시민랩(The Citizen Lab)의 연구원들이 정교한 용병 스파이웨어가 온라인 광고를 통해 유포된다는 기술적 증거를 최초로 공개했다. WIRED의 보도는 이를 "악몽 시나리오"라고 표현했으며, 그 설명은 들어맞는다. 제로클릭 스파이웨어 표적 광고는 평범한 광고 생태계를 감시 도구의 전달 경로로 바꿔놓을 수 있다. 이 글은 무엇이 보도되었는지, 이러한 유형의 공격이 일반적으로 어떻게 작동하는지, 그리고 어떤 방어책에 시간을 투자할 가치가 있는지 설명한다.

범위에 관한 한 가지 참고: 우리가 이용할 수 있는 출처 보도는 짧기 때문에, 구체적인 내용은 공개된 것에 한정한다. 광고 기반 공격이 일반적으로 어떻게 작동하는지 설명하는 부분에서는 이 특정 사례에 대한 세부 사항을 덧붙이는 것이 아니라 개념을 설명하는 것이다.

시민랩이 발견한 것

시민랩은 언론인, 활동가 및 기타 시민 사회 표적에 대한 디지털 위협을 조사하는 것으로 알려진 연구 그룹이다. 보도에 따르면, 그 연구원들은 이제 용병 스파이웨어, 즉 비용을 지불하는 고객에게 판매되는 상업적 감시 도구가 온라인 광고를 통해 전달될 수 있음을 보여주는 기술적 증거를 공개했다.

핵심 단어는 "최초"이다. 보안 연구원들은 광고 네트워크가 이런 방식으로 악용될 수 있다고 오랫동안 경고해 왔지만, 공개적으로 발표된 기술적 증거가 우려를 이론에서 문서화된 사실로 옮겨놓는다. 이것이 바로 당신이 유력한 표적이 아니더라도 이 발견이 중요한 이유이다.

제로클릭 스파이웨어가 광고를 통해 확산되는 방식

제로클릭 공격은 피해자의 어떤 행동도 필요로 하지 않는다. 누를 의심스러운 링크도, 열어볼 첨부 파일도 없다. 기기는 단지 전송된 무언가를 처리하는 것만으로 감염된다.

온라인 광고가 여러 이유에서 그럴듯한 전달 수단이 된다:

  • 광고는 자동으로 로드된다. 웹 페이지와 앱은 당신의 의도적인 선택 없이 백그라운드에서 광고 콘텐츠를 가져와 렌더링한다.
  • 광고는 표적화되어 있다. 광고 시스템은 특정 대상에게 도달하도록 만들어져 있으며, 이는 공격자가 원칙적으로 일반 대중 대신 좁은 집단을 겨냥해 콘텐츠를 조준할 수 있다는 뜻이다.
  • 광고 체인은 복잡하다. 콘텐츠는 화면에 도달하기 전 여러 중개자를 거치는 경우가 많아, 어느 단일 주체도 모든 것을 검사하기 어렵다.

실질적으로 이는 광고주가 특정 유형의 사용자를 찾을 수 있게 해주는 동일한 인프라가 공격자가 특정 개인을 찾는 데도 도움이 될 수 있다는 의미이다. 출처에서 정확한 메커니즘에 대한 추가 기술적 세부 사항은 없으므로, 전체 분석을 원하는 독자는 시민랩이 발표한 연구를 직접 참고해야 한다.

휴대폰과 광고 표적화가 사용자를 노출시키는 이유

휴대폰은 메시지, 위치 기록, 사진, 자격 증명을 담고 있고 거의 항상 연결되어 있기 때문에 매력적인 표적이다. 또한 브라우저와 앱 내부에서 제3자 콘텐츠를 끊임없이 렌더링한다.

광고 표적화는 노출의 두 번째 층을 더한다. 데이터 브로커와 광고 플랫폼은 당신이 누구이며 어디를 가는지에 대한 신호를 수집하고, 그 신호들이 정밀한 표적화를 가능하게 한다. 그러한 데이터가 더 많이 유통될수록, 용병 스파이웨어를 구매하려는 의욕 있는 구매자가 특정 개인을 골라내기가 더 쉬워진다.

이것이 현실적인 위험이 고르지 않은 이유이기도 하다. 용병 스파이웨어는 비싸며 역사적으로 일상적인 사용자가 아니라 언론인, 반체제 인사, 관리들과 같은 고가치 표적과 연관되어 왔다. 대부분의 사람들은 의도된 피해자가 될 가능성이 낮다. 그러나 대규모 광고 인프라를 타고 가는 전달 방식은 이해할 가치가 있다. 그것에 도움이 되는 방어책은 더 흔한 위협에도 도움이 되기 때문이다.

위험을 줄이는 방법 (그리고 VPN이 적합한 지점)

이런 공격을 막아주는 단일 도구는 없다. 계층화된 접근이 현명한 대응이다.

기기를 최신 상태로 유지하라. 스파이웨어는 소프트웨어 결함에 의존하며, 업데이트가 그것을 막는다. 라자루스 그룹이 8월 패치 이전에 윈도우 커널 버그를 악용한 방식에 대한 우리의 보도는 공격자가 수정이 존재하기 전에 결함을 어떻게 이용할 수 있는지, 그리고 수정이 나온 후에도 패치를 신속히 설치하는 것이 왜 여전히 중요한지를 보여준다.

고위험군이라면 록다운 모드를 사용하라. Apple의 록다운 모드는 표적 공격에 직면할 수 있는 사람들을 위해 설계되었다. 일부 기능을 희생하는 대신 기기의 공격 표면을 줄여준다. 언론인, 활동가이거나 민감한 분야에서 일한다면 고려할 가치가 있다.

광고 추적 설정을 검토하라. 광고 개인화를 제한하고 광고 식별자를 재설정하거나 제한하면 표적화에 사용할 수 있는 데이터가 줄어든다. 브라우저 수준의 콘텐츠 차단은 제3자 광고 콘텐츠가 아예 로드되는 양을 줄일 수도 있다.

VPN이 하는 일과 하지 않는 일을 이해하라. VPN은 기기와 VPN 서버 사이의 트래픽을 암호화하고 방문하는 사이트로부터 IP 주소를 숨길 수 있다. 이는 일부 추적 신호를 줄일 수 있다. 하지만 휴대폰에 패치를 해주지 않으며, 감염된 기기가 악성 콘텐츠를 처리하는 것을 막지도 않는다. 제로클릭 익스플로잇에 맞서는 방패가 아니라 하나의 제한된 계층으로 취급하라.

이것이 당신에게 의미하는 것

대부분의 독자에게 이 연구는 경보가 아니라 신호다. 문서화된 용병 스파이웨어 사용은 소수의 사람들을 겨냥한 것이며, 이 발견이 일상적인 광고 브라우징이 오늘 당신의 휴대폰을 감염시킬 가능성이 높다는 뜻은 아니다. 다만 이것이 보여주는 것은 광고 인프라가 공격 채널로 전환될 수 있다는 점이며, 이는 최신 소프트웨어, 더 적은 추적기, 불필요한 제3자 콘텐츠에 대한 노출 감소라는 기본 위생 수칙의 필요성을 강화한다.

민감한 정보를 다루거나 자신이 표적이 될 수 있다고 생각할 이유가 있다면 기준은 더 높다. 업데이트, 록다운 모드, 더욱 강화된 광고 제어를 결합하고, 위험에 처한 집단을 지원하는 디지털 보안 단체의 안내를 구하는 것도 고려하라.

핵심 요점

  • 패치가 나오는 즉시 휴대폰과 앱을 업데이트하라.
  • 고위험군이라면 록다운 모드를 켜라.
  • 광고 개인화를 제한하고 광고 ID를 재설정하거나 제한하라.
  • 제3자 광고 로드를 줄이기 위해 콘텐츠 차단기를 고려하라.
  • 개인정보 보호를 위해 VPN을 사용하되, 제로클릭 스파이웨어 표적 광고를 막는 데 의존하지는 마라.
  • 더 넓은 패치 맥락은 연구원 나이트메어 이클립스가 공개한 아홉 번째 윈도우 제로데이에 대한 우리의 보도를 참고하라.

시민랩의 발견은 광고 생태계가 당신의 공격 표면의 일부라는 점을 상기시킨다. 모든 광고 네트워크를 통제할 수는 없지만, 몇 가지 의도적인 설정과 일관된 업데이트로 그 틈을 줄일 수는 있다.