“테러리스트 감시용 스파이웨어, 언론인 휴대전화 해킹에 사용”

테러리스트나 중범죄자를 감시하기 위해 개발된 스파이웨어 프로그램이 오히려 전 세계 언론인과 인권운동가 등의 휴대전화를 해킹하는 데 사용됐다는 보도가 나왔다. 스파이웨어는 문자메시지 등의 링크를 잘못 클릭하면 이용자의 스마트폰 사용 기록이 거의 대부분 유출되는 무서운 해킹 기술이다. 해커가 겨냥하는 표적이 어디냐에 따라 사실상 스마트폰을 사용하는 모두가 피해자가 될 수 있는 셈이다.

워싱턴포스트(WP)는 프랑스 르몽드, 영국 가디언 등 16개 글로벌 언론 기관들과 함께 수개월에 걸친 취재 끝에 이 같은 내용의 탐사보도물을 18일 내놨다. 국제사면위원회(앰네스티 인터내셔널)와 프랑스의 비영리 언론단체인 ‘포비든 스토리즈’가 이스라엘 보안기업 NSO그룹의 스파이웨어 ‘페가수스’와 관련된 5만 여 개의 전화번호 목록을 입수하고, 이를 WP 등 언론사들에 공유한 것이다.

취재팀이 해당 번호의 주인이 누구인지를 직접 확인한 결과 이들은 테러리스트나 범죄자 등과는 거리가 멀었다. 이중 신원이 밝혀진 사용자 1000여 명에는 600여 명의 정치인·관료·군인, 189명의 언론인, 85명의 인권 운동가, 65명의 기업인이 포함돼 있었다. 또 일부 국가의 정상과 총리, 아랍 국가의 왕족도 명단에서 발견됐다. 언론인 중에는 CNN방송과 AP통신, 영국 파이낸셜타임스(FT), 중동의 알자지라방송 등 세계 유수 언론사의 기자가 들어 있었다. 국가별로 보면 가장 많은 번호가 나온 나라는 멕시코로 1만5000명 이상이 포함됐다. 이어 카타르 아랍에미리트 바레인 예멘 등 중동 국가와 인도 파키스탄 카자흐스탄 아제르바이잔 등 중앙아시아 국가들의 번호도 다수 발견됐다. 주로 권위주의 국가에서 자국민이나 언론인 감시에 이 스파이웨어를 악용한 흔적이 나타난 것이다.

실제 이들 중 일부 인사들의 스마트폰을 확인하자 이 같은 정황은 사실로 드러났다. 취재팀이 명단에 오른 사용자들의 휴대전화 67대를 정밀 조사한 결과 23대는 해킹에 감염됐고 14대는 침투를 시도한 흔적이 있는 것으로 나타났다. 나머지 30대는 전화기 교체 등 여러 가지 요인으로 해킹 여부에 결론을 내리지 못 했다.

특히 조사 과정에서 2018년 터키에서 살해된 사우디아라비아의 반체제 언론인 자말 카슈끄지의 약혼녀와 이 사건을 조사한 터키 관리 2명의 휴대전화도 암살 이후 스파이웨어에 감염된 사실이 드러났다. 또 카슈끄지 아내의 휴대전화 역시 암살 몇 달 전 해커의 표적이 됐다. 이스라엘 언론에 따르면 2017년 사우디 정부는 5500만 달러를 내고 페가수스를 구매한 바 있다. 결국 사우디가 카슈끄지 사건의 처리 과정 등을 파악하기 위해 페가수스를 이용해 관련자를 해킹했다는 의혹이 나오고 있다.

페가수스는 문자메시지의 ‘함정 링크’ 등을 클릭하면 이용자가 보는 화면이나 사진, 녹음 파일, 위치정보, 통화내역, 비밀번호 등을 모두 빼낼 수 있는 강력한 스파이웨어다. 이용자를 실시간 감시하기 위해 심지어 카메라나 마이크도 구동할 수 있다. 스마트폰 내부의 보안 기술이나 기존의 암호화 기법 등으로는 페가수스의 해킹에 대응하기도 쉽지 않다. 이번 프로젝트에서 스마트폰 포렌식을 담당한 이탈리아 출신 연구원 클라우디오 과르니에리는 “페가수스를 보면 14세기에 흑사병을 마주한 의사처럼 무력감을 느낀다”고 말했다. 그만큼 해킹 공격에서 스마트폰을 보호할 방도가 없다는 뜻이다. 특히 최근에는 사용자가 링크를 누르지 않아도 해커가 메시지를 보내는 것만으로 스마트폰을 감염시키는 공격마저 일어나고 있다. 이처럼 강력한 기능 때문에 이스라엘은 NSO가 페가수스를 외국 정부에 수출할 때 국방부의 허가를 받도록 규제하고 있다.

페가수스가 당초 취지와 다르게 사용된다는 지적에 대해 NSO 측은 성명을 통해 반박에 나섰다. NSO는 “우리는 고객에 제공한 스파이웨어 운영에 관여하지 않고 이들이 수집한 정보에도 접근하지 않는다”면서 취재팀을 향해 “당신들은 사실에 근거하지 않은 정보들을 받았다”고 지적했다. 카슈끄지 사건 개입 여부에 대해서는 “우리 기술은 어떤 방식으로든 그의 암살과 연관돼 있지 않다”고 일축했다.

뉴욕=유재동 특파원 jarrett@donga.com