애플, 스파이웨어 표적 알림 이메일 넘어 아이폰 잠금화면에도 표시…110개국 발송

애플이 용병 스파이웨어(mercenary spyware) 공격의 표적이 된 이용자에게 아이폰 잠금화면과 설정 화면에서 직접 경고를 띄우는 기능을 새로 추가했다. 기존에는 이메일과 애플 계정 페이지를 통해서만 위협 알림을 보냈는데, 이제 기기 화면에서도 곧바로 확인할 수 있게 됐다. 애플은 8월 13일(현지시각) 110개국 이용자들에게 새 위협 알림을 발송했다고 테크크런치(TechCrunch)에 확인했다. 이 프로그램이 2021년 시작된 이후 누적으로는 150개국이 넘는 국가의 이용자가 알림을 받았다. 토론토대학교 부설 디지털 위협 연구기관 시티즌랩(Citizen Lab)의 존 스콧-레일턴(John Scott-Railton) 연구원이 이번 알림을 X(옛 트위터)에서 처음 알렸다.

잠금화면에 뜨는 경고, 어떻게 다른가

애플은 새 지원 문서 “About Apple threat notifications and protecting against mercenary spyware”를 공개하고 위협 알림의 작동 방식을 설명했다. 알림 문구는 “애플이 귀하의 아이폰을 대상으로 한 용병 스파이웨어 공격을 감지했습니다. 데이터와 기기를 보호하기 위해 지금 취할 수 있는 조치가 있습니다”로 뜬다.

애플은 “애플의 조사가 절대적 확실성에 도달할 수는 없지만, 위협 알림은 이용자가 용병 스파이웨어 공격의 개별 표적이 되었다는 높은 신뢰도의 경고이며 매우 심각하게 받아들여야 한다”고 밝혔다. 다만 어떤 근거로 특정 이용자에게 알림을 보내는지는 공개하지 않는다. 공격자가 그 기준을 파악해 탐지를 회피할 수 있다는 이유에서다. 애플은 이메일과 이용자 계정에 연결된 전화번호로 아이메시지(iMessage) 알림도 함께 보낸다. 알림 이메일은 통상 threat-notifications@email.apple.com에서 발송되며, 이용자는 계정 페이지(account.apple.com)에 로그인해 실제 알림인지 확인할 수 있다. 애플은 위협 알림 이메일이 링크 클릭이나 파일 열기, 앱·프로파일 설치, 비밀번호나 인증코드 입력을 요구하지 않는다고 강조했다. 가짜 알림을 흉내낸 피싱에 주의해야 한다는 의미다.

표적은 누구이고, 왜 위험이 번지나

애플에 따르면 위협 알림 대상은 저널리스트, 활동가, 정치인, 외교관 등 특정한 신원이나 업무 때문에 개별적으로 노려진 사람들이다. 용병 스파이웨어는 상업적 감시 벤더가 정부 고객에게 판매하는 고도로 정교한 감시 도구를 가리킨다. 애플은 개별 알림이 어떤 스파이웨어 때문인지는 밝히지 않지만, NSO 그룹의 페가수스(Pegasus)를 역사적으로 이런 공격과 자주 연관된 대표 사례로 언급했다. 실제로 과거 위협 알림에 대한 포렌식 조사에서 페가수스 감염이 확인된 사례도 있었다고 블리핑컴퓨터(BleepingComputer)는 전했다.

애플은 “용병 스파이웨어 공격은 수백만 달러가 들고 수명이 짧아 탐지와 예방이 훨씬 어렵다”며 “대다수 이용자는 결코 이런 공격의 표적이 되지 않을 것”이라고 설명했다. 다만 좁은 표적을 노리고 개발된 공격 기법이 시간이 지나며 확산되는 경우가 많다는 우려도 있다. 취약점이 재사용되거나 다른 감시 업체에 전매·역설계되고 범죄 조직에도 흘러갈 수 있다는 것이다. 처음엔 소수의 정밀 표적에만 쓰이던 취약점이 공개나 패치 분석, 익스플로잇 공유를 거쳐 훨씬 광범위한 공격에 악용될 위험도 있다.

시티즌랩 “알림이 대규모 스캔들 밝혀냈다”

스콧-레일턴 연구원은 이번 잠금화면 알림 개편을 “큰 개선”이라고 평가했다. 그는 테크크런치에 “알림은 특정 커뮤니티가 표적이 되고 있다는 중요한 신호를 만들어낸다. 알림을 받은 사람 중 일부는 도움을 요청하고, 이는 종종 더 많은 사례를 밝혀내는 조사로 이어진다”고 말했다. 그는 폴란드에서 전 정부의 스파이웨어 오남용을 둘러싼 스캔들을 언급하며 “애플의 알림이 없었다면 폴란드 선거를 둘러싼 그 거대한 스파이웨어 남용 스캔들 전체가 드러나지 않았을 것”이라고 강조했다.

애플은 앞서 1년여 전에도 100개국 이용자에게 유사한 경고를 보낸 적이 있다고 밝힌 바 있다. 이스라엘과의 전쟁을 앞두고 10여 명이 넘는 이란 사이버공격 피해자에게도 별도로 알림을 보낸 사실을 확인했다. 이번 110개국 알림까지 더해지면서 정부가 활용하는 감시 기술이 얼마나 광범위하게 퍼져 있는지 다시 한번 드러났다는 평가다.

이용자가 지금 해야 할 일

애플은 위협 알림을 받은 이용자에게 락다운 모드(Lockdown Mode)를 켜라고 권고한다. 락다운 모드는 대부분의 메시지 첨부파일과 페이스타임 통화, 애플 서비스 초대, 공유 사진 앨범 등을 차단하는 극단적 보호 기능이다. 테크크런치에 따르면 애플은 락다운 모드가 켜진 상태에서 기기가 해킹된 사례를 아직까지 확인하지 못했다고 밝혔다.

애플은 비영리단체 액세스 나우(Access Now)가 운영하는 디지털 보안 헬프라인(Digital Security Helpline)을 통해 24시간 전문가 지원을 받을 것도 권고했다. 일반 이용자를 위한 기본 보안 수칙으로는 기기를 최신 소프트웨어로 업데이트하고, 암호나 터치ID·페이스ID를 설정하고, 애플 계정에 2단계 인증과 강력한 비밀번호를 적용하고, 분실기기 보호 기능을 켜고, 앱은 앱스토어에서만 설치하고, 강력하고 고유한 비밀번호와 패스키를 사용하고, 출처를 알 수 없는 발신자의 링크나 첨부파일은 열지 말라는 내용이 포함된다. 실제로 레딧(Reddit)에서도 이번 알림을 받았다는 이용자들의 글이 올라왔다고 블리핑컴퓨터는 전했다.