이스라엘 광고사, 스팸 광고로 '클릭 없는' 스파이웨어 배포

핵심 요약

• 캐나다 토론토 대학 Citizen Lab은 이스라엘 광고사 Discover-Tech가 수백만 명의 사용자에게 제공한 광고를 통해 '클릭이 필요 없는' 스파이웨어를 배포했다고 발표했습니다.
• Discover-Tech는 Controlium이라는 소프트웨어 플랫폼을 운영하며, 사용자를 대규모로 프로파일링한 뒤 제3의 스파이웨어 업체와 협력해 표적을 은폐하며 해킹합니다.
• Controlium은 사용자에게 게임이나 통신사 광고 같은 일반적인 광고를 보여주면서 사용자의 신원과 IP 주소를 수집하고, 표적으로 선정된 사용자에게는 악의적 스파이웨어 코드를 전송합니다.
• 감염은 사용자의 지식 없이 수 초 내에 발생하며, 2024년 이후 예멘, 브라질, 멕시코, 체코를 포함한 전 세계에서 수백만 명이 Discover-Tech 광고에 노출되었습니다.
• 관련 연구그룹 Confiant는 Discover-Tech의 광고가 유럽과 미국의 정부 기관, UN, NATO, 국제형사재판소, 국제원자력기구 등의 네트워크 사용자에게도 노출되었음을 시사합니다.
• Controlium은 정부 관리, 기자, 사업가, 활동가, 학자, 대사관 직원 등을 표적으로 한 제3의 스파이웨어 업체를 위한 '촉진자' 역할을 하며, 배포된 스파이웨어는 메시지·사진·이메일 추출, 통화 녹음, 마이크 활성화 등이 가능합니다.
• 온라인 광고 생태계는 수십~수백 개 회사가 관여하는 프로그래매틱 경매에서 사용자의 프로필(장치 정보, 웹 활동 추적 데이터)을 기반으로 광고 입찰이 자동으로 이루어집니다.
• 현재 이 자동화된 시장에는 거의 규제가 없으며, 악의적 행위자들에 의해 악용되고 있다는 증거가 증가하고 있습니다.
• 메타의 광고 수익 중 수십억 달러 규모가 사기, 불법 도박, 음란물 등 금지 콘텐츠 광고에서 비롯되었다는 로이터 보도와, 미국 ICE 등 정부 기관이 광고 기술 데이터로 사람들의 동향을 추적하는 소프트웨어를 구입했다는 사례가 있습니다.
• Citizen Lab의 연구자들은 미국, 유럽 등의 사이버보안 기관, 규제당국, 입법부가 긴급히 개입하여 관련 기업을 조사하고 악의적 광고 표적화를 가능하게 하는 구조적 위험을 해결해야 한다고 촉구했습니다.