Apple은 BleepingComputer에 8월 13일 특정 iPhone 기기를 겨냥한 유료 스파이웨어 공격의 징후를 포착한 뒤, 110개국의 표적 사용자들에게 새로운 위협 알림을 발송했다고 확인했다. 일부 사용자는 Reddit에서 알림을 받았다고 전했지만, Apple은 이 기능이 새로운 것이 아니며 2021년부터 매년 여러 차례 이러한 알림을 발송해 왔다고 설명했다.
사용자에게 표시되는 메시지는 Apple이 해당 사용자의 “iPhone을 겨냥한 유료 스파이웨어 공격”을 포착했다는 내용이다. 회사는 각 사례에서 사용된 프로그램을 공개하지 않기 때문에 8월 13일 알림을 특별히 Pegasus와 연결할 증거는 없다. 그러나 Apple은 NSO Group의 Pegasus를 이러한 유형의 스파이웨어를 보여 주는 역사적 사례로 언급하고 있으며, 과거의 디지털 포렌식 조사에서도 일부 기기가 Apple의 알림을 받은 뒤 Pegasus에 감염된 사실이 확인됐다.
특정 집단을 겨냥한 알림
Apple은 이전 지원 문서에서 특정 인물을 대상으로 한 고도로 표적화된 공격을 발견하면 150개국이 넘는 국가의 사용자들에게 위협 알림을 발송한다고 밝혔다. 역사적으로 표적이 된 집단에는 언론인, 활동가, 정치인, 외교관이 포함되며, 이러한 공격은 대체로 비용과 복잡성이 높고 매우 제한된 수의 사람을 대상으로 한다.
Apple은 유료 스파이웨어 공격에 수백만 달러가 들 수 있으며, 활동 기간도 대체로 짧아 이를 탐지하고 차단하기가 더 어렵다고 설명한다. 반면 회사는 대다수 사용자가 이러한 유형의 공격 대상이 되지는 않을 것이라고 강조한다.
알림을 심각하게 받아들여야 하는 이유
Apple은 자체 위협 정보와 조사를 바탕으로 의심스러운 활동을 판단하기 때문에 이러한 메시지를 일반적인 경고가 아닌 “신뢰도가 높은” 알림이라고 설명한다. 회사는 이 알림이 사용자가 이러한 유형의 공격으로 직접 표적이 되었다고 높은 수준으로 확신한다는 의미이지만, 모든 조사에서 절대적인 확실성에 도달할 수 있는 것은 아니라고 말한다.
Apple은 개별 알림을 특정 정부나 회사, 지리적 지역에 귀속시키지 않으며, 각 알림을 발송하게 된 구체적인 이유도 공개하지 않는다. 이러한 정보를 공개하면 공격자가 향후 탐지를 피하도록 행동을 조정하는 데 도움이 될 수 있기 때문이다. 회사는 또한 중요한 정보에 더 쉽게 접근하고 계정과 기기를 보호하기 위해 권장되는 단계를 따를 수 있도록 위협 알림 환경을 업데이트했다고 밝혔다.
메시지의 진위 확인 방법
Apple은 이러한 활동을 발견하면 Apple Account에 연결된 이메일 주소와 전화번호로 이메일과 iMessage 알림을 보낸다. 이메일은 대개 threat-notifications@email.apple.com 주소에서 발송되지만, 회사는 이러한 알림을 사칭한 가짜 메시지에 주의하라고 경고한다.
- 계정 확인: account.apple.com을 열고 로그인한다. Apple이 실제 알림을 보냈다면 페이지 상단에 표시된다.
- 메시지 내용 검토: Apple의 메시지는 링크를 클릭하거나 파일을 열거나 앱 또는 프로파일을 설치하라고 요구하지 않는다. 또한 Apple Account 암호나 인증 코드도 요구하지 않는다.
- 기기 보호: Apple은 Lockdown Mode를 활성화하고, 기기를 최신 소프트웨어 버전으로 업데이트하며, 영향을 받았다고 생각될 경우 사이버 보안 전문가에게 문의할 것을 권장한다.