CWN(CHANGE WITH NEWS) - 美 NSA 내부 고발자 ＂스파이웨어 거래, 전면 중단해야돼＂

7월 19일(현지 시각), 영국 파이낸셜타임스 소속 기자 180명의 아이폰에 이스라엘 감시 기업 NSO 그룹(NSO Group)이 배포한 스파이웨어인 페가수스(Pegasus)가 설치된 사실이 알려졌다. 페가수스 때문에 많은 기자가 최대 수 년간 감시 대상이 되면서 기기에 보관된 이메일과 문자, 연락처, 음성 메모 등 각종 데이터와 함께 민감 정보가 유출됐을 위험성이 제기됐다.

세계 여러 언론이 페가수스 스파이웨어 문제를 집중 보도하자 과거, 미국 국가안전보장국(NSA)이 비밀리에 대규모 감시 행위를 펼친다는 사실을 폭로한 내부 고발자 에드워드 스노든(Edward Snowden)이 스파이웨어에 대한 견해를 밝혔다.

美 NSA 내부고발자가 말하는 스파이웨어
먼저, 스노든은 영국 일간지 더 가디언과의 단독 인터뷰를 통해 페가수스 스파이웨어 발견 사실 자체는 페가수스를 비롯한 각종 상업용 멀웨어를 이용한 독재 정권의 대규모 시민 감시 행위가 만연하다는 사실을 시사한다고 주장했다.

그는 "버그 유포, 휴대폰 도청 등 기존의 전형적인 경찰 감시 작전은 감시 대상의 집이나 차량, 사무실 등에 직접 침입해야 했다"라고 언급했다. 이어, "그러나 스파이웨어는 비용 효율성을 최대화하면서 대규모 감시 작전을 개시하기 좋은 수단이다. 게다가 기존의 감시 작전보다 위험성이 상대적으로 적다"라며, 스파이웨어의 위험성을 강조했다.

그는 스파이웨어의 위험성을 강조하는 동시에 이를 즉시 제거해야 한다고 말했다. 이와 관련, "스파이웨어 기술을 당장 퇴치하지 못한다면, 스파이웨어 피해자 수가 5만 명에서 50만 명으로 늘어나는 것은 시간문제이다. 지금은 아이폰에 설치된 스파이웨어가 문제가 됐지만, 사실 아이폰 이외에 다른 여러 기기를 악용한 스파이웨어도 똑같이 존재한다. 스파이웨어를 악용하는 세력이 아이폰 보안 해킹 방법을 이미 찾은 가운데, 다른 모든 기기를 해킹할 방법도 이미 알고 있을 것"이라고 설명했다.

NSO 그룹을 비롯해 보안 취약점을 이용해 상업화하면서 스파이웨어 등 각종 악성 소프트웨어를 대규모로 판매하는 기업은 의도적으로 변종 악성 프로그램도 만들어낸다. 스파이웨어 퇴치와 또 다른 문제 발생에 대한 대처가 시급한 이유이다.

스노든이 지적한 바와 같이 페가수스와 같은 상업용 멀웨어의 위험성이 매우 강력하기 때문에 일반 대중이 바이러스 방지 프로그램을 동원해도 절대로 공격을 멈출 수 없다고 말했다.

그는 스파이웨어 감염 시 개인이 정보 보호를 위해 할 수 있는 일을 알려달라는 질문을 받자, "일부 업계와 특정 부문 등은 보호 방법이 전혀 없다. 바로 스파이웨어가 이에 해당한다. 상업용 멀웨어의 피해를 최소화할 유일한 해결책은 국제적인 거래 금지뿐"이라고 주장했다.

스노든은 "페가수스, NSO 그룹 자체가 신종 멀웨어 시장의 등장을 대변한다. NSO가 스파이웨어를 공급하면서 보호 프로그램 개발에는 전혀 나서지 않는 이유는 단순히 수익 때문이다. 따라서 국제 사회가 나서서 스파이웨어와 같은 각종 멀웨어 거래를 전면 금지하면서 수익을 얻을 길을 차단한다면, 이번 파이낸셜타임스 기자단이 겪은 것과 같은 피해가 반복되지 않을 것이다. 그와 동시에 사이버 보안 전문가의 스파이웨어 확인 및 대응책 발견에도 도움이 될 것"이라는 견해를 피력했다.

과거의 페가수스 피해 사례는?
사실, NSO 그룹이 유포한 페가수스 때문에 심각한 피해가 발생한 것은 이번이 처음이 아니다.

NSO 그룹은 스파이웨어를 판매하면서도 윤리적인 문제를 진지하게 고려하고, 이스라엘과 사이프러스, 불가리아 당국의 엄격한 통제를 받고 거래한다고 주장했다. 그러나 사우디아라비아와 아랍에미리트, 아제르바이잔 등 국민 억압을 일삼는 정권을 고객사로 보유한 것으로 확인됐다.

게다가 지금까지 페가수스의 스파이 행위로 피해를 본 이들 상당수가 기자와 사회 운동가, 반정부 인사 등인 것으로 확인됐다.

대표적인 사례로 지난해 말, 카타르 영문 방송사 알자지라 기자 수십명의 아이폰에 페가수스가 설치된 것이 뒤늦게 확인된 것을 언급할 수 있다. 또, 카타르 기자를 겨냥한 스파이웨어 공격 이외에도 CNN과 AFP, AP 통신, 로이터, 블룸버그, 뉴욕타임스, 프랑스24(France 24) 등 상당수 서양 언론 기관 소속 기자도 페가수스의 공격 표적이 되었다.

또, 미국 정치 전문 매체 더힐의 보도에 따르면, 사우디아라비아 정부가 워싱턴포스트 기자로 활동하던 언론인이자 반정부 인사인 자말 카슈끄지(Jamal Khashoggi)를 암살하기 전, 그의 아내인 하난 엘라트트(Hanan Elatr)도 감시 표적으로 삼고, 휴대폰에 페가수스를 설치한 사실이 뒤늦게 밝혀졌다.

2017년과 2018년, 페가수스 스파이웨어 사용자 여러 명이 엘라트르에게 페가수스를 자동으로 설치하는 악성 링크가 담긴 문자를 전송한 것으로 확인됐다.

[저작권자ⓒ CWN(CHANGE WITH NEWS). 무단전재-재배포 금지]