 Discover-Tech가 “빙산의 일각에 불과한 것이 분명하다”고 말한다. 연구진은 광고를 찾으려고 멀리 뒤질 필요도 없었다. CBC와 Yahoo 웹사이트를 읽거나 Android에서 스도쿠 게임을 하는 동안 연구진 자신의 화면에도 광고가 나타났다.

태그: 사이버 보안, 온라인 광고, AdFection, Candiru, Citizen Lab, Discover-Tech