클릭 없이 광고만 떠도 감염된다 — 타깃 광고가 스파이웨어 배달망이 된 방법

Citizen Lab이 평범한 타깃 광고가 스파이웨어 감염 통로로 쓰인 사례를 처음으로 기술적으로 입증한 보고서입니다(2026-10-15).

• 이스라엘 광고 회사 Discover-Tech가 자기 광고 플랫폼을 Candiru 같은 스파이웨어 업체에 사실상 "감염 배달망"으로 제공했습니다.
• 2024~2025년 알자지라 기기 최소 45대가 이 경로로 Candiru 스파이웨어에 감염됐습니다.
• 보고서가 나온 뒤 Google 등 광고 거래소들이 Discover-Tech의 접근을 끊었습니다.

어떻게 "다리"가 되나

핵심은 광고 입찰 시스템이 원래 특정 사람을 골라 광고를 보여 주는 기계라는 점입니다.

1. 표적 지정: 앱이나 웹에 광고 자리가 날 때마다 입찰 요청이 돌고, 여기엔 그 기기의 광고 ID와 IP가 담깁니다. 고객(스파이웨어 업체)은 표적의 광고 ID·IP를 관리 화면에 올려 둡니다.
2. 광고 낙찰: 표적의 기기에서 입찰이 오면 Discover-Tech가 그 자리를 사서 "SALE" 같은 평범한 광고를 띄웁니다.
3. 선별 전달: 광고 속 스크립트가 Discover-Tech 서버에 "나 누구야"라고 묻습니다. 표적이면 공격 코드를, 아니면 빈 응답을 돌려줍니다. 그래서 광고 거래소도 다른 사용자도 이상한 걸 보지 못합니다.
4. 감염: 공격 코드가 Candiru 서버로 이어져 기기를 확인하고 스파이웨어를 설치합니다.

사용자는 아무것도 클릭하지 않아도 광고가 화면에 뜨는 순간 감염 절차가 시작됩니다. 이게 "제로클릭"입니다. 광고 시스템이 표적 찾기와 전달을 대신 해 주는 다리 역할을 한 셈입니다.

출처: Citizen Lab 보고서

맞습니다. 앱 격리(샌드박스) 덕분에 광고를 띄운 앱 하나만 털리는 수준이면 피해는 그 앱 안에 머뭅니다. 문제는 용병 스파이웨어가 격리를 뚫는 연쇄 공격을 쓴다는 점입니다.

1. 광고가 열린 브라우저나 웹뷰(앱 안의 웹 화면)의 취약점으로 그 안에서 코드를 실행합니다.
2. 샌드박스 탈출 취약점으로 앱 격리 밖으로 나옵니다.
3. 커널 권한 상승 취약점으로 기기 전체 권한을 얻습니다.

이 세 고리가 다 이어지면 격리는 의미가 없어지고, 이런 일이 생길 수 있습니다.

• 카카오톡·시그널 같은 암호화 메신저도 기기 안에서 해독된 상태로 읽힘
• 마이크·카메라·위치를 몰래 켬
• 저장된 로그인 토큰을 빼내 클라우드 계정까지 접근

이 체인은 한 번에 수억 원대로 거래되는 제로데이라, 대량 살포가 아니라 기자·외교관 같은 소수 표적에만 씁니다. 참고로 이번 보고서에서 실제로 확보된 감염 샘플은 Windows PC용이었습니다. 모바일 감염 체인은 확인되지 않았습니다.

표적이 될 만한 사람이라면 아이폰은 잠금 모드, 안드로이드는 **고급 보호(Advanced Protection)**를 켜는 게 현실적인 대응입니다. 둘 다 웹 기능을 줄여서 이런 공격 표면을 크게 좁혀 줍니다.

출처: Citizen Lab 보고서 · Apple 잠금 모드