익숙한 보안 조언이 불완전해 보이기 시작한다: 의심스러운 링크를 클릭하지 마라. 새로운 보도에 따르면 스파이웨어가 기자들이 한 번도 클릭하지 않은 광고를 통해 기자들의 기기를 감염시키고 있다. 같은 뉴스 모음은 팔로알토 방화벽에서 악용된 제로데이, 심각한 드루팔 취약점, 그리고 임원실에 도청 장치를 설치한 혐의로 기소된 OpenAI 엔지니어에 대한 형사 기소도 지적했다. 첫 번째 항목은 민감한 취재원과 일하는 사람들에게 가장 중요하다. 기자가 브라우징 중 마주치는 악성 광고를 통해 전달되는 제로클릭 스파이웨어는 개인 방어의 모습을 바꾸기 때문이다. ## 제로클릭 광고 스파이웨어가 기자에게 도달하는 방식 핵심 단어는 "제로클릭"이다. 전통적인 피싱은 사람이 파일을 열거나 링크를 탭해야 한다. 제로클릭 공격은 대상의 어떤 행동도 필요로 하지 않는다. 여기서 전달 경로는 온라인 광고다. 광고가 표적 인물에게 노출되고, 그 광고만으로도 침해가 시작될 수 있다. 토론토 대학의 디지털 권리 연구 부서인 시티즌 랩(The Citizen Lab)의 연구를 다룬 보도에 따르면, 정교한 용병 스파이웨어가 표적 광고를 통해 유포되었다는 기술적 증거가 공개된 것은 이번이 처음이다. 일부 보도는 이스라엘 광고 대행사가 광고를 게재하여 광고를 본 사람들을 스파이웨어 공격에 노출시켰다고도 설명한다. 기술적 메커니즘에 대해서는 요약 수준의 세부 사항만 가지고 있으므로, 전체 연구를 읽기 전까지는 구체적인 내용을 주의해서 다루어야 한다. 그러나 더 넓은 패턴은 분명하다. 광고 네트워크는 특정 대상층을 골라내어 그들의 관여 없이 콘텐츠를 전달하도록 구축되어 있다. 이러한 정밀성은 기자와 같은 특정 인물에게 그 사람이 아무 잘못 없이도 도달하려는 감시 업체들에게 매력적이다. 이전 사례는 한 언론사의 수십 대 기기를 포함했다. [악성 광고를 통해 해킹된 알자지라 기기에 관한 시티즌 랩의 조사 결과](/en/citizen-lab-al-jazeera-devices-hacked-via-malicious-ads)를 다룬 우리의 보고서는 동일한 범주의 공격이 그곳에서 어떻게 기록되었는지를 다룬다. ## VPN만으로는 이 공격을 막을 수 없는 이유 이곳은 프라이버시 사이트이므로 VPN 질문에 직접 답할 가치가 있다. VPN은 기기와 VPN 서버 사이의 트래픽을 암호화하고 방문하는 사이트로부터 IP 주소를 숨긴다. 이는 실질적인 이점이지만, 다른 문제를 다루는 것이다. 악성 광고는 일반 웹을 통해 전달되며, 연결이 터널링되었는지 여부와 관계없이 콘텐츠는 여전히 브라우저나 앱에 도달한다. 기기에 광고 콘텐츠가 악용할 수 있는 패치되지 않은 취약점이 있다면 VPN은 그것을 바꾸지 못한다. 일부 VPN 제품은 DNS 수준에서 광고 또는 트래커 차단을 포함하여 노출을 줄일 수 있지만, 이는 별개의 기능이며 보장이 아니다. VPN은 하나의 계층일 뿐이며, 로드하는 콘텐츠를 통해 전달되는 스파이웨어에 대한 보호로 오인되어서는 안 된다. ## 노출을 줄이는 보호 조치: 업데이트, 광고 차단기, 잠금 모드 어떤 단일 조치도 자금력이 탄탄한 공격자로부터 사람을 면역으로 만들지는 못하지만, 여러 조치가 공격 표면을 좁힌다. - **업데이트를 신속히 설치하라.** 이런 종류의 스파이웨어는 소프트웨어 결함에 의존한다. 운영체제와 브라우저 업데이트는 그러한 결함을 닫으므로, 지연하면 문이 더 오래 열려 있게 된다. - **광고 차단기를 사용하라.** 감염 경로가 광고라면, 광고를 로드하지 않는 것이 전달 경로를 제거한다. 브라우저 기반 차단기와 네트워크 수준 필터링 모두 선택지다. - **강화 모드를 켜라.** 주요 모바일 플랫폼은 표적 공격의 위험이 높은 사람들을 위한 고보안 설정을 제공한다. 일부 편의성을 공격 표면 축소와 맞바꾸는 것으로, 기자, 활동가 및 유사한 사용자에게는 합리적인 거래다. - **백그라운드에서 실행되는 것을 줄여라.** 사용하지 않는 앱을 제거하고, 광고가 많은 앱을 제한하며, 브라우저와 앱을 운영체제와 함께 최신 상태로 유지하라. - **재시작하고 모니터링하라.** 정기적인 재부팅과 비정상적인 배터리 소모, 발열 또는 충돌에 대한 주의는 무엇의 증거도 아니지만, 저렴한 습관이다. IT 또는 보안 인력이 있는 뉴스룸은 민감한 분야를 취재하는 직원의 기기를 검토해 달라고 요청해야 한다. 조직에도 역할이 있다. 언론사는 각 기자가 혼자 해결하도록 내버려 두는 대신, 업데이트, 고위험 기자에 대한 의무 강화 모드, 업무 기기에 승인된 광고 차단을 요구하는 기본 정책을 설정할 수 있다. ## 팔로알토 제로데이: 엣지 기기를 패치하라는 경고 같은 뉴스 모음은 팔로알토 방화벽의 제로데이가 악용되고 있다고 언급했다. 요약에서 그 이상의 세부 사항은 없으므로, 영향을 받는 버전과 수정 사항에 대해서는 벤더의 자체 권고를 확인하라. 교훈은 스파이웨어 사안과 겹친다. 공격자는 사람들이 자신을 보호한다고 가정하는 소프트웨어를 노린다. 방화벽과 기타 엣지 기기는 네트워크와 인터넷 사이에 위치하므로 가치 있는 표적이며, 악용된 제로데이는 수정이 제공되기 전이나 제공되는 시점에 공격이 발생하고 있음을 의미한다. 이러한 장비를 관리한다면 벤더 지침을 긴급하게 처리하고, 가능한 경우 관리 인터페이스를 공개 노출로부터 제한하며, 비정상적인 활동에 대해 로그를 검토하라. 뉴스 모음은 또한 심각한 드루팔 취약점을 언급했으며, 해당 플랫폼을 운영하는 사이트 소유자는 공식 보안 공지를 확인해야 한다. ## 이것이 당신에게 의미하는 것 기자, 연구자, 활동가, 또는 정부나 감시 업체의 관심을 끌 수 있는 사람이라면, "나는 이상한 링크를 클릭하지 않는다"는 더 이상 충분하지 않다. 위험은 일상적인 브라우징을 통해 도달할 수 있다. 대부분의 다른 독자에게는 실질적인 위험이 더 낮지만, 고위험 사용자에게 도움이 되는 조치는 모든 사람에게도 이익이 된다: 업데이트, 광고 차단, 그리고 어떤 앱을 유지할지에 대한 합리적인 접근이다. OpenAI 도청 혐의는 별개의 사안이지만, 하나의 주제에 부합한다. 감시 위협은 원격 소프트웨어에서 물리적 장치에 이르기까지 다양하며, 민감한 대화는 두 세계 모두에서 주의가 필요하다. ## 핵심 요점 - 기자가 마주칠 수 있는 제로클릭 스파이웨어 악성 광고는 클릭 없이도 기기를 침해할 수 있으므로, 링크 주의만으로는 방어가 되지 않는다. - VPN은 연결을 보호할 뿐 기기를 익스플로잇 콘텐츠로부터 보호하지 않으므로, 이 위협에 대해 그것에 의존하지 마라. - 운영체제와 브라우저 업데이트가 제공되는 즉시 적용하라. - 휴대폰에서 잠금 또는 강화 모드를 활성화하고 광고 차단을 사용하라. - 팔로알토 방화벽과 같은 엣지 기기를 신속히 패치하고 벤더 권고를 따르라. 악성 광고 침해의 문서화된 사례를 보려면 [시티즌 랩 알자지라 조사](/en/citizen-lab-al-jazeera-devices-hacked-via-malicious-ads) 보도를 읽은 다음, 오늘 10분을 들여 기기를 업데이트하고 기기가 제공하는 가장 강력한 보호 기능을 켜라.

Stripe ShinyHunters 갈취 주장: 100만 달러 요구 미검증

Flink 데이터 유출: 12유로 협박 이메일 이후 해야 할 일

ETS 침해 사고로 캘리포니아 학생 기록 700만 건 노출

CBC 뉴스 조사에 따르면 캐나다 크라임 스토퍼스(Crime Stoppers) 제보 150만 건 이상이 유출된 것으로 드러났다. 이는 크라임 스토퍼스 데이터 유출 사건에서의 익명성과, 제3자가 데이터를 보관할 때 비밀 유지 약속이 얼마나 잘 지켜지는지에 대한 심각한 의문을 제기한다. 킹스턴 경찰은 2025년 "사이버 사건"에서 해커가 문서 10만 건을 탈취했다고 밝혔으며, 현재 캐나다에서 조사가 시작되었다. 이 글은 CBC가 지금까지 보도한 내용에 근거한다. 유출된 내용의 전체 범위를 비롯한 일부 세부 사항은 조사가 진행되면서 달라질 수 있다. ## 크라임 스토퍼스 유출로 드러난 것 CBC가 자사 조사 결과를 요약한 바에 따르면, 유출된 데이터에는 캐나다 제보 150만 건 이상이 포함되어 있다. 이 조사는 수백만 건의 신원 정보를 노출시킨 데이터 유출 사건 이후 시작되었다. 킹스턴 경찰은 2025년 사이버 사건에서 해커가 문서 10만 건을 탈취했다고 밝혔다. CBC의 인터뷰와 유출 데이터 내 캐나다 관련 내용 분석은 크라임 스토퍼스와 데이터베이스 관리를 위탁받은 업체의 세 가지 실패를 시사한다: - 제보자의 신원이 보호되지 않았다. - 개인정보가 삭제(비식별화)되지 않은 채 남아 있었다. - 수십 년 치의 민감한 기록이 부적절하게 보관되었다. 이는 CBC가 자체 인터뷰와 분석을 통해 내린 결론이다. 이 보도는 모든 제보가 개인의 신원을 노출시켰다고 주장하지는 않지만, 일부 제보자는 신원이 확인될 수 있음을 시사한다. ## 업체가 익명 제보를 식별 가능한 기록으로 바꾼 방식 크라임 스토퍼스 프로그램은 사람들이 이름을 밝히지 않고 정보를 전달할 수 있다고 약속한다. 그 약속은 그 뒤에 있는 시스템만큼만 강력하다. 조직이 제보 보관을 계약 업체에 맡기면, 업체의 관행이 프라이버시 보장의 일부가 된다. 무엇이 삭제되는지, 누가 기록에 접근할 수 있는지, 얼마나 오래 보관되는지가 그것이다. CBC의 조사 결과는 익숙한 패턴을 보여준다. 수집 시점의 익명성이 보관 시점의 익명성을 보장하지는 않는다. 자유 입력 제보란에 이름, 주소, 전화번호 또는 기타 식별 정보가 포함되어 있고 아무도 이를 제거하지 않으면, 데이터베이스는 누가 무엇을 말했는지에 대한 기록이 될 수 있다. 그러한 기록을 수십 년간 보관하면 단 한 번의 침입으로 피해가 발생할 수 있는 기간이 넓어진다. 같은 역학은 제3자 관리자가 여러 조직을 대신해 데이터를 보유하는 다른 사건에서도 나타난다. [DentaQuest가 1,500만 명의 환자가 영향을 받았음을 확인한](/en/dentaquest-confirms-15m-patients-hit-5x-shinyhunters-claim) 경위를 다룬 우리의 보도는 단일 관리자의 유출이 정보를 원래 수집한 조직보다 훨씬 더 많은 사람에게 영향을 미칠 수 있음을 보여준다. 독자들은 또한 [DentaQuest 유출 통지가 1,500만 명의 환자에게 도달한](/en/dentaquest-breach-notices-reach-15-million-patients) 후속 통지 내용도 확인할 수 있다. ## PIPEDA에 따른 데이터 보관 권리 캐나다의 연방 민간 부문 개인정보 보호법인 개인정보 보호 및 전자문서법(PIPEDA)은 많은 캐나다인이 조직이 자신에 대해 어떤 정보를 보유하고 있는지 알고자 할 때 찾는 체계이다. CBC 기사 요약은 크라임 스토퍼스 사건에 어떤 법이 적용되는지 밝히지 않으므로, 이 절은 이 사건에 대한 법적 평가가 아닌 일반적인 안내이다. 일반적으로 PIPEDA는 수집 제한, 보관 제한, 개인정보 보호와 같은 원칙을 중심으로 구성되어 있다. 개인은 일반적으로 조직에 자신에 대해 보유한 개인정보가 무엇인지 문의할 수 있으며, 조직의 개인정보 보호 책임자에게 우려를 제기할 수 있다. 응답이 만족스럽지 않으면 캐나다 개인정보 보호 위원회(Office of the Privacy Commissioner of Canada)에 불만을 제기할 수 있다. 보관 문제가 여기서 핵심이다. 수십 년 치의 민감한 기록이 부적절하게 보관되었다는 CBC의 발견은 바로 보관 제한이 해결하고자 하는 종류의 문제이다. 더 이상 목적을 수행하지 않는 데이터는 유출을 기다리는 부채인 셈이다. ## 제3자 서비스와 공유하는 정보를 제한하는 방법 업체의 데이터베이스를 감사할 수는 없지만, 그 안에 무엇이 들어가는지는 통제할 수 있다. 다음 관행은 노출 위험을 줄여준다: - **필요한 것만 공유하라.** 제보를 제출한다면 사건의 사실관계에만 집중하라. 자신의 이름, 직장, 관련된 사람들과의 관계, 또는 자신만이 알 수 있는 세부 사항은 빼라. - **신원을 드러내는 부수적 세부 사항을 피하라.** 문체, 시점, 그리고 어떻게 알게 되었는지에 대한 구체적인 내용은 이름이 없어도 당신을 가리킬 수 있다. - **편안하게 느끼는 기기와 네트워크를 사용하라.** VPN은 웹사이트로부터 IP 주소를 숨길 수 있지만, 양식에 입력하는 내용에 대해서는 아무것도 하지 않으므로 신중한 문구 작성의 대체물이 될 수 없다. - **누가 서비스를 운영하는지 물어라.** 많은 대국민 프로그램이 외부 플랫폼에 의존한다. 그들의 개인정보 처리방침은 누가 당신의 정보를 처리하고 얼마나 오래 보관하는지 명시해야 한다. - **보관된 데이터는 유출될 수 있다고 가정하라.** 작성하는 모든 양식을 언젠가 공개될 수 있는 것으로 취급하라. ## 이것이 당신에게 의미하는 것 크라임 스토퍼스 프로그램에 제보를 제출한 적이 있다면, CBC의 조사 결과는 당황할 이유가 아니라 자신이 포함시킨 내용을 검토할 이유이다. 특정 제보가 개인에게 추적될 수 있는지는 그 내용에 달려 있으며, 조사는 아직 진행 중이다. 우려된다면 관련 프로그램이나 캐나다 개인정보 보호 위원회에 연락하여 어떤 정보가 보유되고 어떻게 보호되는지 문의하는 것을 고려하라. 더 넓게 보면, 이 사건은 익명성이 제출 양식만의 속성이 아니라 전체 시스템의 속성임을 보여준다. 대규모 유출은 종종 업체에서 비롯되며, [FBI 관련 데이터와 연루된 ShinyHunters의 주장](/en/shinyhunters-claims-fbi-hack-denies-financial-motive)과 같은 사건에서 여러 회사가 해당 절도 혐의와 관련하여 거명된 바 있다. ## 핵심 요점 - CBC는 캐나다 크라임 스토퍼스 제보 150만 건 이상이 유출되었다고 보도했으며, 킹스턴 경찰은 2025년 사건에서 해커가 문서 10만 건을 탈취했다고 밝혔다. - CBC의 분석은 제보자의 신원이 보호되지 않았고, 개인정보가 삭제되지 않았으며, 수십 년 치의 기록이 보관되었음을 시사한다. - 크라임 스토퍼스 데이터 유출 사건의 익명성은 양식이 약속하는 것만이 아니라 업체가 데이터를 어떻게 저장하고 정리하는지에 달려 있다. - 거래하는 모든 조직에 어떤 개인정보를 보관하고, 누가 처리하며, 얼마나 오래 보관하는지 물어라. PIPEDA에 따라 해당 정보에 대한 권리가 있을 수 있다. - 위에 링크된 DentaQuest 통지 사건을 비롯하여 제3자 관리자가 관련된 유출에 대한 우리의 보도를 계속 읽어 이러한 실패가 어떻게 반복되는지 확인하라.