애플은 정부와 다른 기관에 스파이웨어를 판매하는 NSO 그룹을 아이폰 감염과 염탐한 혐의로 고소했다.

더레지스터 보도에 따르면, 애플은 문서를 통해 NSO를 "일상적이고 노골적인 남용을 자초하는 고도로 정교한 사이버 감시 도구를 만든 비도덕적인 21세기 용병"이라고 비난했다.

NSO 그룹의 페가수스(Pegasus) 스파이웨어는 권위주의자들과 다른 강경파 국가들에 의해 반복적으로 사용되어 언론인, 반체제 인사, 학계, 활동가, 정부 관계자, 미국 시민들의 스마트폰에 잠입하여 그들의 일거수일투족을 추적하고 있다고 애플은 밝혔다.

손상된 스마트폰에 마이크, 카메라, 메시지, 사진 및 기타 민감한 데이터에 한 번 액세스할 수 있는 이 소프트웨어는 미국 국내법과 캘리포니아법을 위반한다고 애플은 주장했다. 또한 NSO 그룹이 iOS뿐만 아니라 안드로이드용 스눕웨어(snoopware)를 만들고 있다고 경고했다.

애플 보안 엔지니어링 및 아키텍처 부서의 수장인 이반 크르스티치는 성명을 통해 "오늘 우리가 취하는 조치는 분명한 메시지를 전달할 것"이라며 "자유사회에서 더 나은 세상을 만들고자 하는 사람들에게 강력한 국가 지원 스파이웨어를 무기화하는 것은 용납할 수 없다. 우리는 NSO 그룹과 같은 국가 후원 행위자들로부터 사용자들을 보호하기 위해 끊임없이 노력할 것이다."라고 말했다.

애플은 페가수스가 인권 유린에 이용된다는 주장을 뒷받침하기 위해 이달 미 상무부가 NSO를 포함한 4개 스파이웨어 공급업체를 제재한 것과 미국의 다른 단속을 인용했다.

애플은 NSO가 페가수스를 외국 정부 등에 판매하지만, 개발자가 추적 소프트웨어의 각 배포에 크게 관여하고 있어 코드 사용의 궁극적인 책임을 져야 한다고 주장했다. 일반적으로 부비트랩 메시지가 선택된 대상의 장치로 전송되거나 특수하게 조작된 파일을 열도록 유도하여 페가수스의 설치를 트리거한다. 이 때 스파이웨어는 조용히 데이터를 유출하도록 지시할 수 있다.

이에 대해 애플은 페가수스가 올해 초 사용자와의 상호작용 없이 애플 아이폰 몇 대에 진입할 수 있었던 이유와 왜 9월에 긴급 패치를 내놨는지에 대해 설명했다.

2월과 9월 사이에 NSO는 제로 클릭 기술을 사용하여 일부 iOS 기기를 감염시켰다고 애플은 주장했다. 캐나다 비영리 시티즌랩의 연구원들이 FORCEDENTRY라고 명명한 이 익스플로잇은 iOS의 보안 보호 기능을 우회하고 자동으로 페가수스를 설치할 수 있었다.

애플은 NSO 요원이 악성 코드 페이로드가 포함된 메시지인 악성 데이터를 표적 피해자에게 보내는 데 사용되는 100개의 Apple ID 계정을 설정했다고 말했다. 이러한 통신은 iOS 로깅 절차를 비활성화했으며 사용자 상호 작용 없이 하나의 메시지 수신만으로 페가수스를 설치했다.

애플은 이것이 미국 컴퓨터 사기 및 남용법에 대한 명백한 위반이며, 이는 또한 애플 자체 이용 약관의 위반이며, 애플 계정에 가입함으로써 애플의 T&C를 준수하기로 동의했기 때문에 계약 위반이나 부당한 이득에 해당한다고 주장했다.

애플은 페가수스가 창출한 모든 수익에 대해 산호세 연방 지방 법원에 NSO를 고소하고 피해를 처리하는 데 소요된 시간과 징벌적 손해에 대한 보상을 청구했다. 또한 NSO가 애플 서비스, 소프트웨어 및 장치에 액세스하지 못하도록 하는 영구 금지 명령을 원하고 있다.

NSO에서 얻은 모든 금액은 시티즌 랩, 엠네스티 테크 및 스파이웨어를 조사하는 기타 비영리 단체에 기부할 예정이며 현장에서의 노력을 촉진하기 위해 추가로 1천만 달러를 약속했다.

NSO는 피해자의 기기를 스누핑하기 위해 왓츠앱을 악용한 혐의로 이미 페이스북에 의해 고소를 당했으며, 이번 달 초에 주권 면책(모든 판매는 이스라엘 정부의 승인을 받음)을 근거로 한 항소는 다시 기각되었다.

★정보보안 대표 미디어 데일리시큐!★