토론토대 Citizen Lab은 표적 광고를 통해 iOS·Android 기기에 무클릭 스파이웨어를 설치한 공격을 확인했다고 밝혔다. 2024년과 2025년 국제 언론사 알자지라에서 기기 45대가 감염됐으며, 광고를 보거나 앱을 열기만 해도 공격이 이뤄질 수 있었다고 보고서는 설명한다.

목요일 발표된 보고서에 따르면, 이는 표적 광고를 통해 용병형 스파이웨어가 전달된 사실을 확인한 첫 사례일 가능성이 있다. 공격은 사용자의 조작 없이 작동하고, 특수한 포렌식 장비나 소프트웨어를 쓰지 않으면 감염 여부를 알아채기 어렵다. Citizen Lab은 언론사뿐 아니라 기자와 편집자 등 개별 직원도 표적이 될 수 있다고 경고했다.

Citizen Lab이 AdFection이라고 명명한 캠페인에서 광고를 제공한 곳은 이스라엘 기업 Discover-Tech다. 이 회사는 자신을 합법적인 광고 업체로 소개하지만, Citizen Lab은 Discover-Tech가 여러 용병형 스파이웨어 업체의 중개자 역할을 했다고 밝혔다. 광고주와 광고 수익을 얻으려는 웹사이트·앱 운영자를 연결하는 과정에서, 광고를 통해 스파이웨어 생태계와 광고 공급자를 이어줬다는 설명이다.

광고 중개 과정에서는 특정 인구집단의 기기에 광고를 노출하려는 광고주가 비용을 제시한다. 중개업체는 고유한 모바일 광고 ID, 위치, IP 주소 등의 정보를 이용해 수백만 명의 상세 프로필을 만들 수 있다. Citizen Lab은 Discover-Tech가 처리한 입찰 기록 40억 건 이상을 확보했으며, 해당 기록에 따르면 2026년 3월부터 6월까지 7만 개가 넘는 모바일 앱과 12만 개가 넘는 웹사이트에 Discover-Tech 광고가 노출됐다.

Discover-Tech를 ‘인증’ 또는 ‘검증’ 업체로 등록했던 곳에는 구글과 광고업계 단체 IAB Europe이 포함됐다. 이스라엘 기업은 유럽연합 이용자를 대상으로 광고를 표적화할 때 유럽 일반개인정보보호법(GDPR) 동의 체계도 이용했다. 광고는 구글, Yandex, Beeswax 같은 주요 네트워크를 통해 게재됐다.

보고서 발표 뒤 구글과 IAB Europe은 Discover-Tech를 광고업체 목록에서 삭제했고, 구글은 광고 거래 플랫폼 이용도 차단했다. Beeswax는 광고 구매 플랫폼에서 해당 업체를 삭제했다. Vungle(Liftoff)은 검토를 진행하는 동안 접근을 중단했고, Eskimi는 Discover-Tech의 계정과 도메인을 차단했다.

보고서는 Discover-Tech 광고가 NATO와 유엔 네트워크, 유럽의 입법기관, 호주의 주요 기반시설 제공업체, 노르웨이와 스웨덴의 군·정부 기관 네트워크에서도 노출됐다고 밝혔다.

Citizen Lab에 따르면 AdFection을 통해 설치된 악성코드는 Candiru가 개발·배포했으며, 이 회사는 이후 ‘Integrity Labs’로 이름을 바꿨다. Discover-Tech와의 계약에 따라 Candiru 고객이 관심을 가진 특정 프로필의 이용자에게 JavaScript나 다른 코드가 포함된 광고를 보냈다. 광고가 기기에 표시되면 이용자 기기의 코드가 Candiru의 제어 서버에 연결됐고, 서버는 무클릭 공격 페이로드를 전달하는 익스플로잇을 보냈다.

연구진은 공격에 이용된 취약점이나 설치된 최종 악성코드의 세부 내용을 공개하지 않았다. 취약점은 제로데이였을 가능성이 있으며 Citizen Lab이 캠페인을 발견한 뒤 패치됐을 수 있다고 보고서는 덧붙였다. Discover-Tech와 Candiru는 논평 요청에 답하지 않았다.

Citizen Lab은 광고주와 정부 관계자에게 AdFection 같은 캠페인을 사전에 막기 위한 구체적인 조치를 요구했다. 이용자에게는 광고 차단기 사용, iOS·Android 설정에서 모바일 광고 ID 재설정, 가정·사무실 네트워크에 광고 차단 소프트웨어 설치를 권했다. 연구진은 개인 맞춤 광고를 완전히 끄는 방법을 권하지 않은 이유는 설명하지 않았다. 기기 업데이트를 제때 설치하는 것도 권고했다.