Discover-Tech 제로클릭 스파이웨어, 온라인 광고를 통해 유포 — Citizen Lab과 Confiant 확인
무슨 일이 있었나
Citizen Lab과 Confiant의 보안 연구원들은 공동 조사 결과를 발표하며, 제로클릭 공격(피해자의 어떤 행동도 요구하지 않는 해킹)이 타겟 온라인 광고를 통해 유포된 첫 번째 기술적 증거를 발견했다고 밝혔습니다. 이 작전의 중심에 있는 광고 기술 회사는 이스라엘 회사인 Discover-Tech로, 일반적인 온라인 광고 대행사로 스스로를 소개하고 있습니다.
The Verge가 2026년 10월 15일에 보도하고 NBC News가 더 일찍 보도한 이 조사는 Discover-Tech를 해킹 그룹이 웹 전반에 악성 광고를 심을 수 있게 해주는 파이프라인으로 설명합니다. Reuters에 따르면 Google과 Comcast 소유의 광고 회사 Beeswax는 이후 플랫폼에서 Discover-Tech를 제거했으며, IAB Europe은 승인된 공급업체 목록에서 이 회사를 일시적으로 제명했습니다.
광고 파이프라인이 어떻게 작동했나
Discover-Tech는 Controlium이라는 플랫폼을 운영하며, 연구원들은 이 플랫폼이 스파이웨어 파트너에게 "수백만 개인의 정밀한 프로파일링과 비익명화, 기기 지문 수집, 제로클릭 해킹 형태로 타겟팅" 능력을 제공한다고 말합니다.
Controlium은 또한 파트너가 IP 주소, 모바일 광고 ID, 또는 브라우저 식별자를 사용하여 "감염 또는 프로파일링을 위한 사용자를 선택"할 수 있게 해줍니다. 실제로 이는 일반적인 광고 기술이 광고 목적으로 수집하는 타겟팅 데이터(기기 지문, 영구 식별자, IP 주소)가 악성코드 전달을 위한 피해자 선택 메커니즘으로 용도 변경될 수 있음을 의미합니다.
핵심적인 새로운 점은 스파이웨어 자체가 아니라 전달 채널입니다. 광고 네트워크는 오랫동안 악성 광고를 제공하는 데 악용되어 왔지만, 연구원들은 광고 노출 자체가 감염 벡터가 되며 대상자의 클릭, 탭, 다운로드가 전혀 필요 없는 시스템을 설명합니다.
누가 타겟이 되었나
Discover-Tech와 협력한 그룹 중 하나는 미국 정부에서 블랙리스트에 오른 이스라엘 스파이웨어 공급업체인 Candiru입니다. 2024년과 2025년에 Discover-Tech 광고는 카타르 기반 뉴스 네트워크인 Al Jazeera에 Candiru 관련 스파이웨어를 전달했습니다.
연구원들은 이 작전이 2024년과 2025년에 걸쳐 이 뉴스 매체의 "최소" 45개 기기를 타겟으로 했다고 말합니다. 언론인과 뉴스 조직은 상업용 스파이웨어의 반복적인 타겟 계층이며, Al Jazeera 감염은 언론에 대한 용병 감시의 더 넓은 패턴과 일치합니다.
연구원들이 요구하는 사항
Citizen Lab과 Confiant는 광고 업계에 플랫폼 보안을 강화할 것을 촉구합니다. 구체적인 요청은 뉴스 보도에 자세히 나와 있지 않지만, 광고 거래소와 수요 측 플랫폼이 크리에이티브 전달 및 타겟팅 인프라를 순전히 상업적 기능이 아닌 보안 경계로 취급해야 한다는 프레임입니다.
후속 조치로 취해진 제재는 규제 기관이 아닌 광고 업계 자체에서 나왔다는 점에서 주목할 만합니다. Google과 Beeswax는 플랫폼에서 Discover-Tech를 제거했고, 승인된 공급업체 목록을 유지하는 무역 기관인 IAB Europe은 이 회사를 일시적으로 제명했습니다.
이것이 단일 공급업체를 넘어 중요한 이유
이 발견의 중요성은 구조적입니다. 광고 기술은 수백만 개의 웹사이트와 앱에서 특정 개인을 식별하고, 프로파일링하고, 도달하기 위해 존재하며, 컨텍스트를 넘어 지속되는 식별자로 이를 수행합니다. 이는 기능적으로 스파이웨어 운영자가 타겟을 선택하고 도달하는 데 필요한 능력 세트와 동일합니다.
광고를 통한 제로클릭 전달 경로는 또한 일반적인 방어 가정을 깨뜨립니다. 사용자에 대한 조언은 오랫동안 의심스러운 링크를 클릭하지 않거나 알 수 없는 첨부 파일을 열지 않는 데 초점을 맞춰 왔습니다. 노출 자체가 페이로드라면 사용자 행동은 킬 체인에 전혀 포함되지 않으며, 완화 조치는 플랫폼과 브라우저 계층으로 이동해야 합니다.
Hacker News 토론에서 얻은 실무자 시사점
이 이야기에 대한 Hacker News 스레드(199포인트, 87개 댓글)는 소수의 실용적인 요점으로 수렴했습니다.
광고 차단은 선택적 추가 기능이 아닌 기본 위생으로 취급됩니다. 한 댓글 작성자는 연구원들의 권장 사항이 너무 부드럽다고 주장했습니다.
"연구원들은 또한 위험도가 높은 사용자들이 광고 차단기를 사용하고, 광고 추적을 비활성화하고, 모바일 광고 ID를 정기적으로 재설정할 것을 권장합니다." "권장"이 아니라 모두가 모든 기기에서 uBlock Origin 또는 최소한 어떤 종류의 광고 차단기를 사용해야 합니다. 그리고 모든 집에 의무적으로 pi-hole도 설치해야 합니다. Windows OS를 사용하더라도 광고 차단기를 사용해야 합니다. Chrome을 사용하더라도 모든 브라우저에서요.
같은 댓글 작성자의 프레임(광고 차단이 고위험 개인에게만 국한되지 않고 보편적이어야 한다는 것)은 기사의 위험 기반 권장 사항에 대한 실용적인 반론입니다.
토론에서는 또한 왜 이스라엘이 그렇게 많은 공격적 사이버 역량을 생산하는지 질문했습니다. 한 댓글 작성자는 지속적인 실존적 위협이 국가로 하여금 초기에 이 역량을 개발하도록 강요했으며, 일단 그러한 조직이 존재하면 통제하기 어렵다고 추측했습니다.
내 질문은 왜 이스라엘이 이것에 그렇게 능숙한가입니다. 미국, 러시아, 중국 다음으로 세계 4위의 사이버 강국이거나 실제로는 그들과 동등하거나 더 나은 것 같습니다. 태생부터 더 큰 적들의 위협 아래 있었기 때문에 생존을 위해 가진 것을 활용해야 했기 때문일 것 같습니다. 그리고 일단 조직을 키워 풀어놓으면 더 이상 통제할 수 없게 되고, 그것은 꽃처럼 야생에서 자랍니다.
최소 한 명의 댓글 작성자는 주요 소스의 신뢰성에 이의를 제기했습니다. 한 댓글 작성자는 LSE 연구 저장소 논문에 링크를 걸며 "Citizen Lab이 항상 가장 신뢰할 수 있는 소스는 아니다"라고 썼습니다. 링크에는 이 조사의 방법론에 대한 구체적인 비판이 포함되지 않았으므로, 이의는 특정 발견에 대한 반박이라기보다 일반적인 신뢰성 문제 제기입니다.
중복 게시물이 지적되었습니다. 한 댓글 작성자는 이 이야기가 이미 다른 항목 ID로 Hacker News에 게시되었다고 언급했습니다.
주의 사항 및 미해결 질문
공개 보도는 Citizen Lab과 Confiant의 발견을 요약하며, 전달 메커니즘의 주요 소스는 기본 기술 보고서입니다. The Verge 기사는 부분적으로 유료화되어 있어 위 요약 이상의 일부 세부 사항은 구독 벽 뒤에 있을 수 있습니다.
공개 기록에는 여러 질문이 남아 있습니다. Controlium을 통해 Al Jazeera 외부에서 얼마나 많은 개인이 프로파일링되거나 감염되었는지, 타겟팅이 특정 고위험 개인에게만 국한되었는지 더 광범위하게 실행되었는지, 그리고 광고 거래소가 노출이 취약점 전달 경로로 기능하는 것을 방지하기 위해 어떤 기술적 변경을 해야 하는지입니다. Google, Beeswax, IAB Europe이 취한 제재는 하나의 공급업체를 다루는 것이지, 광고 타겟팅 인프라가 제로클릭 공격 표면으로 기능할 수 있는 기본 능력을 다루는 것은 아닙니다.