캐나다 토론토대 시티즌랩(Citizen Lab)이 10월 15일(현지시간) 이스라엘 기반 광고 업체 Discover-Tech가 타깃 광고를 이용해 사용자를 대규모로 프로파일링하고 표적 기기에 제로클릭 용병 스파이웨어를 심는 데 관여했다는 보고서 "Exposing AdFection"을 공개했다.
시티즌랩은 이 기법을 "AdFection"이라 부르고, 타깃 광고를 통한 제로클릭 스파이웨어 실전 감염을 기술적으로 처음 입증한 사례라고 밝혔다. 알자지라의 기기들이 Candiru 스파이웨어에 감염됐다고 높은 확신으로 판단했다. 보고서 이후 구글과 IAB 유럽은 이 업체를 인증 벤더 목록에서 뺐다.
- Discover-Tech의 플랫폼 Controlium은 광고 노출 시 수집한 광고 식별자·IP로 대상을 고르고, 선택된 기기에만 악성 자바스크립트를 내려보내는 구조라고 시티즌랩은 분석했다.
- 이 업체가 광고를 띄우려 입찰한 기록은 수십억 건이며, 수십 개국 수백만 대의 기기가 프로파일링·감염 서버에 접속하도록 유도됐다. 듀오링고, 야후 메일, 바이버, 트루콜러 등 앱에서도 광고가 확인됐다.
- 보고서 이후 구글·IAB 유럽은 인증 벤더 목록에서 Discover-Tech를 제외했고, 구글·Beeswax는 광고 시스템 접근을 차단했다.
무슨 일이무슨 일이 있었나
시티즌랩 보고서는 빌 마르착(Bill Marczak), 볼피 크리슈틀(Wolfie Christl), 존 스콧-레일턴(John Scott-Railton) 등이 작성했다. 출발점은 실시간 입찰(RTB) 광고 시장이다. 웹사이트나 앱에서 타깃 광고가 보일 때마다 그 뒤에서는 순식간에 경매가 열리고, 이 과정에서 사람과 기기에 관한 엄청난 정보가 수많은 업체에 뿌려진다. 시티즌랩은 이 생태계가 수백만 명을 프로파일링한 뒤 표적을 조용히 감염시키는 데 대규모로 무기화되고 있다고 결론 내렸다.
보고서의 중심에 있는 Discover-Tech는 겉으로는 정상적인 디지털 광고 업체를 표방한다. 그러나 시티즌랩은 이 회사가 정상 광고 활동을 했다는 증거를 찾지 못했다고 밝혔다. 회사 최고경영자는 디지털 광고 경력의 데켈 보니(Dekel Boni)이며, 보고서에 따르면 NSO 그룹·인텔렉사와 가까웠던 감시 업체 Circles·Senpai Technologies의 공동 창업자가 2020년부터 2025년까지 이사회에 있었고, 2020~2026년에는 인텔렉사의 법인 네트워크를 관리했으며 그리스 스파이웨어 스캔들로 징역 8년(항소 중)을 선고받은 인물과 연결된 회사가 주주였다. 가디언은 Discover-Tech에 입장을 물었다고 보도했다.
핵심 내용공격은 어떻게 작동하나
시티즌랩 분석에 따르면 Controlium은 용병 스파이웨어 업체를 위한 원스톱 플랫폼이다. 고객은 iOS·안드로이드 광고 식별자, 광고 플랫폼 쿠키 ID, IP 주소를 올려 표적 목록을 만든다. 이후 흐름은 다음과 같다.
광고 자체에 악성 코드가 없다는 점이 핵심이다. 광고 플랫폼이 심사하는 것은 광고 소재이고, 실제 공격은 렌더링 이후 별도 서버에서 특정 사용자에게만 내려온다. 시티즌랩은 이 구조가 광고를 실어 나르는 플랫폼으로부터 숨은 목적을 감추는 데 도움이 됐다고 분석했다. Controlium의 사용자로는 미국 상무부 제재 명단에 오른 스파이웨어 업체 Candiru가 지목됐고, 제로클릭 모바일 익스플로잇 전문 업체 Bindecy, 감시 업체 Intelos와의 연결도 언급됐다.
배경어디까지 퍼졌나
보고서는 Discover-Tech가 구글, 얀덱스, Beeswax 같은 주요 광고 네트워크와 연동했고, IP와 모바일 광고 ID 등 여러 식별자를 엮어 한 사람을 추적했다고 밝혔다. 광고는 듀오링고, 데이팅 앱, 생리 주기 앱, 독일 날씨 앱, 야후 메일, 바이버, 트루콜러 같은 앱과 CBC, 아큐웨더, 폭스뉴스, 뉴욕타임스, BBC 등의 사이트에서 관측됐다.
더 우려스러운 것은 노출된 네트워크다. 시티즌랩은 국방부, 군, 국가 사이버 기관, NATO 같은 다자 안보 기구, 유럽의회·유럽연합 집행위원회 네트워크에서 광고 노출을 확인했다. 노르웨이 의회와 경찰, 스웨덴 군과 전력망 운영사, 덴마크 철도와 은행 등 북유럽 국가 기관도 목록에 있다. 반도체 업계에서는 인텔 네트워크에서 가장 많은 노출이 나왔고 엔비디아·마이크론·ARM 등도 포함됐다. 애플·마이크로소프트 같은 대형 기술 기업 네트워크도 언급됐다.
시티즌랩은 광고 업계의 실사 부재도 문제 삼았다. 대규모 프로파일링과 스파이웨어 해킹을 지원한 회사가 구글과 IAB 유럽이 관리하는 "인증·승인" 벤더 목록에 올라 있었다는 것이다. 볼피 크리슈틀은 가디언에 주요 광고 업체와 기관들이 수년 동안 이 회사의 악성 광고 활동을 탐지하지도 막지도 못한 것은 재앙적이라며, 지금의 온라인 광고 생태계는 국가·민간·시민사회 모두에 대한 보안 위협이라고 말했다.
할 일개발자·운영자는 무엇을 해야 하나
이번 사안의 근본 해법은 규제와 광고 업계의 몫이다. 시티즌랩도 규제 당국과 업계에 대한 권고를 보고서에 실었다. 그래도 서비스를 만드는 쪽에서 위험을 줄일 수 있는 일은 있다.
자주 묻는 질문
AdFection이란 무엇인가요?
AdFection은 시티즌랩이 이름 붙인 공격 방식으로, 타깃 광고를 통해 사용자를 식별·프로파일링한 뒤 선택된 표적 기기에 제로클릭 스파이웨어를 설치하는 기법이다. 광고 자체에는 악성 코드가 없고, 렌더링 후 외부 서버가 표적에게만 악성 자바스크립트를 보낸다.
광고를 클릭하지 않아도 감염될 수 있나요?
시티즌랩 보고서에 따르면 그렇다. 이번에 확인된 방식은 제로클릭으로, 광고가 화면에 렌더링되는 것만으로 식별자가 전송되고, 표적으로 선택되면 사용자 조작 없이 악성 코드가 실행된다. 다만 실제 감염에는 기기나 브라우저의 취약점이 필요하다.
Discover-Tech는 어떤 회사인가요?
이스라엘 기반으로 디지털 광고 업체를 표방하지만, 시티즌랩은 정상 광고 활동의 증거를 찾지 못했다고 밝혔다. 이 회사의 Controlium 플랫폼 사용자로 미국 제재 대상 스파이웨어 업체 Candiru가 지목됐다. 가디언은 회사에 입장을 요청했다고 보도했다.
구글 등 광고 플랫폼은 어떻게 대응했나요?
시티즌랩에 따르면 조사 결과에 따라 구글과 IAB 유럽이 Discover-Tech를 인증·승인 벤더 목록에서 제외했고, 구글과 Beeswax는 이 회사의 광고 시스템 접근을 차단했다. 시티즌랩은 규제 당국의 조사도 촉구했다.
댓글 0