이스라엘 기업 Discovere-Tech와 연계된 한 주체가 표적 디지털 광고를 이용해 Al Jazeera Media Network 소속 기기에 Candiru 스파이웨어를 전달했다. 이는 피해자가 자신의 기기에서 광고를 보기만 하면 되는 ‘제로클릭’ 공격이었다. Citizen Lab 연구진은 이 기술을 AdFection이라고 명명했으며, 표적 광고를 통해 용병 스파이웨어가 전달된 사실을 공개적으로 기술 확인한 최초의 사례라고 평가했다.
이번 조사는 알자지라가 제공한 증거, 네트워크 기록, 그리고 침해된 Windows 시스템에서 복구된 DLL 파일을 바탕으로 진행됐다. 증거에 따르면 2024년부터 2025년 사이 최소 45대의 기기가 표적이 됐으며, 통신 흐름은 Discovere-Tech의 인프라에서 시작해 Candiru의 검증 서버를 거친 뒤 스파이웨어의 명령 및 제어 서버로 이어졌다.
감염 과정은 어떻게 작동했나?
공격 주체는 잘 알려진 광고 네트워크와 광고 거래 플랫폼을 통해 광고 지면을 구매하고, 광고에 JavaScript 코드를 삽입했다. 이 코드는 광고가 표시될 때 Discovere-Tech가 NOAS 또는 getAd 서버라고 부른 서버에 연결됐다. 이 서버는 IP 주소와 광고 식별자 등의 지표를 사용해 기기가 표적의 조건에 부합하는지 판단했다.
기기가 검증 절차를 통과하면 추가 코드가 전송됐고, 다른 기기에는 악성 페이로드 없이 광고만 표시됐다. 이러한 선별 방식은 잡음을 줄이고 통상적인 광고 트래픽 속에 작전을 숨기는 데 도움이 된다.
작전의 범위가 곧 감염 수를 의미하지는 않는다
Citizen Lab의 추정에 따르면 2026년 3월부터 6월 사이 이 작전은 37억 7천만 건의 광고 입찰 노출을 제공했고 4억 4,200만 건의 경매에서 낙찰됐다. 공격 코드 태그가 포함된 광고는 Android와 iOS의 75,373개 애플리케이션 및 120,768개 웹사이트에 노출됐다. 이 수치는 해당 애플리케이션과 웹사이트 또는 그 이용자 모두가 감염됐다는 뜻은 아니다.
연구진은 수십만 명에서 수백만 명에 이르는 사용자가 Discovere-Tech 광고와 연계된 도메인으로 유도됐을 것으로 추정했다. Citizen Lab의 보고를 받은 뒤 Google, IAB Europe, Beeswax, Eskimi, Vungle은 규정을 위반한 계정 삭제와 특정 도메인에 대한 접근 차단 등의 조치를 취했다.
이 방식이 중요한 이유는 무엇인가?
이번 사건은 디지털 광고 공급망이 사용자의 직접적인 상호작용 없이도 정교한 스파이웨어를 전달하는 통로로 변할 수 있음을 보여준다. 또한 특정 기기를 표적으로 삼으면 광범위한 악성 캠페인보다 캠페인을 발견하기가 어려워지는 반면, 주요 네트워크를 통한 광고 구매는 잠재적인 도달 범위를 넓힌다.
Candiru는 정부에 공식적으로 판매되는 스파이웨어와 연관돼 있으며, 여기에는 파일과 자격 증명, 메시지를 탈취할 수 있는 Windows용 DevilsTongue이 포함된다. 이 회사의 도구는 과거에도 언론인과 활동가, 정치인을 표적으로 삼기 위해 Windows와 Chrome의 제로데이 취약점을 악용한 사례와 연관된 바 있다.
이와 유사한 방식은 2025년 말 Aladdin이라는 이름으로 이미 기록된 바 있다. 당시에는 클릭 없이 표적을 Predator 스파이웨어에 감염시키기 위해 광고가 사용됐지만, 해당 조사는 Intellexa에서 유출된 파일과 마케팅 문서에 의존했다. 반면 AdFection은 실제 공격과 포렌식 증거를 바탕으로 하며, Citizen Lab은 이를 용병 스파이웨어 기업과 광고 생태계를 연결하는 고리로 묘사한 Discovere-Tech와 연결했다.