이스라엘 기업의 디지털 광고, ‘제로클릭’ 스파이웨어 설치에 이용

이번 일은 Citizen Lab이 지난번에 발견한 이스라엘의 제로클릭 스파이웨어 Pegasus보다도 더 황당함. 속편이라고 불러도 될 정도임.

Controlium 소스 코드에는 시작일과 종료일을 받는 /csv-download 엔드포인트가 있었고, 비밀번호나 인증 토큰 없이 일반 HTTP GET 요청만 보내도 누가 어느 IP 주소에서 로그인했는지 담긴 기록이 반환됐다고 함.
정말 멍청하기 짝이 없음.

Google이 Android의 개인정보 보호를 훼손한 것은 해킹 방지에 전혀 쓸모가 없었던 셈임. 그런데도 이런 사건을 빌미로 이른바 ‘자유로운’ 플랫폼을 더 폐쇄하려 할지도 모름.
언제든 기기 전체를 장악할 수 있다면 Signal 같은 개인정보 보호 메신저도 소용없음.

정확히는 ‘다른 이들에게 해킹당하는 것’을 막으려던 것임. Google이 지키려던 자산은 사용자의 모든 행동을 감시할 능력임. 이미 원하는 접근 권한과 데이터를 모두 갖고 있으니 직접 해킹할 필요도 없음. Apple처럼 언제든 사용자 기기를 먹통으로 만들 능력도 있음.

사이드로딩 제한을 뜻한다면, 그 목적은 제로데이 해킹이 아니라 사회공학적 공격과 사기를 막는 것이었음.
기기 전체를 언제든 장악할 수 있다는 근거는 무엇인가? Google Play services의 권한이 높기는 하지만 그 정도는 아님.

전혀 쓸모없지 않음. 스파이웨어 업체를 고용하는 비용은 직원에게 이메일을 보내게 하거나 판사에게 요청하는 비용보다 훨씬 큼. 판사 허가가 꼭 필요한지도 의문임.
나는 GrapheneOS를 설치한 Pixel을 쓰며 메시지의 비밀 유지에 상당한 자신이 있음. 대화 상대 대부분은 보안 수준이 그다음이라고 보는 iPhone을 사용함. 게다가 대다수와 마찬가지로 내 위협 모델에는 상업용 스파이웨어가 들어가지 않음.

Google이 수수료 30% 를 받는 Play Store 밖에서 앱을 설치하기 어렵게 만들려는 최근 조치가 이 문제까지 해결해 주겠지 싶음.

기업이 자국 정보·보안기관의 이익에 맞춰 움직이는 것은 흔한 일임. 이스라엘에는 광고 기술 기업이 많으니 이들이 정보·보안기관을 위해 동원되는 것도 자연스러움.
이스라엘이 전 세계 StarLink 단말기의 위치를 추적하는 것과 다르지 않음. https://www.newarab.com/news/israel-tech-firms-can-locate-an....
미국 정부가 중국 네트워크 장비 기업을 우려하는 이유도 같음. 중국 정부가 국가안보를 명분으로 기업을 압박해 백도어를 넣게 하기가 너무 쉬움. 미국도 자국 기업에 비슷한 압력을 넣으니 이를 잘 아는 것일 가능성이 큼.

미국의 CLOUD Act 같은 법은 서비스 제공자가 접근 가능한 자원을 무단으로 이용해 해외 사람들을 불법 감시하도록 강제함. EU와 중국에도 유사한 법이 있으며, Microsoft의 Windows 백도어를 생각해 보면 됨.
개인이 택할 수 있는 유일한 기술적 해법은 종단간 암호화를 검증할 수 없는 서비스와 기업 운영체제를 거부하는 것이라고 봄. 특히 Android도 포함됨.