왓츠앱 사용자를 겨냥한 사이버 공격이 디지털 콘텐츠 관측소 소장의 공개 경고 이후 다시 헤드라인을 장식하고 있다. 이 캠페인의 정교함이 점점 커지고 있다는 내용이다. 우려의 초점은 익숙하지만 여전히 제대로 이해되지 않는 위협, 즉 제로데이 취약점에 맞춰져 있다. 이는 공격자가 문제가 존재한다는 사실조차 알려지기 전에 방어선을 몰래 통과할 수 있게 해주는 결함 유형이다.

경고에 따르면 특정 행위자들은 첨단 기술 취약점을 악용해 휴대전화와 메신저 계정에 접근할 수 있는 능력을 점점 더 갖추고 있다. 상업용 스파이웨어 도구의 확산으로 이러한 침입은 정교한 국가 행위자뿐만 아니라 익스플로잇 체인을 구매하거나 구축할 자원을 가진 더 다양한 집단에게도 더욱 접근하기 쉬워졌다.

제로데이 공격이 왜 그렇게 위험한가

제로데이 취약점은 용어가 의미하듯 소프트웨어 개발자가 알지 못하는 보안 결함, 또는 아직 수정 사항이 출시되지 않은 결함을 말한다. 발견과 패치 사이의 그 간격이 바로 공격자가 악용하는 지점이다. 공급업체가 대응할 수 있는 기간이 0일이었기 때문에 문을 닫을 업데이트가 없어 사용자는 결함이 식별되고 해결될 때까지 노출된 상태로 남는다.

전 세계 20억 명 이상의 사람들이 사용하는 주요 커뮤니케이션 채널인 왓츠앱과 같은 앱에서 단 하나의 패치되지 않은 결함은 과도한 결과를 초래할 수 있다. 메신저 앱은 민감한 대화, 연락처 네트워크, 공유 미디어를 전달하고 점점 더 연결된 인증 시스템을 통해 다른 계정으로의 관문 역할을 하기 때문에 매력적인 공격 대상이다. 제로데이가 스파이웨어와 결합되면 피해자의 명백한 행동이 전혀 필요 없는 공격이 될 수 있다. 링크 클릭도, 파일 다운로드도 없이 백그라운드에서 조용히 실행되는 취약한 버전의 앱만으로 말이다.

스파이웨어가 위협 환경을 바꾸는 이유

디지털 콘텐츠 관측소의 경고는 보안 연구원들이 반복적으로 지적해 온 더 넓은 추세를 가리킨다: 스파이웨어의 상업화다. 한때 자금이 충분한 정보기관의 전유물이었던 것이 이제는 익스플로잇 개발자가 취약점 접근 권한을 판매하고, 스파이웨어 공급업체가 그 익스플로잇을 저널리스트, 활동가, 경영진 또는 표적 캠페인에 휘말린 일반 사용자를 상대로 배치할 수 있는 도구로 패키징하는 시장이 되었다.

이러한 변화는 세계其他地方에서 볼 수 있는 패턴을 반영한다. 예를 들어 독일에서 최근 데이터에 따르면 외국 정보기관이 규명된 사이버 공격의 3분의 1 이상에 연루된 것으로 나타났으며, 이는 국가와 연계된 행위자들이 메신저 플랫폼을 악용하는 데 필요한 기술적 역량에 점점 더 투자하려는 의지를 보여준다. 정부 자체도 기업 보안 사고에 대한 조사 범위를 확대하고 있는데, 한국에서 정보 당국이 의심만으로 기업 해킹을 조사할 수 있는 새 권한을 얻은 사례에서 볼 수 있다. 두 추세 모두 같은 현실을 가리킨다: 범죄적 악용, 기업 스파이 행위, 국가 감시 사이의 경계가 점점 더 흐려지고 있다는 것이다.

노출의 규모도 주목할 만하다. 프랑스에서 집계된 데이터에 따르면 2년 동안 1억 4,500만 건 이상의 데이터 노출이 발생했으며, 이는 메신저 앱 침해가 단독으로 발생하는 경우가 드물다는 사실을 상기시킨다. 공격자가 휴대전화에 접근하면 연결된 계정, 클라우드 백업, 개인 파일로 방향을 전환해 초기 침해 범위를 훨씬 넘어 피해를 확대하는 경우가 많다.

이것이 당신에게 의미하는 바

대부분의 왓츠앱 사용자는 국가 차원의 스파이웨어 캠페인의 직접적인 표적이 아니다. 그러나 그렇다고 해서 이 경고가 일반 사용자에게 무관한 것은 아니다. 제로데이 공격은 저널리스트, 반체제 인사, 기업 경영진 같은 고가치 표적을 겨냥해 좁게 시작하는 경향이 있으며, 이후 기술이 전파되거나 더 광범위한 금융 사기로 용도가 변경된다. 실질적인 교훈은 패치 습관이 대부분의 사람이 생각하는 것보다 더 중요하다는 것이다. 미뤄지는 모든 왓츠앱 업데이트는 알려졌거나 의심되는 취약점이 기기에 하루 더 남아 있는 셈이다.

또한 제로데이는 정의상 사용자의 주의만으로는 방어할 수 없다는 점을 기억할 필요가 있다. 클릭이 필요 없는 익스플로잇을 어떤 주의력으로도 막을 수는 없다. 그렇기 때문에 책임은 부분적으로는 신속하고 투명하게 패치를 적용해야 하는 플랫폼 운영자에게, 부분적으로는 수정 사항이 출시되면 실제로 기기에 도달하도록 소프트웨어를 최신 상태로 유지해야 하는 사용자에게 있다.

위험을 줄이기 위한 실질적인 조치

몇 가지 습관만으로도 정교한 위협에 대한 노출을 의미 있게 줄일 수 있다. 왓츠앱과 휴대전화 운영체제를 수동이 아닌 자동 업데이트로 설정하라. 일부 스파이웨어 변종은 재부팅 후에도 지속되지 않으므로 기기를 정기적으로 재시작하라. 왓츠앱 설정에서 연결된 기기와 활성 세션을 주기적으로 검토하고 익숙하지 않은 것은 제거하라. 전문적으로 민감한 커뮤니케이션을 처리한다면 휴대전화 제조사가 제공하는 추가 기기 수준 보호 기능을 활성화하는 것을 고려하라. 이 기능은 첨단 스파이웨어에 대응하도록 특별히 설계된 것이다.

디지털 콘텐츠 관측소의 경고는 단일 사건에 관한 것이라기보다 지속적인 패턴에 관한 것이다: 메신저 플랫폼에 대한 제로데이 공격은 사라지지 않으며, 이를 실행하는 도구는 점점 더 구하기 쉬워지고 있다. 업데이트를 최신 상태로 유지하고, 계정 활동을 모니터링하며, 예상치 못한 앱 동작을 조사할 가치가 있는 것으로 간주하는 것은 본질적으로 공격 전에 거의 경고를 주지 않는 위협보다 한 발 앞서 나가기 위한 간단하고 효과적인 방법이다.