NSO그룹, 정부들에 암호화된 휴대전화를 해킹하는 제로클릭 스파이웨어 판매

2010년대 후반 무렵 소비자용 메시징 앱들이 메시지를 종단간 암호화하자, 경찰과 정보기관들은 범죄자와 테러리스트들이 '어둠 속으로 사라질' 수 있다고 불만을 제기했다. 2010년에 설립된 이스라엘 기업 NSO그룹은 페가수스를 만들었다. 이는 정부에서 갈고닦은 기술을 갖춘 전직 사이버 스파이들이 아이폰과 안드로이드폰을 조용히 장악하도록 설계한 스파이웨어였다. 멕시코는 회사 설립 후 1년이 채 지나지 않은 2011년에 첫 해외 고객이 되었다.

페가수스는 통신 회선이 아니라 기기 자체를 공격하는 방식으로 작동한다. 공격은 SMS나 iMessage의 악성 링크 형태로 도착할 수 있으며, 최근의 '제로클릭' 버전은 알림이 발생하지 않는 메시지를 보내 스파이웨어를 전달하므로 대상자는 휴대전화를 만질 필요조차 없다. 그런 다음 소프트웨어는 사용자가 읽을 수 있는 모든 것, 즉 메시지, 사진, 녹음, 비밀번호, 통화 기록, 위치를 읽어내고 실시간 감시를 위해 카메라와 마이크를 켤 수 있다. 강력한 비밀번호와 암호화는 거의 도움이 되지 않았으며, 2016년 보고서에서 공개된 기법들은 몇 시간 만에 변경되었다.

NSO는 페가수스를 정부에만 라이선스했다. 약 40개국에 있는 약 60개의 정보, 군사, 법집행 기관이었으며, 수출은 이스라엘 국방부의 승인을 받았다. 회사는 고객의 인권 기록을 심사했으며 소프트웨어를 직접 운영하지 않는다고 밝혔는데, 이러한 구조는 판매업체와 고객이 그 도구로 무엇을 하든 그 사이에 거리를 두게 했다. NSO는 이 제품을 암호화 뒤에 숨어 있는 테러리즘과 조직 범죄에 대한 해답으로 내세웠다.

2021년 7월, 페가수스 프로젝트(워싱턴포스트, 포비든 스토리스, 그리고 16개 언론 파트너)는 5만 개가 넘는 전화번호 목록에 관해 보도했다. 국제앰네스티 보안연구소의 포렌식 분석은 언론인, 인권 활동가, 기업 임원, 그리고 살해된 사우디 언론인 자말 카슈끄지와 가까웠던 두 여성 소유의 휴대전화 37대에 대한 해킹 시도 또는 성공을 발견했다. 기자들은 50개국에 걸쳐 목록에 있는 1,000명 이상의 사람들을 확인했다. NSO는 그 결과를 근거 없다고 주장했지만, 전년도에 남용 혐의로 두 건의 고객 계약을 종료했다고 인정했다.

통신 회선이 아니라 휴대전화 자체를 공격한다. 조용한 제로클릭 침입에는 클릭도, 비밀번호도, 복호화도 필요 없다

암호화는 통신 회선을 보호할 뿐 기기를 보호하지 않는다. 휴대전화 자체를 손상시킴으로써 페가수스는 비밀번호나 클릭, 복호화 키 없이도 가장 강력한 소비자 보호 장치를 우회했다.

제로클릭 전달 방식은 인간의 실수 요건을 없애버렸기에, 언론인과 활동가처럼 신중하고 기술적으로 정교한 대상조차 아무것도 하지 않은 채 감염될 수 있었다.

세계 최고 수준의 익스플로잇 엔지니어링을 제품화하여 수십 개 정부에 라이선스함으로써 NSO는 값비싼 연구개발 비용을 분산시킬 수 있었고, 국가 수준의 휴대전화 해킹을 구매 가능한 서비스로 바꾸었다.

고객이 소프트웨어를 직접 운영했기에 NSO는 연루를 부인하고 포렌식 증거에 이의를 제기하며 남용이 누적되는 동안에도 계속 판매할 수 있었다.

암호화가 도청 채널을 막으면, 유능한 적대자는 엔드포인트로 이동한다. 전송 중인 데이터를 보호하는 것만으로는 충분하지 않으므로 기기 자체를 보호해야 한다.

페가수스 프로젝트는 상업용 스파이웨어 남용에 관한 결정적인 기록이 되었다. NSO는 그 결과가 과장되고 근거 없다고 주장했지만, 전년도에 두 건의 고객 계약을 종료했다고(총 다섯 건) 인정했으며, 심사에 1억 달러가 들었다고 말했다. 앰네스티의 포렌식 방법론은 시티즌랩의 동료 검토를 거쳐 타당하다고 평가되었다. 컨소시엄의 여러 기자들은 자신이나 가족 구성원이 감염되었다는 사실을 발견했다. 아이폰이 주요 표적이었던 애플은 지속적으로 보호 기능을 추가하고 있다고 밝혔으며, 스파이웨어 제작자와 휴대전화 판매업체 사이의 쥐와 고양이 싸움은 계속되었다.