애플이 11월 23일(현지시간) 아이폰과 안드로이드 단말 사용자를 공격, 감시하는 스파이웨어인 페가수스(Pegasus)를 개발한 이스라엘 기업 NSO그룹을 제소했다고 발표했다.
공식 성명서에선 사용자에 대한 추가 악용과 해를 방지하기 위해 NSO그룹에게 애플 소프트웨어와 서비스, 기기 사용을 금지하는 영구적인 금지를 요구한다고 밝히고 있다.
페가수스 스파이웨어는 개인용이 아니며 전 세계 각국 정부나 다양한 단체에 팔리고 있다. 하지만 구입한 국가 대부분은 인권 침해로 알려져 있으며 지난 7월에도 전 세계 인권활동가, 변호사, 저널리스트를 표적으로 사요앴다는 보고가 있었다.
크레이그 페데리기 애플 소프트웨어 엔지니어링 담당 부사장은 자사 제품이 시장에서 가장 안전한 소비자용 하드웨어라고 강조하면서도 NSO그룹을 국가 주도 스파이웨어를 개발하는 민간 기업이라고 한 뒤 큰 위협이 되고 있다는 걸 인정하고 있다. 더구나 페데리기 부사장은 페가수스 같은 공격은 극히 소수 고객에게만 영향을 미친다며 대부분 고객은 안전하다는 점을 시사했다.
하지만 극소수라도 사용자에 대한 모든 공격을 심각하게 받아들이고 있다며 중시하는 자세를 보이고 iOS 보안과 프라이버시 보호 강화에 항상 노력하고 있다고 밝혔다.
애플이 설명했듯 페가수스는 애플과 안드로이드 기기 마이크와 카메라, 기타 기밀 데이터 액세스를 허용하는 공격 수단이다. 공격자는 가짜 애플ID를 이용해 피해자 장치에 악의적 데이터를 전송하고 사용자가 모르는 사이 페가수스 스파이웨어를 설치할 수 있다. 보안 연구 기관은 페가수스가 사용자 조작을 필요로 하지 않는 제로클릭 공격이었다고 보고했다.
이번 성명에서 애플은 자사 서버가 공격으로 해킹되거나 침해되지는 않았다고 강조했다. 또 사용자 메시지를 보호하는 블라스트도어(BlastDoor) 기능 등 iOS15에서 개선된 보안 기능을 언급했다.
NSO그룹은 페가수스를 게속 진화시키고 있지만 애플에 따르면 iOS15 이상을 실행하는 기기에 대한 원격 공격이 성공한 증거는 확인되지 않았다고 한다. 또 모든 사용자에게 아이폰을 업데이트하고 항상 최신 소프트웨어를 사용하도록 조언하고 있다. 지금까지 애플은 밝히지 않았지만 페가수스가 악용한 취약점이 종종 막혔다고 한다.
이 소송 외에도 애플은 사이버 보안을 위해 활동하는 단체에게 1,000만 달러 기부를 발표했다. 이전에 애플이 페가수스는 압도적 다수 사용자에게 위협이 아니라는 걸 의미한다고 밝혀 비판도 있었지만 드디어 방침이 전환됐을지도 모른다. 관련 내용은 이곳에서 확인할 수 있다.