Citizen Lab, 표적 광고로 배달된 제로클릭 스파이웨어를 처음 공개 확인

웹페이지나 앱 화면에 광고 한 칸이 뜨기까지는 1초도 걸리지 않습니다. 그사이 광고 거래소에서는 광고를 누구에게 보여 줄지 정하는 경매가 열립니다. 경매에서 이긴 광고주의 이미지와 코드는 사용자 기기로 내려옵니다. 토론토대학교 Citizen Lab은 10월 15일 낸 보고서에서 이 경매를 통해 사용자가 아무것도 누르지 않아도 감염되는 스파이웨어가 실제로 배달됐다고 처음 공개적으로 확인했습니다.

보고서가 확인한 사례의 피해자는 국제 뉴스 방송사 Al Jazeera입니다. 이 방송사의 기기들이 표적 광고를 통해 이스라엘 감시 업체 Candiru의 스파이웨어에 감염됐고, 공격 대상이 된 기기는 최소 45대였습니다. Citizen Lab은 이 수법을 AdFection이라고 불렀습니다. 광고를 산 곳은 정상적인 광고 회사로 자신을 소개해 온 이스라엘 기업 Discover-Tech였습니다.

Discover-Tech가 운영한 Controlium이라는 플랫폼은 광고가 화면에 그려지는 순간 기기를 식별하고 지문을 뜬 뒤 감염까지 자동으로 진행했습니다. 연구진이 40억 건 가까운 입찰 기록을 분석한 결과, 2026년 3월부터 6월까지 이 회사의 광고는 웹사이트 12만여 곳과 모바일 앱 7만여 개에 실렸습니다. 수백만 대의 기기가 광고를 통해 Candiru 서버에 몰래 접속하기도 했습니다.

이 업체는 Google과 유럽 광고업계 단체 IAB Europe가 관리하는 인증, 승인 업체 목록에 포함됐고, Google과 Yandex, Beeswax 같은 큰 광고망을 통해 광고를 내보냈습니다. 연구진의 통보를 받은 Google, IAB Europe, Beeswax, Vungle(Liftoff), Eskimi는 Discover-Tech의 접근을 끊는 조치를 했습니다.

이제 광고 자리를 둔 서비스를 만드는 개발자가 고민해야 할 문제도 달라집니다. 지금까지 광고 자리는 매출을 얼마나 낼지의 문제로 다뤄졌습니다. 하지만 이 보고서가 보여 준 대로라면 광고 자리는 경매에서 이긴 누군가의 코드를 내 사용자의 기기에서 실행하게 하는 통로이기도 합니다.

경매에 입찰자를 불러들이는 것은 우리 쪽 코드입니다. Citizen Lab에 따르면 사이트나 앱이 광고를 띄우려고 넣는 판매 측 플랫폼(SSP) 코드는 기기 식별자, 정밀 위치, IP 주소 같은 정보를 거래소에 넘기고 입찰을 받습니다. 경매는 이런 값을 바탕으로 한 사람을 골라 광고를 보여 주도록 짜여 있습니다. 결국 어떤 광고가 들어올지는 우리가 고를 수 없지만, 우리 화면이 경매에 무엇을 내보낼지는 우리가 정합니다.

다만 보고서가 가장 강하게 권한 대책은 광고를 받는 쪽의 차단입니다. 조직을 지키는 쪽에는 지금으로서는 사용자와 네트워크를 표적 광고에 노출하면서 늘 안전할 방법이 없다며, 광고 차단을 보안 수칙으로 권했습니다. 광고 식별자를 막으면 Discover-Tech가 지금 쓰는 방식은 차단할 수 있지만, 공격할 수 있는 범위는 더 넓을 수 있다고도 덧붙였습니다.

그래서 광고를 싣는 서비스가 오늘 해야 할 일은 목록을 만드는 것입니다. 내 앱과 페이지에 들어간 광고 SDK와 태그가 경매에 어떤 값을 넘기는지 하나씩 적고, 광고 ID와 정밀 위치처럼 서비스에 꼭 필요하지 않은 값부터 걷어 내야 합니다. 광고 자리는 이제 수익을 설정하는 곳이 아니라 우리 사용자의 기기에 무엇을 들일지 정하는 곳이 됐습니다.

출처

1. Citizen Lab: Exposing AdFection: How Discover-Tech Turned Targeted Ads Into a Pipeline for Zero-Click Mercenary Spyware, Citizen Lab Report 195, 2026년 10월 15일. Bill Marczak, Wolfie Christl, John Scott-Railton, Astrid Perry, Siena Anstis, Ron Deibert 작성.