토론토대학교 산하 Citizen Lab은 피해자가 광고를 클릭하거나 광고와 상호작용하지 않아도 표적 광고를 이용해 iOS 및 Android 기기에 정교한 스파이웨어를 설치한 사이버 캠페인을 공개했다. 연구소는 이 캠페인을 ‘AdFection’이라고 명명했으며, 2024년과 2025년에 알자지라 미디어 네트워크의 기기 45대가 감염됐다고 밝혔다.
조사 결과에 따르면 이 캠페인은 표적 광고를 통해 용병 스파이웨어가 전달된 사실이 확인된 첫 사례로 추정된다는 점에서 중요하다. 이 시나리오에서는 웹페이지를 로드하거나 설치된 애플리케이션을 열기만 해도 익스플로잇 과정이 시작되며, 전문적인 포렌식 도구나 소프트웨어 없이는 일반적으로 사용자가 감염 사실을 알아채기 어렵다.
광고 생태계는 어떻게 이용됐나?
Citizen Lab은 광고가 이스라엘 기업 Discover-Tech에 의해 제공됐다고 밝혔다. Discover-Tech는 합법적인 광고 회사라고 소개하고 있지만, 연구소는 이 회사가 광고 구매자와 게시자 또는 애플리케이션 개발자 사이의 중개자이며, 광고 시장과 용병 스파이웨어 생태계를 연결하는 역할을 한다고 설명했다.
이러한 중개 방식은 모바일 기기 식별자, 위치, IP 주소 및 기타 데이터를 이용해 특정 집단을 표적으로 삼는 광고 경매에 기반한다. 연구소는 Discover-Tech가 처리한 40억 건 이상의 입찰 기록을 확보했으며, 이 기록에는 2026년 3월부터 6월까지 7만 개 이상의 모바일 애플리케이션과 12만 개의 웹사이트에서 해당 회사의 광고가 노출된 사실이 나타났다.
조사 결과에 따르면 Discover-Tech는 유럽연합 내부 사용자를 표적으로 삼기 위해 유럽 일반개인정보보호법과 관련된 동의 프레임워크를 이용했으며, Google, Yandex, Beeswax의 네트워크를 통해 광고를 노출했다. Google과 IAB Europe은 회사명을 기록에서 삭제하기 전까지 Discover-Tech를 ‘승인된’ 또는 ‘검증된’ 공급업체로 등재했으며, 이후 Google은 광고 거래 플랫폼에 대한 접근을 차단했다. Beeswax도 해당 회사를 플랫폼에서 삭제했고, Liftoff의 자회사 Vungle은 검토를 위해 접근을 일시 중단했으며, Eskimi는 해당 회사의 계정과 도메인을 차단했다.
실제로 무엇이 달라졌나?
조사에 따르면 광고는 특정 프로필과 일치하는 표적에게 노출된 뒤 JavaScript 또는 다른 코드가 Candiru의 제어 서버에 연결됐다. Candiru의 서버는 다시 사용자 상호작용 없이 악성 페이로드를 심는 익스플로잇을 전송했다. Citizen Lab은 Candiru가 이 소프트웨어를 개발하고 배포했으며, 현재는 Integrity Labs라는 이름으로 운영되고 있다고 밝혔다.
보고서는 악용된 취약점이나 캠페인이 최종적으로 설치한 소프트웨어를 공개하지 않았다. 소식통은 이를 Citizen Lab이 캠페인을 발견한 뒤 해결된 ‘제로데이’ 취약점으로 추정하지만, 이 점은 공개된 기술 세부 정보로 입증되지 않았다. Discover-Tech와 Candiru는 논평 요청에 응답하지 않았다.
왜 중요한가?
Citizen Lab은 Discover-Tech와 연계된 광고가 북대서양조약기구와 유엔 산하 네트워크, 유럽의 입법 기관, 그리고 호주의 핵심 인프라 제공업체와 노르웨이·스웨덴의 정부 기관 및 군대에서 나타났다고 밝혔다. 연구소는 뉴스룸과 기자, 편집자 및 그곳에서 일하는 사람들이 직접적인 표적이 될 수 있다고 경고했다.
이 캠페인은 피해자의 기기를 넘어서는 문제를 드러낸다. 광범위한 상업적 대상을 식별하도록 설계된 광고 표적화 도구가 고도로 전문화된 스파이웨어를 전달하는 통로로 변할 수 있기 때문이다. 이에 Citizen Lab은 광고주와 정부 관계자들에게 이러한 유형의 캠페인을 막기 위한 선제적 조치를 촉구했다.
위험을 줄이는 차원에서 소식통은 광고 차단 기능 사용, iOS와 Android에서 광고 식별자 재설정, 가정 또는 사무실 네트워크에 차단 도구 설치와 함께 운영체제 및 소프트웨어 업데이트가 제공되는 즉시 설치할 것을 권고했다. 다만 취약점과 최종 페이로드의 세부 내용이 공개되지 않았으므로, 이러한 조치가 모든 경우에 감염을 확실히 막는다는 의미는 아니다.