표적 광고로 전달되는 제로클릭 스파이웨어: AdFection

Citizen Lab이 Al Jazeera 기기의 Candiru 스파이웨어 감염 을 표적 광고 전달 경로와 연결해 확인함. 클릭 없이 감염되는 이 공격을 AdFection 으로 명명하고, 해당 방식의 첫 공개 기술적 확인으로 규정함
이스라엘 광고 업체 Discover-Tech 의 Controlium은 광고 ID, 쿠키 ID, IP 주소로 표적을 선택하고 광고 렌더링 시 코드를 전달함. 개인 단위 표적화와 제삼자 코드 실행이라는 광고 생태계의 기능이 공격 경로로 결합됨
약 40억 건의 입찰 기록 분석에서 공격자 스크립트가 포함된 광고가 4개월간 약 20만 개 웹사이트와 Android/iOS 앱에 실제 표시된 사실을 확인함. 다만 광고 노출 자체가 스파이웨어 감염의 증거는 아님
Discover-Tech는 Google과 IAB Europe의 인증/승인 목록 에 올라 주요 광고망을 이용함. 조사 이후 Google, Beeswax, Vungle, Eskimi 등이 접근 종료나 차단 조치를 취함
Citizen Lab은 업계가 공격 경로를 안정적으로 막을 수 있음을 입증하기 전까지 광고와 추적 차단 이 가장 실행 가능한 방어라고 판단함. 광고 공급망 감사, 파트너 실사, 규제기관 조사와 언론사의 전문적인 보안 점검을 권고함
광고 경매가 감염 경로로 바뀌는 방식
실시간 입찰(RTB) 은 특정 사용자에게 광고를 보여줄 기회를 경매하는 구조로, 하루 수천억 번 발생함
웹사이트나 앱의 공급측 플랫폼(SSP)이 사용자와 광고 지면 정보를 보내면, 수요측 플랫폼(DSP)이 광고주를 대신해 입찰하고 거래소가 낙찰자를 선정함
기기의 입찰 요청부터 광고 전달까지 1초 미만에 진행되며, 광고에는 이미지와 동영상뿐 아니라 브라우저나 앱에서 실행되는 코드도 포함될 수 있음
입찰 요청 에는 기기 식별자와 특성, 정확한 위치, IP 주소, 사이트/앱 정보, 광고 지면 규격 등이 담길 수 있음
모바일 광고 ID(MAID), 쿠키 ID, IP 주소로 개인 한 명을 표적화할 수 있으며, 광고주와 중개자는 노출 집계나 추적을 위한 태그, 픽셀, SDK, 제삼자 코드를 실행할 수 있음
관련 명세는 OpenRTB 입찰 요청 과 Google 입찰 요청 가이드 에서 확인 가능함
광고 정보(ADINT) 업체는 같은 식별자의 위치와 IP 변화를 관찰해 이동 경로와 이동통신/Wi-Fi/VPN 전환을 추적할 수 있음
광고 경매 데이터와 제삼자 추적 데이터를 결합하기도 하며, 국방기관, 정보기관, 법집행기관에 이를 판매하는 업체들이 기존 조사에서 확인됨
AdFection은 이러한 수동적 수집을 넘어, 경매 데이터로 대상을 고르고 해당 기기에서 악성 코드를 실행함
AdFection의 전달 흐름 은 광고 낙찰, 웹사이트/앱으로 전달, 렌더링, Discover-Tech 서버에 JavaScript 요청 순서임
광고의 HTML/JavaScript가 추가 코드를 불러오고, 이어 브라우저 익스플로잇 등을 통해 스파이웨어를 설치할 수 있음
광고가 화면에 보이거나 백그라운드에서 렌더링될 수 있으며, 클릭은 필요하지 않음
대부분의 광고 수신자는 공격 대상으로 선택되지 않아 실행할 JavaScript를 받지 않음
Discover-Tech의 NOAS/getAd 서버 는 광고가 보낸 쿠키 ID나 모바일 광고 ID와 출발지 IP 주소의 조합으로 보이는 조건에 따라 코드를 반환함
비표적에는 0바이트 응답을 보내고, 대상에는 추가 코드를 전달하므로 광고망에 악성 코드나 최종 위치를 직접 제공하지 않을 수 있음
일반적으로 같은 식별자에 한 번만 코드를 반환하고 재지정 전까지 응답하지 않는 것으로 추정됨
비표적 광고에서도 브라우저 데이터가 수집되며, 페이지의 쿠키와 공개 IPv6 주소가 포함될 수 있음
Al Jazeera 감염 확인과 Candiru 귀속 근거
Al Jazeera는 2024~2025년 일련의 제로클릭 공격 을 받았으며 최소 45대의 기기가 표적이 됨
Citizen Lab은 네트워크 분석, 서버 특성 식별, 악성 프로그램 분석을 결합해 Discover-Tech 광고와 Candiru 스파이웨어의 연결을 높은 신뢰도로 판단함
감염 기기의 로그에는 Discover-Tech 도메인 접속, Candiru 검증 서버 접속, 명령제어(C&C) 서버 통신이 순서대로 나타남
검증 서버는 추가 프로파일링과 감염에 앞서 기기를 초기 점검함
Fingerprint V1 은 Candiru 검증 서버의 HTTP 응답 헤더 형식을 식별하며, Fingerprint C1 은 C&C 서버의 별도 응답 형식을 식별함
V1에는 keyadapter[.]com

, sharethere[.]net

이, C1에는 fearevolve[.]com

, insightenterprisells[.]com

, jobmarcher[.]com

, plasticbells[.]com

이 일치함
Censys에서 2022년 8월2026년 7월 자료를 검색해 V1과 일치하는 도메인 305개와 IP 주소 319개를 찾음
비용 때문에 월별 과거 스냅샷 하나씩만 검색했으며, 해당 응답 특성은 2026년 56월부터 점진적으로 사라지기 시작함
발견 도메인에는 Sekoia 와 Recorded Future 가 Candiru에 귀속한 인프라도 포함됨
감염 기기에서 추출한 Windows DLL 은 C1과 일치하는 C&C 주소를 하드코딩하고, 2021년 Candiru 공격 체인 과 여러 구현 특성을 공유함
COM 하이재킹으로 지속성을 확보하고, 48바이트 반복 XOR 키로 문자열을 난독화함
난독화 문자열의 더미 널 종료 문자 처리와 Google/Microsoft 연결 확인 주소의 순서도 일치함
이러한 특성의 조합을 근거로 기존 Candiru 공격 체인의 새 버전으로 높은 신뢰도로 판단함
Ad URL OpSec 은 광고 노출 정보를 암호화해 Discover-Tech에서 공격자에게 전달하는 장치로 보임
2024~2025년 Candiru 검증 서버 최소 6개 도메인의 ?q=

값이 myipinfo[.]io

의 공개 복호화 도구에 있던 V1 AES-256 키로 복호화됨
VirusTotal에 공개된 감염 링크 에서는 사우디아라비아 외교부에 등록된 IP가 나옴. 잠재적 표적이라는 정황이지 실제 감염 확인은 아님
암호화된 IP와 방문자 IP를 비교해 다른 기기에서 링크를 여는 보안 연구자의 접근을 막는 용도일 수 있음
대규모 프로파일링 경로 에서도 Candiru 연관 정황을 확인함
2025년 4월부터 sincereaccertain[.]com

, 이후 CloudFront 주소로 전달된 링크는 V2 방식으로 복호화되며 IP, 시각, User-Agent, 광고 ID를 포함함
두 주소는 같은 Infinite FIFO ID 778

을 통해 배포된 것으로 보이며, 수십만~수백만 사용자가 광고를 통해 접속했을 것으로 추정됨
2026년 새 Infinite FIFO 통계에서 코드 수신 대상으로 보이는 사용자 3,637,213명을 집계했으나, Candiru 이외 고객의 활동도 포함됐을 수 있음
이후 V3로 추정되는 사용자별 키 방식으로 전환돼 복호화하지 못했으며, Citizen Lab은 해당 서버의 JavaScript를 확보하지 못함. Confiant는 관련 코드를 확보함
Candiru는 현재 Integrity Labs라는 이름으로 활동 하며, Microsoft는 SOURGUM/Carmel Tsunami로 추적함
2021년 Citizen Lab과 Microsoft는 Windows 제로데이 CVE-2021-31979, CVE-2021-33771을 확인했고, Microsoft는 10개국에서 기자, 정치인, 활동가 등을 포함한 피해자 최소 100명을 확인함
Google TAG 는 Chrome 및 Office 익스플로잇을 같은 운영자와 연결했고, ESET 은 중동 워터링홀 공격을, Avast 는 WebRTC 관련 Chrome 제로데이 CVE-2022-2294 사용을 확인함
Catalangate 조사 에서는 카탈루냐 시민사회 감염과 정부 메시지를 사칭한 이메일을 확인했고, Meta 는 감염 링크 시험에 쓰인 계정 약 130개를 차단함
Recorded Future 는 여러 국가와 연결된 인프라를, Sekoia 는 적발 회피에 쓰이는 복잡한 관할권 구조를 조사함
제재와 소송에도 사업 재편이 이어짐
미국은 2021년 Candiru를 악의적 사이버 활동을 이유로 Entity List에 추가 함
2024년 표적이 된 유럽의회 의원 Daniel Freund는 형사 고소 를 했고, Sentinel Alliance도 2025년 카탈루냐 시민사회 공격과 관련해 소송을 제기 함
이스라엘 언론 은 Integrity Partners가 Entity List 우회를 목적으로 사업을 3,000만 달러에 인수했다고 보도함. 이름 변경은 확인됐지만 인수의 현재 상태는 불명확함
Controlium과 연결된 감시 업체
Controlium 은 감염이나 프로파일링 대상을 지정하고 광고와 악성 콘텐츠를 전달하는 제어판형 플랫폼으로 보임
Android/iOS 광고 ID, MyDSP/Beeswax 쿠키 ID, IP 주소를 지원함
MyDSP, Beeswax, Eskimi를 DSP로 선택하며, MyDSP에서는 Google 또는 Yandex 거래소를 고를 수 있음
광고에는 Discover-Tech 관련 브랜드뿐 아니라 Amazon, AliExpress도 사용됐으나, 해당 기업들이 광고를 구매했다는 증거는 없음
관리자 기능 은 고객별 UI/API 접근, 화이트라벨 로고, IP 제한, 입찰 가능한 식별자/IP 조합, 국가와 도메인/앱 허용 목록, 캠페인 한도를 지원하는 것으로 보임
“OpSec”은 과도하게 빈번하거나 광범위한 입찰을 막으려는 설정으로 보이며, 별도 “Ad URL OpSec”도 존재함
고객의 정확한 작업 절차는 불명확하고, 여러 모듈의 캠페인 설정과 감시 기능이 일부 중복됨
캠페인 및 감시 모듈 은 광고 소재 업로드, 태그 생성, 표적 식별자 업로드와 세그먼트 연결을 제공함
URL 유형은 “Ad URL”, “Test URL”, “Script”, “User Agent”, “Monitor”, “Pixel”, “De-anon”이며 대부분의 정확한 의미는 불명확함
최근 30분의 광고 노출, 입찰 요청의 방문 사이트/앱과 IP, 전달 이벤트, 도달 사용자 수와 지출을 조회할 수 있음
사용자 정보 조회와 업체 간 ID 동기화로 보이는 기능도 있으며, 문제 해결뿐 아니라 입찰 데이터에 포함된 사용자를 감시하는 데 이용할 수 있음
공개 프런트엔드와 인증 없는 API 가 분석의 주요 근거였음
Citizen Lab은 공개 코드를 내려받아 외부 통신을 제거하고 로컬에서 UI를 재구성했으며 접근 통제를 우회하지 않음
128일치 로그인 기록에서 고유 사용자 이름 120개를 확인함
Auth0의 서명된 JWT 대신 인증되지 않은 사용자 메타데이터를 공개된 비밀키로 암호화해 사용하는 구현 때문에 토큰 위조가 쉬울 것으로 보였으나, 실제 무단 접근은 시도하지 않음
“Mini Platform C”에서는 시험용 사용자 ID와 URL을 지정한 뒤 첫 요청에만 1×1 iframe 생성 코드가 반환되는 동작을 확인함
Discover-Tech와 플랫폼의 연결 은 공통 AWS 로드밸런서, Auth0 주소, 코드 문자열, 직원과 겹치는 로그인 이름으로 뒷받침됨
Controlium은 controlium[.]net

, powerium[.]net

, Volasim 하위 도메인 등에서 발견됨
관련 도메인에는 mtrtb[.]com

, mydsp[.]io

, platc-tester[.]com

, myweb3id[.]io

등이 있으며, NOAS 서버는 이들 도메인에서 /getAd

또는 /cplatform/getAd

경로를 사용함
Candiru 연관 계정 은 Integrity Labs 소유로 판단되는 이스라엘 IP와 사전영업 담당자로 보이는 사용자 정보로 식별함
두 계정은 아제르바이잔, 체코, 이스라엘, 이탈리아, 멕시코, 몬테네그로, 아랍에미리트, 미국에서 로그인함
로컬 IP만 사용하는 별도 계정 군집도 Candiru와 연결됐을 가능성이 있으나 확정하지 못함
Bindecy와 Intelos 연결 도 로그인 기록과 인프라 분석에서 드러남
Bindecy는 로그인 IP, “cupid-ca” 인증서, 고유 서버 응답, “Archer”와 “Cupid”라는 제품명 정보를 결합해 추적함
일부 운영자 위치는 벨기에, 독일, 노르웨이, 포르투갈, 스웨덴, 싱가포르, 스페인으로 식별됐고, 멕시코/콜롬비아 고객 정황도 있으나 운영자 위치는 확인하지 못함
Intelos와 연결된 것으로 판단되는 계정은 최소 15개이며, 인증서, DNS의 Intelos 문자열, 기존 보도에서 제품명으로 확인된 “AD/HOC” 로그인 화면이 근거임
인도/이스라엘, 이탈리아, 파키스탄에서 접속한 일부 계정은 소속 기업을 확인하지 못함
DARK CARTOGRAPHER 는 별도의 대규모 익명성 해제 활동으로 조사 중임
WebRTC IP Leak 으로 VPN/프록시 사용자의 IP를 드러내고, 이동통신사의 “zero-click login” 및 HTTP 헤더 보강 문제로 전화번호(MSISDN)를 알아내려 함
통신사가 평문 HTTP 요청에 X-MSISDN

같은 헤더를 추가하는 방식, 허용 목록 대조 오류, 제삼자 보강 서비스의 보안 문제가 악용됨
연구진은 문제를 5가지 유형으로 분류하고 30개 이상 국가의 여러 통신사에서 악용을 확인함
최소 2019년부터 여러 광고 기술 회사를 앞세운 것으로 보이며, 상업용 광고 업체와 미국 정부 계약업체 양쪽에 연결된 인프라를 조사 중임
통신사 대상 취약점 공개가 진행 중이며 완료 후 기술 분석과 공격 주체 식별 결과를 공개할 예정임
입찰 데이터가 보여주는 규모와 노출 범위
공개된 Apache Druid 인스턴스 2개 에서 약 40억 건의 입찰 기록을 분석함
MyDSP의 Google, Yandex, Vungle, Sunteng 이용 자료이며 Beeswax/Eskimi 자료는 포함하지 않음
쿠키 ID, 광고 ID, GPS 좌표는 없지만 IP 또는 /24

대역과 도시 단위 위치 정보가 있음
위치 정보의 출처는 불명확하며, 인스턴스들은 2026년 8월 폐쇄된 것으로 보임
2026년 3~6월 MyDSP 는 약 37억 7,029만 건에 입찰하고 약 4억 4,195만 건, 11.7%를 낙찰받은 것으로 보임
입찰의 76.7%는 모바일 앱, 23.3%는 웹브라우저 광고임
거래소별 비중은 Yandex 약 67.4%, Google Ad Manager 약 24.74%, Vungle 약 7.24%로 대부분을 차지함
비용 단위를 미국 달러의 100만분의 1로 가정하면 지출은 약 109,091달러임
일반적인 광고 수익 사업이라는 증거는 부족함
광고 대부분은 Discover-Tech와 관련된 것으로 판단한 Akedo, MyIPInfo, RemindMeWhere 또는 AliExpress 브랜드를 사용함
광고주 수익, DSP 이익, 마진과 전환 기록은 거의 모두 0이었으나, 해당 데이터가 입찰 기록에서 추적되지 않았을 가능성은 있음
AliExpress/Ugreen 광고는 일반적인 제품 이미지와 제휴 링크를 사용했지만, 두 기업과 Discover-Tech의 사업 관계를 입증할 증거는 없음
공격자 스크립트 광고의 입찰과 실제 노출
최소 약 7억 1,875만 건, 19%의 입찰 은 NOAS 스크립트가 포함된 것으로 보이는 광고를 대상으로 함
광고명에 포함된 infi

, NOAS

, ppv2

, pqv2

로 판별했으며 Infinite FIFO와 관련된 것으로 보임
대상 IP의 위치는 161개국에 걸치지만 VPN, 위성 통신, 서버 IP 때문에 실제 사용자 위치와 다를 수 있음
국가별 입찰 수는 예멘, 파키스탄, 몬테네그로, 브라질, 멕시코가 상위였고, 1인당 입찰 수는 몬테네그로와 예멘이 특히 높았음
공격자 스크립트 광고는 앱 75,373개와 웹사이트 120,768개에 실제 노출 됨
Android에서는 MX Player와 Lark Player 각각 100만 건 이상, Viber 70만 건 이상이었으며 Snap VPN, Truecaller, VivaCut도 큰 노출량을 보임
Yahoo Mail, Opera Mini, Duolingo, 날씨/종교/건강/게임 앱, 가족 위치 추적 앱, Badoo/Grindr 같은 데이팅 앱까지 포함됨
iOS는 Android보다 노출량이 적었으나 앱 종류는 비슷하게 넓음
웹에서는 mamul.am

, kurir.rs

가 각각 100만 건 이상이었고 Weather.com, Yahoo, AccuWeather, Tripadvisor, Yandex, BBC, CBC, Fox News, Haaretz, New York Times 등에서도 노출됨
정부와 핵심 기반 시설 네트워크에서도 광고 노출을 확인함
NATO, 유엔, 유럽의회, 유럽연합 집행위원회, EU 이사회 사무국이 포함됨
북유럽에서는 의회, 경찰, 통신/디지털 행정기관, 군, 전력망, 항공/철도, 은행, 연구기관과 지방정부에 걸친 군집이 발견됨
호주에서는 전력과 연구기관뿐 아니라 Australian Synchrotron, Australian Nuclear Science and Technology Organisation도 포함됨
아르메니아, 체코, 이스라엘, 이탈리아에서는 총리실, 중앙은행, 외교/국방/내무 부처, 의회, 선거기관, 사이버 보안기관 등의 노출을 확인함
전체적으로 24개 국가/지역의 정부 운영 네트워크 에서 확인했으며, 아르메니아, 인도네시아, 멕시코의 선거 감독 기관도 포함됨
산업과 언론 네트워크에도 노출이 광범위함
반도체 분야에서는 Intel의 노출이 가장 많았고 Nvidia, Sandisk, Texas Instruments, Broadcom, Micron, ARM, IMEC도 포함됨
Apple, Microsoft, Motorola, Raytheon, Elbit Systems, Westinghouse에서도 확인함
8개국 언론사 네트워크 에서 추가 노출을 확인했으며, 대형 언론사와 공영방송, 국제 미디어 서비스가 포함됨
Confiant의 별도 분석은 미국 국방부, 여러 유럽 정부기관, IAEA, 국제형사재판소 등의 노출 정황도 찾음
노출과 감염은 구분해야 함
최소한 Discover-Tech의 프로파일링이 발생했을 것으로 보지만, 어떤 노출이 Candiru나 다른 공격자의 코드 실행으로 이어졌는지는 추가 조사가 필요함
자료는 제한된 기간의 MyDSP에만 해당하므로 전체 활동을 보여주지 않음
어느 정부가 서비스를 이용했는지도 확인되지 않음
브라우저 추적, 동의 체계와 광고망의 역할
Banner Tester 는 광고 태그와 미리보기를 생성하면서 NOAS, 이벤트 기록, 노출/클릭 기록 URL을 함께 삽입함
공개 코드와 브라우저 시험, urlscan 기록에서 실제 광고 전달을 확인함
러시아 도서 사이트 에서는 MyDSP/Yandex, NBC News 에서는 MyDSP/Google, 스페인어 운세 사이트 에서는 Beeswax/Google을 통한 전달이 기록됨
이 분석 범위는 브라우저이며 모바일 앱에도 유사 코드가 존재함
ID 동기화 는 범용 기기 식별자가 없는 브라우저에서 광고 업체들이 서로의 쿠키 ID를 교환해 사용자를 연결하는 방식임
Discover-Tech는 Beeswax, Yandex, Xandr와 식별자를 동기화함
myweb3id[.]io

는 Yandex, tracookiepixel[.]xyz

는 Beeswax 연결에 사용되는 것으로 보이며, 각각 1만 건 이상의 urlscan 기록이 존재함
IMDb, New York Times, The Guardian 같은 사이트에서도 발생했고, Discover-Tech 광고가 표시되지 않아도 동기화가 일어남
정확한 활용 방식은 확인되지 않았지만 Controlium은 Beeswax ID 목록의 표적화 업로드를 지원함
동기화 요청만으로도 Discover-Tech는 사용자 식별자 외에 IP와 브라우저/운영체제 정보를 받음
JavaScript 추적 픽셀 은 Discover-Tech, Beeswax, Xandr, Yandex 식별자를 저장하고 조회하며 연결함
MyIPInfo, CookieSurfer, Discover-Tech 사이트에서 확인됐고, 광고를 클릭해 MyIPInfo에 방문하면 해당 픽셀이 로드됨
Xandr 식별자는 코드에서 ZUID

와 연결되며 Controlium의 “Detect ZUID” 옵션과 관련될 수 있으나 정확한 용도는 불명확함
GDPR 동의 체계도 실제 추적에 활용됨
픽셀은 IP 위치로 적용 지역을 판단하고 IAB Europe의 Transparency and Consent Framework(TCF) 로 Discover-Tech, Xandr, Beeswax에 대한 동의 신호를 처리함
TCF의 적법성 보장 여부에는 논쟁이 있지만, 등록은 유럽 광고 생태계 참여의 사실상 요건임
Discover-Tech의 등록으로 거의 6년간 수억 명의 유럽인이 “Agree”를 누르면 해당 업체의 데이터 처리를 허용한 것으로 해석될 수 있는 동의 요청을 받았을 가능성이 있음
인증과 등록이 정상 업체라는 외관을 뒷받침함
Google과 IAB Europe 등록 은 정상 업체라는 외관과 대규모 접근에 기여함
Discover-Tech는 2020~2026년 Google의 외부 광고 업체, 광고 기술 파트너, 광고 개인화 제공업체 목록에 있었음
IAB Europe GVL에는 업체 ID 778

로 2020년 7월 2일부터 2026년 10월 8일까지 등록됨
Google과 IAB Europe은 심사와 감시 절차를 설명하지만, Citizen Lab이 보기에 이 체계는 상당 부분 업체의 자기 확인에 의존함
2026년 10월 기준 광고 사기와 악성코드 방지를 목표로 하는 TAG 등록부 에도 올라 있었으며 “Verified by TAG” 배지를 표시함
광고 전달 업체별 역할은 스파이웨어 업체와 구분해야 함
Google과 Yandex는 거래소와 구매/판매 시스템을 운영하며 입찰 기록, 코드, URL 관측에서 Discover-Tech의 이용이 확인됨
Comcast/FreeWheel 소유 Beeswax는 맞춤형 입찰 알고리듬과 전체 RTB 이벤트 데이터 접근 을 지원하는 서비스형 입찰 시스템(bidder-as-a-service)을 제공함
Eskimi는 DSP/화이트라벨 DSP를 제공하며, 자사 설명상 60개 거래소의 사용자 15억 명을 표적화할 수 있음
Vungle/Liftoff는 모바일 SSP와 거래소를 운영하며, 자사 설명상 SDK가 15만 개 앱에서 10억 명에게 도달함
Sunteng/Shunfei는 구매/판매와 거래소 서비스를 제공하며 BiddingX, Bidex와 같은 기업집단으로 추정됨
Xandr/Microsoft Advertising은 ID 동기화와 SSP를 제공함. 구매용 Invest DSP는 2026년 초 종료됐지만 ID 동기화는 계속 관측됨
이 업체들이 인프라의 비광고 목적 악용을 반드시 알고 있었던 것은 아님
광고 데이터 오용과 통제 문제는 이전에도 확인됨
Discover-Tech의 기업망과 사업 계보
Discover-Tech Ltd는 2020년 3월 설립 됐으며 초기 이사이자 단독 주주는 Dekel Boni였음
두 달 이내 Eric Banoun이 이사회에 합류했고, 2025년 1월까지 재직함
Banoun은 Circles와 Senpai Technologies 공동창립자이며 Intelos의 주주/이사이기도 함
2026년 7월 기준 회사는 Boni, Yaniv Basil, Guy Lants가 소유하며, 이들은 광고 기술 업계 경력이 있음
Chaia Services Ltd 연결 은 스파이웨어 업계와의 추가 접점임
20202026년 3월 Discover-Tech 주주였으며, Haaretz 조사 는 이사 중 한 명을 Sara Hamou로 확인함
Hamou는 Intellexa 기업망을 관리했으며 Predatorgate 관련 징역 8년 판결에 항소 중임
Citizen Lab은 Chaia의 법인 등록 정보 자체에는 접근하지 못했지만, 공개 기업 기록상 Discover-Tech가 거의 6년간 스파이웨어 업계와 연결돼 있었다고 판단함
MyDSP와 RelevanTech가 사업의 두 계보 를 이룸
MyDSP는 Matomy가 2016년 출시했고, 2018년 Marketcom Technologies에 매각된 뒤 Glispa에 속하게 됨
2020년 610월 mydsp[.]io

와 mtrtb[.]com

통제권이 Discover-Tech로 넘어갔으며, Google 변경 기록 에서도 같은 업체 ID 3036

의 명칭 변경을 확인함
Boni와 Basil이 2015년 설립한 RelevanTech는 2017년 Glispa에 인수돼 Glispa Discover가 됐고, 두 사람은 이후 Discover-Tech를 설립함
정확한 인수/사업 회수 경위는 확인되지 않음
이동통신사와 기기 제조사 대상 사업 도 있었음
앱 추천, 초기 부팅 시 앱 배치, 통신사 인증 설치 등을 홍보했고 A1, Samsung, Tecno, Wiko를 고객으로 열거함
2021년 이용약관상 세르비아 A1의 공식 앱 운영에 참여했으나 기간과 현재 상태는 확인되지 않음
Affle MEA가 2021년 사업 자산을 인수 했으며, 이동통신사/제조사 대상 부문 매각으로 보이지만 정확한 범위는 불명확함
Affle이 악성 광고 운영을 통제한다는 근거는 없음
공통 웹사이트 게시 계정과 인프라 가 Discover-Tech, Intelos, Tekma, Akedo를 연결함
동일 Wix 사용자 ID를 수년간 공유했고, Intelos와 Discover-Tech 사이트는 적어도 2023년 9월~2026년 2월 같은 주체가 게시했을 가능성이 높음
Tekma와 Intelos는 제품 설명 문장을 공유했으며, Tekma의 과거 연락처에는 Chaia Services/Chaia Ltd가 등장함
Tekma는 주요 DSP에서 활용 가능한 기기 35억 대의 데이터를 보유한다고 홍보함
Adtimizer의 연결과 관여 여부는 별개임
노출/클릭 기록에 dtech.adtimizer[.]co

가 쓰였으며, 소유주 Oren Baranes의 이름과 Discover-Tech 이메일이 플랫폼 코드 및 로그인 기록에 나타남
어떤 형태로든 Discover-Tech에서 일하는 것으로 추정되지만, Adtimizer의 고의적인 스파이웨어 전달 참여를 입증할 결정적 증거는 없음
Adtimizer 답변 에 따르면 해당 하위 도메인은 별도 Discover-Tech 인프라에서만 쓰였으며, 자사는 이를 운영/관리/통제하거나 악성 활동을 인지하지 않았다고 부인함
Akedo, Volasim, MyIPInfo는 인물과 인프라가 겹침
Akedo, Volasim, MyIPInfo 는 인물, 앱, 광고, 추적 식별자와 인프라가 여러 겹으로 연결됨
Akedo 홍보 자료 는 Boni, Basil, Kfir Goldman을 경영진으로 기재하며, 관련 법인 주주에도 이들과 Banoun이 등장함
Volasim은 앱스토어에서 City Masters, RemindMeWhere, MyIPInfo, Akedo의 개발자로 등록돼 있음
MyIPInfo와 Discover-Tech 관련 앱은 Google Tag Manager ID를 공유하고, Akedo/City Masters와는 AdSense ID 공유도 관측됨
Volasim의 최종 실소유주는 확인하지 못했으며, 고의적인 공격 전달 참여를 입증할 결정적 증거도 없음
Volasim 답변 에 따르면 Discover-Tech는 외부 광고 제공업체 중 하나였을 뿐이며, 자사는 스파이웨어 활동을 의뢰, 승인, 참여하거나 고의로 지원하지 않았다고 부인함
Intelos와 Bindecy는 별도의 감시 사업을 운영함
Intelos는 광고 기반 위치 감시와 스파이웨어 전달 업체로 알려졌으며, 자사 플랫폼 과 Nexus AI 를 통해 행동 군집, 관계, 위치와 행동 변화를 분석한다고 홍보함
기존 보도에는 Shin Bet 대상 제안, 태국 판매, 이집트 고객 대상 Havoc 소개가 있으나 이집트 판매 여부는 확인되지 않음
Bindecy는 2017년 설립됐으며 Daniel Shapiro와 Eylon Ben Yaakov가 창립함. 국가 대상 감시 도구 판매와 Carabinieri 대상 제로클릭 스파이웨어 판매는 기존 보도에 근거함
2021년 Merlinx 지식재산 일부를 인수했고, 창립자들은 스페인 Epsilon과 연결되며 2025년부터 체코 Shor Labs를 완전 소유 자회사로 보유함
업체 대응과 광고 생태계의 구조적 한계
Google은 광고 거래소 접근을 종료 하고 생태계 전반의 입찰과 광고 게재를 차단함
알려진 공격자 통제 도메인에 접속할 때 경고하는 Safe Browsing 보호도 배포함
Google과 IAB Europe은 2026년 10월 초 등록 목록에서 Discover-Tech를 제거함
Beeswax, Vungle, Eskimi도 차단 조치 를 취함
Beeswax 는 관측 활동과 외부 전문가 검증을 근거로 Buyer Cloud에서 이미 퇴출했다고 밝힘
Vungle/Liftoff 는 검토 기간 동안 모든 접근을 중단했으며 추가 조치를 검토 중임
Eskimi 는 기기, IP, 위치에 따른 코드 분기와 좁은 IP 표적화가 자동 검사를 회피했다고 밝힘
Eskimi에 따르면 반복적인 태그/캠페인 차단으로 지출은 수백 달러에 머물렀고, 마지막 캠페인은 2026년 8월 6일 중단됐으며 이후 관련 계정과 도메인을 영구 차단함
13개 업체에 논평을 요청 했으며 Discover-Tech, Candiru, Bindecy, Intelos, Xandr, Sunteng, IAB Europe, Affle은 기한 내 답변하지 않음
공개된 기업 답변과 별도로 Google은 조사에 협력함
개별 악성 업체 제거만으로 해결하기 어려운 구조 가 있음
앱과 웹사이트의 수십 개 제삼자 추적 코드가 다시 다른 코드를 불러오며, 개인 단위 표적화는 통제되지 않는 데이터 공유에 의존함
RTB는 다수의 게시자, 광고주, 중개자를 자동 연결하므로 감독과 책임성이 부족하면 악용되기 쉬움
SafeFrame 과 공급망 투명성 표준 같은 조치는 불충분하거나 실질적으로 도입되지 않았다는 비판이 있음
기업 기록에서 감시 업계 인물과의 관계를 확인할 수 있었는데도 장기간 등록을 유지한 점은 실사와 유포 방지 준비의 부족을 드러냄
광고 사기의 경제적 유인 도 통제 문제와 연결됨
Reuters가 입수한 Meta 내부 문서 에서는 연매출의 5~10%가 사기 광고에서 나온다고 추산함
업계 자료는 전체 온라인 광고비의 약 5분의 1이 광고 사기와 관련된다고 추정함
소비자 단체와 규제기관은 이 디지털 인프라의 다층적 개혁을 오래 요구해 왔음
언론 감시와 국가안보 위험이 같은 기반에서 발생함
기자의 통신, 이동, 회의, 취재원 정보를 확보하면 보도 방해와 취재 위축뿐 아니라 신체적 위험으로 이어질 수 있음
특히 분쟁 지역 기자, 프리랜서, 현지 협력자와 취재원이 위험하며, Reporters Without Borders , Access Now , International Federation of Journalists , Committee to Protect Journalists 도 관련 위험을 다룸
같은 광고 경로는 국방 인력, 정치 지도자, 핵심 인프라 운영자에게도 도달하며 외국 적대 세력이나 사이버범죄자가 이용할 수 있음
방어와 규제 권고
Citizen Lab은 현재 표적 광고에 지속적으로 안전하게 노출될 방법은 없다 고 판단함
업계가 모든 AdFection 경로의 안정적인 차단을 입증하기 전에는 게이트웨이 수준의 표적 광고 차단이 가장 실행 가능한 방어라고 판단함
광고 식별자 차단은 Discover-Tech의 현재 수법을 직접 막을 수 있지만, 공격 표면이 더 넓을 수 있어 체계적인 대응이 필요함
NSA와 CISA도 각각 2018년 , 2020년 에 악성 광고 위험과 광고 차단 필요성을 경고함
광고 업계에는 여섯 가지 조치 를 권고함
공급망 전반의 AdFection/광고 사기 실시간 탐지와 차단 역량을 확대해야 함
악성 행위자와 악용을 방치하는 관할권에 관한 위협 정보를 공유해야 함
모든 광고/데이터 거래 파트너의 고객확인(KYC), 실사, 정기 재검증을 의무화해야 함
인증/승인 등록부에 독립적인 제삼자 감사가 필요함
책임 추궁 장치가 없거나 악용에 관대한 관할권의 업체는 기본적으로 거부해야 함
광고 전달 보안과 공급망 투명성을 높이는 공통 조치를 도입해야 함
규제기관에는 조사와 집행 강화 를 요구함
Discover-Tech와 Candiru의 수백만 기기 대상 데이터 수집이 권리와 개인정보/보안 법률을 위반했는지 즉시 조사해야 함
다른 광고 기반 첩보/스파이웨어 중개자도 조사하고, 배포 및 지원 업체와 개인에게 국내 집행과 제재 권한을 활용해야 함
RTB에서 개인정보를 제거하는 입법과 국제 공조, 의무 감독, 실질적인 위반 처벌을 검토할 필요가 있음
모든 파트너와 인증 등록부 업체에 제삼자 감사와 KYC를 요구하고 허위 진술과 불이행을 처벌해야 함
정부 기기와 인프라 에는 단말/게이트웨이 광고 차단 의무화를 권고함
MDM 등으로 모바일 광고 ID를 비활성화하고 정부 공간에서 사용하는 개인 기기에도 지침을 제공해야 함
추적을 끌 수 없는 브라우저의 위험을 평가하고 잠정 금지를 검토할 필요가 있음
관련 참고자료로 Ron Wyden의 국방부 CIO 서한 과 국방부 감찰관 공동 서한 이 있음
조직과 언론사 는 전문가 지원과 로그 점검을 병행해야 함
게이트웨이, 업무용 기기, 에지 기기에서 광고와 추적을 차단하고 광고 표적화를 거부해야 함
직원 개인 기기에도 실행 가능한 도구와 지침이 필요함
추적 방지, 광고 차단, Global Privacy Control(GPC)을 지원하는 브라우저를 사용하고 광고 트래픽의 악성 요청을 감시해야 함
언론사는 뉴스룸, 기자, 편집자, 직원에 대한 공격 가능성을 고려해 보안 태세와 로그를 체계적으로 점검해야 함
개인 보호 조치는 위험 감소 수단이지 완전한 방어 보장은 아님
고객과 피해자, 다른 공격망과 차단 수단을 후속 조사함
DARK CARTOGRAPHER의 통신사 취약점 악용과 공격 주체 식별은 공개 절차 완료 후 별도 보고서로 공개할 예정임
Discover-Tech, Candiru, Bindecy, Intelos의 고객/피해자와 기술적, 조직적, 규제적 대응의 효과를 추가 조사할 예정임
댓글과 토론