Citizen Lab의 새로운 보고서에 따르면 AdFection이라는 이름의 스파이웨어가 발견됐다. 이 스파이웨어는 피해자가 링크를 클릭하거나 파일을 열지 않아도 악성 광고가 표시되는 것만으로 휴대전화와 컴퓨터를 감염시킬 수 있다. 연구진은 이를 전자 광고를 통해 전달되고 «클릭 없이» 작동하는 정부 지원 스파이웨어 공격에 대한 최초의 확인이라고 설명했다.
보고서에 따르면 이 기술은 합법적인 광고 회사라고 소개하는 이스라엘 기업 Discover-Tech가 개발했다. 이 시스템은 알자지라 네트워크의 기자와 직원들, 그리고 북대서양조약기구, 유럽연합 집행위원회, NVIDIA와 Arm을 포함한 기관 및 조직의 관계자와 직원들을 표적으로 삼는 데 사용됐다.
광고가 어떻게 스파이 채널로 바뀌었나?
Discover-Tech는 표적 광고에 사용되는 실시간 입찰 시스템을 악용했다. 이 시스템은 광고주가 특정 사용자에게 광고를 표시하기 위해 경쟁할 수 있도록 한다. Citizen Lab에 따르면 이 구조는 대신 사용자를 식별하거나 익명성을 제거한 뒤 특정 표적을 선정하고, 평범해 보이는 광고 안에 악성 코드를 삽입하는 데 사용됐다.
이 방식의 위험성은 광고 네트워크의 광범위한 도달 범위에 있다. 이 단체는 해당 시스템과 연관된 광고가 BBC와 The New York Times를 비롯해 12만 개가 넘는 웹사이트와 Duolingo, Badoo, Grindr 같은 애플리케이션에서 4억 4,200만 회 표시됐다고 밝혔다. 또한 군대와 정부, 핵심 인프라, 국가 사이버보안 기관이 사용하는 기기에도 광고가 표시됐다.
Google의 조치와 남은 의문
Google은 이 기술의 표적이 된 광고 플랫폼 중 하나였지만, Citizen Lab 및 Confiant와 공동 조사를 진행한 뒤 Discover-Tech를 전 세계 공급업체 목록에서 제외했다. Google은 해당 기업이 정책을 체계적으로 위반했기 때문에 자사 플랫폼에서 차단됐다고 밝혔다.
연구진은 Discover-Tech 웹사이트에서 스파이웨어 기업 Candiru 직원과 관련된 정보가 포함된 로그인 기록도 발견했다. Discover-Tech와 이 계획에 언급된 다른 관계자들은 기사 게시 시점까지 논평을 내놓지 않았다.
이 소식이 중요한 이유
이번 발견은 수많은 웹사이트와 애플리케이션을 통해 사용자에게 도달하는 디지털 광고 모델이 피해자의 명확한 행동을 요구하지 않는 감염 경로로 바뀔 수 있음을 보여준다. 이는 피싱이나 파일 다운로드에 의존하는 공격에 비해 위험의 범위를 넓히지만, 모든 광고나 모든 광고 플랫폼이 같은 방식으로 취약하다는 것을 입증하는 것은 아니다. 보고서는 특정 시스템과 특정 기업에 초점을 맞추고 있으며, 조사의 전체 세부 내용은 아직 공개되지 않았다.
Citizen Lab 연구원 빌 마르착은 밝혀진 내용이 «빙산의 일각»일 수 있다며, 자신의 신원이나 업무 때문에 표적이 될 가능성이 있는 사람들에게 광고 추적을 비활성화하거나 광고를 차단하라고 권고했다. 기술의 확산 정도, 실제 감염된 기기 수, 사용 작전의 배후에 있는 주체에 관한 의문은 이용 가능한 자료에서 아직 완전히 답변되지 않은 상태다.