최근 전 세계 테크 뉴스를 장식하고 있는 '페가수스(Pegasus)' 스파이웨어. 이 강력한 악성 코드는 최신 업데이트가 모두 적용된 스마트폰조차 악성 문자 메시지나 전화 한 통만으로 감염시킬 수 있는 것으로 알려져 있습니다.
하지만 초기의 공포가 가라앉으면서 사람들은 페가수스의 실체를 명확히 볼 수 있게 되었습니다. 결국 페가수스는 개인의 사생활을 침해하고 개인정보를 유출하는 데 사용되는 스파이웨어입니다. 스마트폰 감염 여부를 확인하러 서두르기 전에, 반드시 알아두어야 할 핵심 내용을 정리했습니다.
페가수스 스파이웨어란?
과거 인터넷을 위협했던 스파이웨어들과 달리, 페가수스는 다크웹에서 활동하는 익명의 해커들이 만든 것이 아닙니다.
페가수스는 이스라엘의 감시 기업 NSO 그룹 테크놀로지스(NSO Group Technologies)가 개발한 해킹·감시 소프트웨어로, 오직 세계 각국의 정부에만 판매하고 라이선스를 제공하도록 설계되어 있습니다.
페가수스는 새로운 위협이 아닙니다. 2016년부터 존재해 온 이 스파이웨어는 iOS와 안드로이드 기기를 모두 감염시켜 왔으며, 초기에는 '스피어 피싱(spear phishing)'이라는 사회공학적 공격을 통해 확산되었습니다. 이는 해커가 SMS나 이메일에 담긴 악성 링크를 클릭하도록 사용자를 속이는 방식입니다.
5년이 지난 지금, NSO의 페가수스는 그 어느 때보다 강력해졌습니다. 더 이상 사용자가 함정에 빠지기를 기다리지 않습니다. 페가수스는 현재 '제로클릭(zero-click) 공격' 방식으로 작동합니다. 제로클릭 공격은 사용자나 기기가 어떤 상호작용도 하지 않아도 스파이웨어가 스마트폰에 침투할 수 있는 사이버 공격 유형입니다.
예를 들어, 페가수스는 부재중 전화 한 통만으로도 기기를 감염시킬 수 있습니다. 사용자 입장에서는 예측할 수 없고, 스스로 막을 방법도 없는 공격입니다.
즉, 페가수스는 모바일 기기 감염이 훨씬 쉬워졌을 뿐만 아니라, 웹서핑에 아무리 신중한 사용자라도 자신이 감염된 사실 자체를 모른 채 지나칠 수 있다는 뜻입니다.
페가수스 스파이웨어는 어떤 짓을 할까?
페가수스가 스마트폰에 침투하면 데이터와 기기 기능 전반을 자유롭게 통제하게 됩니다. 다시 말해, 여러분의 스마트폰은 24시간 멈추지 않는 추적·감시 장치로 변신합니다.
페가수스는 문자 메시지, 음성사서함, 문서, 동영상, 이미지는 물론 앱 데이터까지 스마트폰의 모든 데이터를 수집할 수 있습니다. 앱에서 정보를 긁어가고, 비밀번호를 훔쳐 여러분의 기기와는 별개의 다른 온라인 계정이나 기기에 접근할 수도 있습니다.
심지어 기기의 카메라나 마이크를 몰래 작동시켜 실시간으로 녹음·촬영까지 가능합니다.
페가수스 스파이웨어, 얼마나 걱정해야 할까?
NSO 그룹 테크놀로지스는 지금까지 자신들은 단순한 제조사일 뿐 공격자가 아니며, 전 세계에서 벌어지는 해킹과 사생활 침해와는 무관하다고 주장해 왔습니다.
이 회사는 해당 스파이웨어가 범죄자와 테러리스트를 대상으로만 사용될 목적으로 만들어졌다고 밝히지만, 최근 조사 결과는 정반대의 이야기를 들려줍니다.
조사 과정에서 5만 건이 넘는 스마트폰 번호로 구성된 감시 대상 명단이 발견되었습니다. 명단의 번호들은 익명으로 처리되어 특정하기 어려웠지만, 추가 조사 결과 이 번호들 가운데 상당수가 50여 개 국가의 정치인과 정부 관계자, 약 200명의 언론인, 85명의 인권 운동가의 것으로 확인되었습니다.
페가수스는 민간 판매용 스파이웨어이기 때문에 다크웹 등을 통해 일반인이 손에 넣기는 극히 어렵습니다. NSO 그룹은 고객에게 페가수스 시스템 접근 권한을 제공하는 데 수십만 달러를 청구하는 것으로 알려져 있으며, 실제로 이를 활용해 타인의 스마트폰을 침투하는 데에는 추가 비용까지 발생합니다.
5만 건이라는 숫자는 분명 크지만, 민감한 정보나 문서에 접근 권한이 있는 언론인, 인권 운동가, 정부 관계자가 아니라면 여러분의 전화번호가 이 명단에 포함되어 있을 가능성은 매우 낮습니다.
애초에 아무도 여러분 한 사람을 감시하기 위해 50만 달러를 지불하지 않습니다. 물론 NSO의 승인을 받는다는 전제가 있어야겠지만요.
꾸준히 최신 정보를 확인하세요
스마트폰 업데이트든 글로벌 사이버보안 뉴스든, 최신 정보를 놓치지 않는 것이 중요합니다. NSO 측은 페가수스가 최신 버전으로 업데이트되고 보안·암호화가 적용된 스마트폰이라도 감염시킬 수 있다고 주장하지만, 다른 대부분의 스파이웨어는 그렇지 못합니다.
뉴스 역시 마찬가지입니다. 페가수스는 정부와 군대만 접근할 수 있는 사유 재산이지만, 제로클릭 공격 기술이 한번 세상에 나오면 되돌릴 수 없습니다. 페가수스와 유사한 스파이웨어가 평범한 일반인을 표적으로 삼아 인터넷 세계를 뒤흔드는 날도 머지않았을지 모릅니다.