독일 정치인 아이폰에 애플 ‘용병 스파이웨어’ 경고…BSI “감염됐다고 가정하라”

독일 연방정보보안청(BSI)이 연방의회(분데스탁) 의원과 연방정부 구성원 등이 애플로부터 아이폰이 해킹됐을 수 있다는 경고를 받았다고 밝혔다. BSI 서한에 따르면 경보는 10월 29일(현지시각)부터 기기에 도착하기 시작했다. 애플이 “용병 스파이웨어(mercenary spyware)” 공격을 탐지했다는 내용이다. 배후가 누구인지, 공격이 실제로 성공했는지는 아직 확인되지 않았다.

의원과 정부 인사에 날아든 애플의 경고

BSI는 주말 사이 공지를 내고 연방의회 의원과 신원이 공개되지 않은 다른 주요 인사들이 사이버 공격 표적이 됐을 수 있다는 애플의 경고를 받은 사실을 알게 됐다고 밝혔다. 테크크런치(TechCrunch)가 전한 내용이다. 구체적으로 누가 경고를 받았는지는 공개되지 않았다.

카르스텐 빌트베르거(Karsten Wildberger) 디지털·행정현대화 장관은 일요일 독일 공영방송 ARD의 시사 프로그램 ‘베리히트 아우스 베를린(Bericht aus Berlin)’에 출연해 사실을 확인했다. 그는 “특정 기기가 이른바 스파이웨어에 감염됐을 수 있다는 애플의 통지가 있었다”고 말했다. 유로뉴스(Euronews)에 따르면 BSI가 “매우 빠르게 대응”해 영향을 받은 모든 사람에게 대처 방법을 서면으로 안내했다고 그는 설명했다. 다만 경고를 받은 정치인이 몇 명인지, 누구인지는 밝히지 않았다.

독일 정부도 입장을 내놨다. 파이낸셜타임스를 인용한 테크크런치 보도에 따르면 정부 대변인 Stefan Kornelius는 베를린 정부가 사건과 경고를 “매우 심각하게 받아들이고 있다”고 말했다. 연방정부 내 누가 표적이 됐는지, 프리드리히 메르츠 총리가 포함됐는지는 언급하지 않았다. 사안은 독일 일간 빌트와 슈피겔 보도로도 알려졌다.

“해킹됐을 수 있다고 가정하라”…BSI의 권고

애플의 위협 알림에는 한계가 있다. 애플은 공격 배후로 특정 정부를 지목하지 않고 개별 기기가 실제로 뚫렸는지도 알려주지 않는다. BSI가 알림을 받은 사람은 “기기가 감염됐을 수 있다고 가정해야 한다”고 권고한 것도 이 때문이다. 빌트 보도를 인용한 한 매체는 공격자가 실제로 휴대전화 접근에 성공했다는 확인은 아직 없다고 전했다.

애플은 사용자가 용병 스파이웨어로 개별 표적이 됐다고 판단할 때 위협 알림을 보낸다. 유로뉴스에 따르면 애플은 이 스파이웨어를 “일반적인 사이버 범죄 활동보다 훨씬 정교하다”고 설명한다. 탐지와 예방이 더 어렵지만 대다수 사용자는 표적이 될 일이 없다는 입장이다. 경고는 아이폰 잠금 화면과 설정 메뉴에 표시되고 이메일로도 발송된다.

피해가 현실화하면 범위는 넓다. BSI에 따르면 이런 유형의 스파이웨어는 암호화 앱으로 주고받은 메시지를 포함한 대화 내용과 통화, 연락처, 캘린더, 위치 정보에 접근할 수 있다. 휴대전화 마이크와 카메라를 몰래 켤 수도 있다. 이런 스파이웨어는 링크 클릭이나 파일 열기가 필요 없는 ‘제로클릭’ 취약점을 자주 이용한다. 피해자가 거의 알아채지 못한 채 감염될 수 있다는 의미다.

99개국에 발송…배후는 여전히 불명

이번 알림은 독일에만 간 것이 아니다. 베이루트에 거주하는 영화감독 Radwan Mortada는 X(옛 트위터)에 올린 글에서 애플로부터 “또 다른 공격이 기기를 겨냥했다”는 새 위협 알림을 받았다고 밝혔다. 그는 2021년에도 스파이웨어 공격 표적이 됐던 인물이다. 그가 받은 통지에는 이번 알림 묶음이 99개국 사용자에게 발송됐다고 적혀 있었다.

누가 공격을 벌였는지는 드러나지 않았다. 이번 스파이웨어 공격의 배후와 표적을 정한 정부가 어디인지는 불분명하다. 유로뉴스에 따르면 애플도 독일 당국도 가능한 배후를 언급하지 않았다. 유로뉴스는 BSI에 논평을 요청했다고 밝혔다.

빌트베르거 장관도 선을 그었다. 우크라이나 매체 UA뉴스가 슈피겔을 인용해 전한 내용에 따르면 그는 어떤 기기와 공격이 연루됐는지 구체적으로 밝히지 않았고 가능한 배후도 거명하지 않았다. 지금 단계에서 다른 추측은 억측에 불과하다는 취지다. 인공지능과의 필연적 연관성도 보지 않는다고 했다. 스마트폰용 스파이웨어는 오래전부터 존재했다는 이유에서다. 그러면서도 상황 자체는 우려스럽다고 말했다.

정부가 사 쓰는 ‘용병 스파이웨어’ 산업

일은 시민사회와 정치권을 겨냥한 공격의 불투명한 이면을 다시 드러냈다. 정부가 이런 도구를 직접 만드는 경우는 드물다. 대부분 ‘용병 스파이웨어’ 업체라 불리는 민간 업체에서 구매한다. 가장 잘 알려진 곳은 논란 많은 스파이웨어 ‘페가수스’를 파는 이스라엘의 NSO그룹이다.

독일도 이 시장과 무관하지 않다. 독일 연방 법집행기관 BKA가 2019년 페가수스 이용 권한을 구매한 것으로 알려졌다. 이 구매는 ‘알려졌다’는 표현으로 전해졌다.

BSI 서한은 경고를 받은 이들에게 기기가 감염됐을 가능성을 전제로 행동하라고 안내했다. 영향을 받은 정치인의 수와 신원, 공격 성공 여부는 현재까지 공개되지 않았다. 알림이 도착하기 시작한 시점은 10월 29일이다.