알자지라는 이스라엘 기업 칸디루와 연계된 은밀한 악성코드 캠페인이 자사 기자와 직원 소유 기기 45대를 감염시키고 사용자의 어떤 조작도 없이 데이터를 빼냈다고 밝혔다. 이 폭로는 기자들이 의존하는 제로클릭 스파이웨어가 어떻게 그들 자신을 겨냥하는 무기로 전환될 수 있는지, 그리고 자금력이 탄탄한 공격자에 맞서 평범한 주의만으로는 종종 충분하지 않은 이유를 보여주는 stark한 사례다.
아래 세부 내용은 알자지라의 성명을 요약한 보고서에서 나온 것이다. 공개 기록이 빈약한 부분은 그렇다고 밝힌다.
알자지라가 밝힌 내용
보고서에 따르면, 알자지라는 칸디루와 연계된 제로클릭 공격이 자사 기자 기기 45대를 침해했다고 설명했다. 악성코드는 사용자 상호작용 없이 데이터를 유출한 것으로 전해졌다. 다시 말해, 감염이 자리 잡기 위해 영향을 받은 사람들이 파일을 열거나 링크를 탭하거나 무엇인가를 승인할 필요가 없었다.
출처 요약은 어떤 운영체제가 영향을 받았는지, 어떤 취약점이 사용되었는지, 감염이 어느 기간에 걸쳐 발생했는지, 또는 누가 이 캠페인을 의뢰했는지와 같은 추가 구체적 내용을 제공하지 않는다. 우리는 그런 세부 사항을 추측하지 않을 것이다. 독자들은 45대라는 수치를 알자지라가 보고한 주장으로 받아들이고, 방송사나 독립 연구자들의 기술적 후속 보도를 주시해야 한다.
탭 한 번 없이 제로클릭 스파이웨어가 작동하는 방식
대부분의 사람들은 의심스러운 링크와 예상치 못한 첨부 파일을 피하는 법을 배웠다. 그 조언은 피해자가 무언가를 해야 하는 "원클릭" 공격을 겨냥한다. 제로클릭 스파이웨어는 그 단계를 없앤다.
일반적으로 제로클릭 공격은 메시징 앱, 미디어 파서, 네트워크 서비스처럼 들어오는 데이터를 자동으로 처리하는 소프트웨어의 결함을 악용한다. 공격자가 그 자동 처리에서 취약점을 찾으면, 특별히 조작된 메시지나 데이터 패킷이 소유자가 무엇인가를 보기 전에 휴대전화나 컴퓨터에서 코드 실행을 촉발할 수 있다. 알림도, 이상한 팝업도, 이후의 명백한 흔적도 없을 수 있다.
일단 설치되면, 이런 종류의 스파이웨어는 일반적으로 메시지를 읽고, 파일을 수집하며, 기기에서 다른 데이터를 모으는 데 사용될 수 있다. 알자지라의 데이터 유출 보고는 그 패턴에 부합한다.
비기술 독자를 위한 핵심 요점: 이것은 사용자 판단의 실패가 아니다. 신중한 행동만으로는 행동이 전혀 필요 없는 공격을 완전히 막을 수 없다.
기자들이 칸디루 스타일 도구의 주요 표적인 이유
칸디루는 이스라엘 기업으로 묘사되며, 그와 같은 회사들의 도구는 종종 용병 스파이웨어라고 불린다. 즉 민간 업체가 개발해 고객에게 판매하는 강력한 감시 기능이다. 이런 도구는 구축에 비용이 많이 들고 복잡하기 때문에, 일반 대중보다는 소수의 고가치 표적을 겨냥하는 경향이 있다.
기자들은 분명한 이유로 그 프로필에 들어맞는다. 기자들은 민감한 자료를 보유한다. 취재원 신원, 미공개 조사 결과, 위험에 처할 수 있는 사람들과의 사적 통신이 그것이다. 뉴스룸의 기기를 침해하면 그 모든 것이 한 번에 노출될 수 있다. 감염된 휴대전화 하나로 기자 자신의 활동뿐 아니라 그들이 대화하는 모든 사람의 연락처와 신뢰 정보까지 드러날 수 있다.
여기서 보고된 규모, 즉 한 조직의 기기 45대는 개인이 아니라 기관 전체를 겨냥한 캠페인을 시사한다. 이는 뉴스 조직, 인권 단체, 그리고 여러 사람이 민감한 정보를 다루는 모든 직장에 중요하다.
취재에 대한 감시 압력은 다른 형태로도 나타난다. 알자지라 보도를 인용한 파키스탄 관할 카슈미르의 장기 인터넷 차단에 관한 우리 보도는 통신 제한이 정보를 공유하려는 사람들이 직면하는 위험을 어떻게 가중시킬 수 있는지 보여준다.
노출을 현실적으로 줄이는 방법
단일 조치로 결의가 강하고 자원이 풍부한 공격자로부터 기기를 면역으로 만들 수는 없다. 그러나 일부 조치는 공격의 비용과 난이도를 의미 있게 높인다.
- OS와 앱 업데이트를 신속히 설치하라. 제로클릭 공격은 패치되지 않았거나 공개되지 않은 결함에 의존한다. 보안 업데이트는 알려진 구멍을 막고, 지연은 그 구멍을 열어 둔다.
- 가능한 곳에서는 잠금 모드를 활성화하라. 일부 플랫폼은 특정 기능을 제한해 공격 표면을 줄이는 극단적 보호 설정을 제공한다. 편의성을 보안과 맞바꾸는 것이며, 위험이 높은 사람에게는 합리적인 거래가 될 수 있다.
- 기기를 정기적으로 재시작하라. 일부 악성코드는 재부팅 후에도 살아남지 못하므로, 주기적 재시작은 공격자가 다시 감염시키도록 강제할 수 있다.
- 기기에 저장하는 것을 줄여라. 사라지는 메시지와 일상적 삭제는 침입자가 수집할 수 있는 양을 제한한다.
- 민감한 작업을 분리하라. 가장 민감한 통신에 전용 기기를 사용하면 다른 기기가 침해되었을 때 피해를 국한할 수 있다.
- 침해 의심을 보고하라. 뉴스 조직이나 옹호 단체에서 일한다면 혼자 조사하려 하지 말고 보안 팀이나 디지털 보안 전문가에게 우려를 제기하라.
이것이 당신에게 의미하는 바
대부분의 독자는 칸디루의 도구 같은 것의 표적이 될 가능성이 낮다. 그러나 교훈은 폭넓게 적용된다. 기기를 최신 상태로 유지하는 것은 가장 유용한 단일 습관이며, 다른 많은 위협으로부터도 보호한다.
기자, 활동가, 변호사, 또는 국가 수준의 관심을 끌 수 있는 사람이라면 위험이 더 높다고 가정하고 그에 맞게 행동하라. 빠르게 업데이트하고, 기기가 제공하는 가장 강력한 보호 모드를 사용하며, 휴대전화의 민감한 데이터를 제한하라.
VPN이 하는 일과 하지 않는 일을 분명히 하는 것도 가치가 있다. VPN은 네트워크 트래픽을 암호화하고 사이트와 로컬 네트워크로부터 IP 주소를 가린다. 그러나 이미 기기에서 실행 중인 스파이웨어를 막지 못하며, 휴대전화 자체의 소프트웨어를 겨냥한 제로클릭 익스플로잇을 예방할 수 없다. VPN은 네트워크 프라이버시에는 여전히 유용하지만, 이 부류의 공격에 대한 방어책은 아니다.
핵심 요점
알자지라가 보고한 칸디루 연계 캠페인의 기기 45대 공격 폭로는 기자들이 직면한 제로클릭 스파이웨어가 신중한 사용자조차 우회할 수 있음을 상기시킨다. 공개 요약이 제한적이므로 세부 내용은 진화 중인 것으로 다뤄야 한다.
위험이 더 높은 사람이라면: OS 업데이트가 제공되는 즉시 적용하고, 기기가 지원하면 잠금 모드를 켜고, 정기적으로 재시작하며, 민감한 데이터를 덜 저장하고, VPN이 기기 자체의 스파이웨어로부터 보호해 주지 않는다는 점을 이해하라.
