Apple, 92개국 사용자에게 용병 스파이웨어 공격 경고

• 고위험 개인을 노리는 용병 스파이웨어 위협이 다시 확인되며, Apple은 92개국 iPhone 사용자에게 표적 공격 가능성을 알림
• 이번 알림은 Apple ID에 연결된 iPhone을 원격 침해하려는 시도를 감지했다는 내용이지만, 공격자 신원과 대상 국가는 공개되지 않음
• Apple은 탐지에 절대적 확실성은 없다고 전제하면서도, 이번 경고는 높은 신뢰도를 가진 알림이므로 진지하게 받아들여야 한다고 안내함
• 2021년 이후 Apple은 150개국 이상 사용자에게 유사한 알림을 보냈고, 지난해 10월 인도 언론인·정치인에게도 같은 유형의 경고를 발송함
• Apple은 기존 “state-sponsored” 표현을 “mercenary spyware attacks”로 바꾸며, Pegasus 같은 공격이 일반 악성코드보다 훨씬 정교하고 드물다고 구분함

---

92개국 iPhone 사용자에게 발송된 위협 알림

• Apple은 수요일 정오(태평양시)에 92개국 개인 사용자에게 위협 알림을 보냄
• 알림은 Apple ID에 연결된 iPhone이 용병 스파이웨어 공격으로 원격 침해될 수 있다는 경고였음
• TechCrunch가 확인한 알림에는 공격자의 신원이나 사용자가 알림을 받은 국가가 공개되지 않음
• 사용자에게 전달된 핵심 내용은 다음과 같음
  • 공격은 사용자가 누구인지, 또는 무엇을 하는지 때문에 개별 표적으로 삼았을 가능성이 있음
  • 이런 공격은 탐지 과정에서 절대적 확실성을 보장하기 어려움
  • Apple은 해당 경고에 높은 신뢰를 두고 있으며, 사용자는 이를 진지하게 받아들여야 함
• Apple은 공격자들이 향후 탐지를 회피하도록 방식을 바꿀 수 있어, 알림 발송 원인에 대한 더 자세한 정보는 제공할 수 없다고 안내함

반복된 알림과 용어 변화

• Apple은 이런 종류의 알림을 연간 여러 차례 보내며, 2021년 이후 150개국 이상 사용자에게 유사한 위협을 알렸다고 지원 페이지에 명시함
• 지난해 10월에는 인도의 여러 언론인과 정치인에게도 동일한 경고가 발송됨
  • 이후 Amnesty International은 인도 주요 언론인의 iPhone에서 이스라엘 스파이웨어 업체 NSO Group의 침투형 스파이웨어 Pegasus를 발견했다고 보고함
  • 최신 위협 알림을 받은 사용자 중에는 인도 사용자도 포함됐다고 사안을 아는 사람들이 전함
• 이번 알림은 여러 국가가 선거를 준비하는 시점에 도착함
  • 최근 여러 기술 기업은 특정 선거 결과에 영향을 주려는 국가 지원 활동 증가를 경고함
  • Apple의 알림 자체는 발송 시점에 대해 언급하지 않음
• Apple은 이전에 공격자를 “state-sponsored”로 불렀지만, 현재는 관련 표현을 모두 “mercenary spyware attacks”로 대체함
• Pegasus 같은 용병 스파이웨어 공격은 일반 사이버범죄나 소비자용 악성코드보다 훨씬 정교하고 예외적으로 드문 유형으로 분류됨
• Apple은 이런 공격 탐지에 내부 위협 인텔리전스 정보와 조사만 사용한다고 밝힘
• 관련 자료: NSO의 Pegasus 스파이웨어가 휴대폰을 표적으로 삼았는지 확인하는 도구

[GN⁺]

Hacker News 의견들

• 이런 경고를 받은 사람이 올린 Reddit 스레드가 있음: https://old.reddit.com/r/iphone/comments/1c10jai/i_have_rece...
  흥미로운 건 본인이 그냥 평범한 대학생이라고 주장한다는 점인데, 실제 비밀 요원 같은 사람이었다면 Reddit에 묻지는 않았을 테니 그럴듯해 보이기도 함
  해커들이 전화번호 같은 기준으로 표적을 고르는 건지 궁금함. 대학생이 최근 새 번호를 받았고, 그 번호가 이전에 표적과 연결돼 있었을 가능성도 상상은 가능함. 다만 표적으로 알려진 번호는 폐기하는 방법이 있어야 하지 않나 싶음

  • 국가 지원 공격자나 용병형 공격자에게 유효하거나 이상적인 표적이 무엇인지 오해가 있는 듯함. 연구소, 산업 제조사, 발전소, 기술 회사에서 일하거나 특정 교수를 안다는 것만으로도 표적 목록에 오를 수 있음
  • 그 사람이 그냥 대학생일 수는 있지만, 실제 표적과 어떤 식으로든 관계가 있을 수 있음. 복잡한 작전의 일부라면 간접 접근을 시도하는 중일 수도 있음
  • 다들 학술 기밀만 생각하지만, 그 사람이 어떤 형태로든 활동가 활동에 관여했는지도 봐야 함
    활동가를 장악해서 신뢰를 무너뜨릴 수 있다면 엄청난 능력임. xz 압축 백도어도 특정 정부가 자기들에게 반대하는 누구든 실각시키거나 흠집 낼 능력을 얻으려 한 시도였다고 해도 전혀 놀랍지 않음
  • 그 사람은 이미 지난여름에도 표적이 됐음. 본인이 믿거나 주장하는 것만큼 흥미 없는 인물은 아닐 가능성이 큼
  • 표적의 가족이나 지인일 수도 있음. 취미로 공개출처정보(OSINT) 를 많이 해봤는데, 표적을 찾을 때는 중심에서 살짝 벗어난 대상을 통해 삼각측량하거나 피벗하는 식으로 접근할 때가 있음

• Metaverse, 용병형 스파이웨어, AI 전쟁 표적 지정, 살상 드론까지 보고 있으면, 누가 Neuromancer를 읽고 “정말 장밋빛 미래상이군! 이 멋진 미래 비전을 어떻게 실현하지?”라고 생각했는지 계속 궁금해짐

  • 공상과학 작가: 내 책에서 Torment Nexus를 경고성 이야기로 발명했음
    기술 회사: 마침내 고전 SF 소설 “Torment Nexus를 만들지 말라”에 나오는 Torment Nexus를 만들었습니다
    https://twitter.com/AlexBlechman/status/1457842724128833538
  • Neuromancer를 읽고 그런 생각을 한 사람들은 1984를 읽고도 똑같이 생각한 사람들일 듯함
    아니면 1984를 읽지 않아서 그 경고를 이해하지 못한 사람들일 수도 있음
  • “제대로 하는 건 걱정하지 말고 일단 빨리 해, 나중에 고치면 돼”라고 말한 사람들이 그런 미래를 만들었음
    그리고 결국 고쳐지지 않았음. 우리는 계속 더 빠르게, 더 싸게 밀어붙이는 듯함. 계속 무게를 줄이다 보면 머지않아 팔다리를 잘라야 함. 앞선 유능한 관료나 관리자가 지방을 이미 잘라냈다면, 다음 사람이 자를 지방은 별로 남지 않음. 게다가 어느 정도 지방은 실제로 좋음
  • 걱정할 것 없음. 현실과 시간은 과거의 소설가가 상상할 수 있었던 것보다 현실을 더 나쁘게 만드는 방법을 찾아낼 것임. 이제는 Brave New World조차 순진해 보임
  • 디스토피아를 읽고 “저건 끔찍하군. 내가 정당하고 의로운 신왕으로서 전 세계를 억압해, 내 극도로 좁은 관점이 이해하는 옳고 그름에 맞게 잘 굴러가도록 해야겠다”라고 생각하는 사람은 절대 부족하지 않을 것임
    여기서도 “기술을 위한 기술”이 좋은 것이라거나, 어떤 기술이든 본질적으로 사회의 진보이며 진보 === 선이라고 믿는 사람이 아주 많음

• “Apple이 당신의 Apple ID -xxx-와 연결된 iPhone을 원격으로 침해하려는 용병형 스파이웨어 공격의 표적이 되고 있음을 감지했습니다” 같은 메시지를 받으면 피싱 사기의 일부라고 생각할 것 같음
  이런 게 진짜인지 어떻게 알 수 있을까? 평소 받는 다른 메시지와 다르게 보이면 더더욱 가짜라고 생각할 가능성이 큼
  나중에 보니 아래 댓글처럼 appleid.apple.com에 로그인하면 확인된다고 함. 그 정도면 믿을 수 있음

  • Apple 웹사이트에 따르면, Apple 위협 알림이 진짜인지 확인하려면 appleid.apple.com에 로그인하면 됨. Apple이 위협 알림을 보냈다면 로그인 후 페이지 상단에 명확히 표시됨
    https://support.apple.com/en-lamr/102174
  • 클릭할 링크가 없고 어떤 곳에 로그인하라고 몰아붙이지 않는다면 그냥 정보 전달처럼 들림
    은행이 신용카드 사기에 대해 연락했는데 “여기를 클릭해서 로그인” 같은 큰 버튼이 있으면 매우 의심할 것임. 반대로 정보만 있고 “자세한 내용은 가까운 지점에 문의하세요” 정도로 끝나며 링크나 전화번호가 없다면 덜 의심스러움
  • 피싱 사기가 휴대폰에 그런 메시지를 다른 방식으로 띄우는 데 성공했다면, 그 휴대폰은 이미 해킹됐을 가능성이 높아서 더는 신뢰할 수 없음
  • 마지막에 iCloud에 로그인하면 유효성을 확인할 수 있고, 거기에 알림 배너가 표시된다고 되어 있음
  • 브라우저의 iCloud 웹 패널 상단에 배지나 배너로 표시된다고 들었음. 받은 메시지 위쪽에도 뜨는 듯함

• Pegasus와 NSO가 아직도 존재를 허용받는 게 이해되지 않음. 이스라엘 기업인 건 알지만, 그래도 이스라엘 정부가 이들에 대해 조치를 한 적이 있나? 이건 사실상 불량 국가 같은 행동임

  • PBS Frontline에 NSO Group에 대한 좋은 다큐멘터리가 있음. 이들은 정부의 승인을 받았고, 심지어 정치적 지렛대로도 사용됨: https://m.youtube.com/watch?v=6ZVj1_SE4Mo
  • Pegasus와 NSO가 아직 허용되는 이유는, 이들을 금지할 권한이 있는 주체들이 바로 최대 고객이기 때문임
  • 이런 회사는 알려지지 않았을 뿐 많이 있음. 이 상황이 이스라엘과 크게 관련 있다고 보지는 않음
  • 이스라엘 정부가 이들이 하는 일을 승인하지 않는다는 가정인가?

• Android 사용자는 Google이 공개하지 않을 뿐 훨씬 더 심각할 가능성이 큼
  이번 일을 보고 Apple로 바꾸는 걸 진지하게 고려 중임. Apple이 안전해서가 아니라, 이 정도까지 사용자에게 알리려는 의지가 있기 때문임

  • 아이러니하게도 그게 더 나쁠 수도 있음. iMessage는 이런 익스플로잇의 60% 이상에서 핵심 단계일 가능성이 크고, 여러 유니코드/PDF 렌더링 엔진도 많은 공격의 원인이 됨
    Android의 오픈소스 성격은 이런 것들이 보안 연구자에게 먼저 발견될 가능성을 높여줌. Zerodium이 여전히 iOS 0-day보다 Android 0-day에 더 많은 돈을 지급한다는 점도 잊으면 안 됨
    게다가 Samsung, Google, Moto, Huawei 등 기기 차이가 매우 커서 단일 익스플로잇이 성공하기가 세 배는 더 어려움
  • 행간을 읽어보면 Apple에는 감염 이후 모든 Apple 기기에서 근본 원인 재현 가능성이 있을 것 같고, 다만 공개적으로 말하지 않는 것일 수 있음
    감염이 결국 발견되면 Apple이 취약점의 진입점을 분리하고, 이후 모든 기기를 다시 스캔해 같은 공격의 표적이 됐을 가능성이 있는 기기를 탐지할 수 있다는 뜻임
    집단 관점에서는 지문 역할을 할 수 있는 데이터를 해싱하는 게 말이 됨. 극단적으로는 iMessage 수신 후 호출 스택 같은 단순한 것도 가능함
  • “Android 사용자는 훨씬 더 심각할 가능성이 큼”에는 근거가 필요함
  • Google은 오래전부터 이런 일을 해왔음. 2010년쯤 그런 이메일을 받은 적이 있음
  • Android 사용자가 일반적으로 훨씬 더 심각하냐면 그럴 수 있음. 하지만 요즘 Google Pixel은 보안 면에서 Apple과 비슷하고, 더 안전하다고 보는 사람도 있음. 다른 사람들이 말했듯 Google도 예전에 비슷한 알림을 보낸 적이 있음
    또한 Samsung, Motorola 같은 다른 제조사 휴대폰까지 Google이 감시하고 알릴 책임이 있다고 보지는 않음

• “NSO Group의 Pegasus를 사용하는 것 같은 용병형 스파이웨어 공격은 극히 드물고, 일반 사이버 범죄나 소비자용 악성코드보다 훨씬 정교하다”
  그렇다면 표적에게 Apple 경고를 유발하는 것 자체도 정교한 작전의 일부일 수 있음
  이런 표적들은 특정 방식으로 반응하거나 반응할 수밖에 없음. 숨어 있는 사람을 끌어내고, 행동을 관찰하기만 하더라도 반응하도록 유도하는 것임
  그 표적들은 그다음 무엇을 할까? 휴대폰을 바꾸나? 특정 디지털 서비스에 접속하나? 일반 통신 수단으로 네트워크에 경고하나? 관찰자 관점에서는 꽤 흥미진진함

  • Apple은 웹사이트에서 어디에 연락해 안내를 받을지 권하고 있고, 물론 이런 조언을 제공하는 곳이 Apple만은 아님
    Apple: “Apple 위협 알림을 받았다면 Access Now의 비영리 Digital Security Helpline이 제공하는 신속 대응 긴급 보안 지원 같은 전문가 도움을 받을 것을 강력히 권장합니다. Apple 위협 알림 수신자는 웹사이트를 통해 Digital Security Helpline에 연중무휴 24시간 연락할 수 있습니다. 외부 기관은 Apple이 위협 알림을 보낸 원인에 대한 정보를 갖고 있지 않지만, 표적 사용자를 위한 맞춤형 보안 조언을 도울 수 있습니다.”
    https://support.apple.com/en-lamr/102174
    Amnesty International: “Access Now Helpline과 다른 Security Lab 시민사회 파트너들도 Apple 알림을 받은 개인을 지원할 준비가 되어 있습니다.”
    https://securitylab.amnesty.org/latest/2024/04/apple-threat-...
  • 휴대폰을 바꾸느냐고? 130달러짜리 Motorola가 더 나은 보안을 제공할 수 있다면 그렇다고 봄
    2018년에 FBI가 iPhone을 뚫은 이후에도 누군가 iPhone에 비밀을 보관한다는 게 놀라움

• 실제 메시지가 어떻게 생겼는지 궁금하다면, Reddit 사용자가 2023년의 이전 버전과 함께 올려둔 게 있음. 전체가 다 포함된 것은 아님: https://www.reddit.com/r/iphone/comments/1c10jai/i_have_rece...

  • 메시지가 사용자에게 “최신 소프트웨어 버전인 iOS 16.6으로 업데이트”하라고 권하는 것처럼 보임. iPhone 7, 7 Plus, SE처럼 iOS 15 이상으로는 업데이트할 수 없는 기기 사용자에게는 메시지가 다르게 나가는지 궁금함

• 이 스파이웨어는 Apple 제품의 공학적 결함 때문에 가능한 건가?

  • 기술적으로는 그렇다고 볼 수 있음
    하지만 이런 결함이 전혀 없는 의미 있는 소프트웨어는 지금까지 존재한 적이 없음. 달리 말하면, 이 유형의 공격에 대해서는 iOS가 대부분의 다른 플랫폼보다 나을 가능성이 높다고 봄
  • NSO Group에 대해서는 Darknet Diaries 팟캐스트를 들어보면 좋음. NSO Group은 iPhone에 쓸 만한 제로데이를 가진 해커에게 10만 달러 이상을 지급할 가능성이 큼
    https://darknetdiaries.com/episode/100/
  • 지금까지 거의 모든 컴퓨터 바이러스, 웜 등은 소프트웨어 제품의 공학적 결함 때문에 가능했음. 지금 사용하는 것을 포함해 세상에 만들어진 모든 소프트웨어에는 버그가 있음
  • 그렇다고 봄. 모든 플랫폼에는 버그와 제로데이가 있음

• 사실상 모든 국가에 해당될 것 같은데, 92개국에만 알림이 간다는 점이 궁금함

  • 어떤 국가에서는 사용자에게 이렇게 알리는 것이 불법일 수도 있지 않을까? 정부 표적이 됐다는 사실을 당사자에게 알려주는 행위가 일부 국가에서는 불법일 수 있다고 봄

• 어느 92개국인지는 안 나와 있음

  • 최종 사용자 메시지에서 그 숫자를 굳이 언급한 게 이상하다고 생각했음. 작년 메시지와 비교하면 약간 논평성 내용으로 넘어간 느낌임