광고 뜨는 순간 공격, 알자지라 기기 45대 스파이웨어 표적

토론토대학교 부설 연구단체 시민연구소는 2026년 10월 15일 조사 결과를 공개하고, 이스라엘 광고회사 Discover-Tech의 플랫폼이 용병 스파이웨어 업체들의 표적 공격에 이용됐다고 밝혔다. 용병 스파이웨어는 정부에 판매되는 상용 해킹 도구를 뜻한다. 연구진은 이 공격 캠페인에 ‘AdFection’이라는 이름을 붙였다.

클릭 없이 성립한 공격

시민연구소가 확인한 공격은 이용자가 웹사이트를 열거나 설치된 앱을 실행할 때 별도의 클릭이나 메시지 열람 없이 이뤄졌다. 광고가 표시되면 코드가 기기의 광고 식별자와 인터넷 주소를 Discover-Tech 서버로 보냈고, 서버는 표적으로 판정한 기기에만 공격 코드를 돌려보냈다는 것이 시민연구소의 설명이다. 공격 코드가 광고 자체에 담기지 않아 광고를 전달한 네트워크에는 탐지할 악성 요소가 없었다.

Ars Technica가 전한 시민연구소 설명에 따르면 이 공격 방식은 iOS와 안드로이드 기기에서 작동하며, 특수 포렌식 장비나 소프트웨어 없이는 드러나지 않는다. 시민연구소는 이번 사례가 표적 광고를 통한 무클릭 용병 스파이웨어 배포를 기술적으로 공개 확인한 첫 사례로 보인다고 평가했다.

캔디루 연결과 노출 범위

시민연구소는 알자지라 공격에 사용된 스파이웨어를 이스라엘 업체 캔디루 제품과 높은 신뢰도로 연결했다. 알자지라는 조사에 참여해 기기 통신 기록을 제공했고, 감염된 기기에서 윈도 실행 파일 하나가 확보됐다. 이 파일이 시민연구소가 2021년 분석한 캔디루 도구와 같은 특징적 기법을 사용한 점이 연관성 판단의 근거가 됐다. 다만 연구진은 스파이웨어 본체는 복구했으나 브라우저나 앱에 침입하는 익스플로잇은 확보하지 못해, 침입 단계는 공격 구성에서 추정했다.

시민연구소는 Discover-Tech의 Controlium 플랫폼이 이용자를 대량으로 프로파일링하고 신원을 특정한 뒤 제3자 스파이웨어로 침입하는 데 이용됐다고 밝혔다. 같은 조사에서 통화 녹음, 마이크 작동과 메시지·사진·이메일 탈취가 가능하다고 설명했다. 연구진이 확보한 Discover-Tech의 광고 입찰 기록은 40억 건을 넘고, 그 기록에 따르면 2026년 3월부터 6월까지 Discover-Tech 광고는 모바일 앱 7만여 개와 웹사이트 12만여 곳에 표시됐다.

광고업계 조치와 남은 쟁점

구글은 Discover-Tech를 광고 플랫폼에서 차단하고 관련 웹사이트에 세이프브라우징 경고를 설정했다고 밝혔다. 구글과 IAB 유럽은 2020년부터 이 회사를 승인된 광고 공급업체로 등재했으며, 조사 결과를 공유받은 뒤 2026년 10월 초 명단에서 제외했다고 보도됐다. 시민연구소는 NATO를 포함한 세계 여러 안보상 민감한 네트워크의 기기에 Discover-Tech 광고가 표시된 증거를 찾았다고 밝혔다. 다만 정부기관과 국제기구 네트워크에서 광고가 표시된 기기가 실제로 침해되거나 감염됐는지는 확인되지 않았다. 공격을 지시한 정부가 어디인지도 확인되지 않았다. Discover-Tech는 보도 전 논평 요청에 응하지 않았다.