원문 캡처 · techpolicy.press
원문 캡처 · techpolicy.press

유럽연합(EU) 기관 소속 인사와 유럽의회 의원들이 상업용 스파이웨어의 표적이 된 정황이 잇따랐지만, 유럽연합 집행위원회는 스파이웨어 오용을 직접 다루는 EU 차원의 법안을 아직 제안하지 않았다. 전 유럽의회 의원 스텔리오스 쿨로글루(Stelios Kouloglou)는 페가수스(Pegasus) 표적 공격과 관련해 NSO Group을 상대로 고소했고, 그리스 검찰은 예비 조사에 착수했다.

유럽의회 스파이웨어 조사위원회(PEGA)는 2022년 보고서 초안에서 유럽연합 집행위원회 안에서 ‘약 60건의 감염이 탐지됐다’고 밝혔다. 집행위원회는 PEGA 조사관 소피 인트 펠트(Sophie in ’t Veld)에게 보낸 서한에서 직원들이 2021년 11월 애플의 알림을 받았고, 여러 기기를 점검해 침해 지표를 발견했다고 인정했다. 다만 이 수치는 초안 보고서에 근거하며, 실제 표적 인원은 더 많을 수 있다.

쿨로글루는 페가수스와 동급 감시 스파이웨어의 사용을 조사하던 유럽의회 PEGA 위원회에서 활동하던 중 공격을 받았다. 시티즌랩(Citizen Lab)은 2026년 7월 그의 기기를 분석해 공격자가 기밀 문서와 위원회 논의 내용에 접근했을 가능성이 있다고 밝혔다. 관련 분석은 시티즌랩 보고서에 실렸다.

표적이 된 것으로 확인된 인사에는 유럽의회 의장 로베르타 메촐라(Roberta Metsola), 전 유럽 집행위원 디디에 레인더스(Didier Reynders), 전 집행위원회 부위원장 베라 유로바(Věra Jourová)의 보좌진 등이 포함된다. 유럽의회 의원 중에는 다이애나 리바(Diana Riba), 조르디 솔레(Jordi Solé), 나탈리 루아조(Nathalie Loiseau), 엘레나 욘체바(Elena Yoncheva), 다니엘 프로인트(Daniel Freund), 피에르 카를레스킨드(Pierre Karleskind), 루이 미셸(Louis Michel), 니코스 안드룰라키스(Nikos Androulakis) 등이 거론됐다. 클라라 폰사티(Clara Ponsatí)와 카를레스 푸지데몬(Carles Puigdemont)은 가족이나 직원이 표적이 된 사례로 제시됐다.

이 명단과 관련한 자료에는 PEGA 위원회 보고서 초안, 집행위원회 서한, 메촐라 표적 사례, 레인더스와 집행위원회 직원 사례, 유로바 보좌진 사례, 카탈란게이트 관련 시티즌랩 조사, 루아조의 감염 사례, 욘체바 등 의회 인사 사례, 프로인트 사례, 미셸 사례, 안드룰라키스 사례, 폰사티 사례가 있다.

EU 차원의 대응은 미뤄져

유럽의회는 스페인·그리스·헝가리·폴란드에서 스파이웨어 오용 논란이 불거진 뒤 2022년 PEGA 조사를 시작했다. 위원회는 EU 공통 법률 제정, 독립적 감독 강화, 피해자의 실효성 있는 구제 절차 보장, 수출 통제 집행 등을 권고했다. 하지만 집행위원회는 관련 입법안을 내놓지 않았다. 유럽의회는 후속 입법이 없다고 비판하는 결의안을 채택하고 PEGA 권고 이행 상황을 여러 차례 논의했다.

집행위원회는 일반개인정보보호법(GDPR), ePrivacy 지침, 사이버 복원력법, 유럽 미디어 자유법, 법 집행 지침 등 기존 법 체계로 스파이웨어 오용을 다룰 수 있다는 입장을 유지해 왔다. 상업용 스파이웨어의 특성을 직접 규율하고 EU 공통 기준을 정하는 새 법률은 추진하지 않았다. PEGA 조사위원회 설립은 유럽의회 자료, 권고안은 위원회 보고서, 후속 입법 부재를 비판한 결의안은 유럽의회 문서에서 확인할 수 있다. 집행위원회의 기존 법률 관련 입장은 의회 회의록에 담겼다.

유럽 디지털 권리(EDRi)의 정책 고문 알료샤 아야노비치(Aljosa Ajanovic)는 표적이 된 EU 인사의 수와 직급을 고려하면 이를 개별 사건의 집합이 아니라 기관 차원의 심각한 보안 문제로 다뤄야 한다고 말했다. 그는 집행위원회가 계획했던 관련 문서를 내지 않은 점, PEGA 권고를 이행하지 않은 점, 기존 법률로 충분하다는 쪽으로 입장을 바꾼 점을 들어 스파이웨어를 우선 정책 과제로 삼지 않으려는 정치적 결정이 있다고 주장했다. 집행위원회 대변인은 관련 감염 건수나 입법 방안에 답하지 않고, 직원 보호를 위한 모니터링·탐지·사고 대응 도구에 투자하고 있으며 EU 내 기관과 협력해 모바일 기기 침해를 대규모로 탐지하는 수단을 개발 중이라고 밝혔다.

제조사의 데이터 접근도 쟁점

피해자가 공격 사실을 입증하고 포렌식 자료를 확보하기 어렵고, 당국이 가진 정보에 접근하기 힘든 데다 조사와 구제 절차가 미흡하거나 정치적 영향을 받을 수 있다는 점이 피해 구제를 가로막는다. 이에 따라 국내 법원과 유럽인권재판소를 통한 소송이 책임 규명과 구제를 위한 주요 경로로 떠오르고 있다.

쿨로글루는 9월 페가수스 감시와 관련해 NSO Group을 고소했고, 아테네 검찰은 예비 조사를 지시했다. 변호인 자카리아스 케세스(Zacharias Kesses)는 고소장이 쿨로글루가 표적이 됐다는 사실에 그치지 않고 NSO Group 임원들을 특정해 관여와 책임을 조사해 달라고 요구한다고 설명했다. 관련 보도는 에카티메리니에 실렸다.

스파이웨어 제조사가 고객이 아니라 직접 정보를 다루는지에 대한 의문도 제기됐다. 2024년 11월 미국에서 진행된 NSO Group과 WhatsApp의 소송 자료에는 NSO가 표적 기기에 정보를 ‘설치하고 추출한다’는 내용이 공개됐다(가디언 보도). 폴란드 중앙반부패국이 사용한 페가수스 시스템에서도 감염을 담당하는 서버 모듈을 NSO Group이 독점적으로 통제했고, 수집 데이터가 해외 서버와 익명화 네트워크를 통해 폴란드 밖으로 전송됐다는 조사 결과가 나왔다(The Record 보도). 구글 위협 분석 그룹은 2024년 러시아 국가 지원 해커가 인텔렉사(Intellexa)와 NSO Group이 개발한 것과 ‘동일하거나 매우 유사한’ 취약점 공격 수단을 사용한 증거가 있다고 밝혔다(구글 분석).

그리스 정보기관의 고위 관계자도 9월 인텔렉사 관련 임원 4명을 상대로 형사 고소를 제기했다. 그는 직무상 민감한 기밀 정보를 관리하며, 정보가 제3자나 민간인에게 유출되면 국가 안보를 위협하고 간첩 행위에 해당한다고 주장했다(에카티메리니 보도).

카탈루냐 인권단체 이리디아(Irídia)의 셀리아 카르보넬(Cèlia Carbonell)은 제도적 대응이 실패하거나 정치적 의지가 없을 때 전략적 소송이 책임을 묻고 인권 침해 피해자의 구제를 얻는 데 중요하다고 말했다. 카르보넬이 참여하는 유럽 소송 연대체는 세 나라에서 아홉 건의 사건을 다루고 있으며, 관련 정보는 연대체 웹사이트에서 볼 수 있다. 쿨로글루의 사건은 그리스 당국의 책임 여부를 유럽인권재판소가 심리할 수도 있지만, 이는 사건이 심리 요건을 충족하는 경우에 한한다. 케세스는 사법 절차가 EU와 각국 정부의 대응 의무를 대신하지는 않는다고 강조했다.

관련 배경으로는 유럽연합 집행위원장의 2021년 발언, 페가수스 프로젝트, 스파이웨어 정책 문서 계획 관련 보도가 있다.