Pegasus를 다룬 글 대부분은 Pegasus가 무엇인지 알려 줘요. 내 휴대폰에 있는지 알아내는 방법을 알려 주는 글은 아주 드물어요. 이 글은 두 번째 질문에 대한 글이고, 불편한 부분까지 함께 다뤄요.
먼저 솔직하게 짚고 넘어갈게요. Pegasus는 불특정 다수를 노리는 위협이 아니에요. NSO Group이 정부 고객에게 판매하고, 한 번 배치하는 데 비용이 많이 들며, 특정 인물을 겨냥해요. 대개 기자, 인권 운동가, 변호사, 야당 정치인, 외교관이에요. 휴대폰이 느려서 걱정되는 거라면, 압도적으로 가능성 높은 설명은 그냥 휴대폰이 느리다는 거예요.
하지만 표적이 되는 사람이 절대적인 숫자로 드문 건 아니에요. Apple은 2021년 이후 150개가 넘는 나라의 사용자에게 위협 알림을 보냈고, 2024년 4월 한 차례의 알림만으로도 92개국 사람들에게 알림이 갔어요. 하는 일 때문에 표적이 될 만한 분이라면, 이 질문에는 안심시키는 말이 아니라 제대로 된 답이 필요해요.
휴대폰을 살펴보는 것만으로는 Pegasus를 찾을 수 없는 이유
Pegasus는 제로 클릭이에요. 피하지 못한 수상한 링크도, 찾아낼 앱 아이콘도, 수락한 권한 창도 없어요. 아무런 상호 작용 없이 iMessage와 다른 메신저 플랫폼을 통해 설치된 적이 있어요. 일단 자리를 잡으면 메시지, 메일, 통화, 카메라, 마이크, 위치에 접근할 수 있어요.
또 일부러 조용하게 움직여요. 어떤 변종은 메모리에만 존재해서 재부팅하면 사라지고, 증거 대부분도 함께 사라져요. 다른 변종은 지나간 자리의 로그 파일을 지우는 모습이 관찰되기도 했어요.
그래서 배터리 소모를 지켜보라, 모르는 앱을 찾아보라, 팝업을 확인하라는 흔한 조언 목록은 여기서는 거의 쓸모가 없어요. 그런 증상은 일반 소비자용 스토커웨어에 해당하는데, 그건 예산도 다르고 종류도 다른 위협이에요. 국가 배후 스파이웨어 앞에서는 증상이 없다는 사실이 아무것도 말해 주지 않아요.
효과가 있는 답은 딱 한 종류예요. 휴대폰 바깥에서 휴대폰의 데이터를 포렌식으로 분석하는 거예요.
해 볼 만한 세 가지 점검, 순서대로
1. Apple이 이미 알려 주었는지 확인하기
Apple은 개별적으로 표적이 되었다고 판단되는 사람에게 알림을 보내요. 할 수 있는 점검 중 가장 가치가 높고, 2분이면 되며, 무료예요.
account.apple.com에 로그인해서 페이지 맨 위에 경고가 있는지 확인하세요. Apple은 Apple ID에 연결된 주소로 이메일과 iMessage도 함께 보내요.
두 가지를 기억해 두세요. 알림을 받았다면 표적이 되었다는 강력한 증거이지만, 알림이 없다고 해서 표적이 아니었다는 증거는 아니에요. Apple의 탐지가 완벽할 수는 없으니까요. 그리고 이 알림은 무섭고 널리 보도되기 때문에 사칭이 아주 많아요. 진짜 알림은 링크를 누르라거나, 소프트웨어를 설치하라거나, 첨부 파일을 열라거나, 비밀번호를 입력하라고 절대 요구하지 않아요.
2. 휴대폰 자체의 기록을 분석받기
흔적은 앱이 닿지 못하는 곳에 실제로 남아 있어요.
- 어떤 프로세스가 언제 네트워크를 썼는지 기록하는 데이터베이스
- 실패한 공격 시도에서 생긴 충돌 로그
- 기기 종료를 기록하는 시스템 파일로, 감염 전후의 이상 징후가 남아 있을 수 있어요
- 메시지 첨부 파일 메타데이터와 캐시 흔적
Amnesty International의 Security Lab은 바로 이런 자료로 Pegasus의 감염 경로를 재구성했고, 2021년 7월 Pegasus 프로젝트의 일환으로 방법론과 도구를 모두 공개했어요. 흔히 MVT라고 부르는 오픈소스 도구 Mobile Verification Toolkit은 iPhone 백업을 침해 지표, 즉 알려진 캠페인과 관련된 도메인, 프로세스 이름, 파일 흔적과 대조해요.
터미널이 익숙한 분이라면 MVT가 기준이 되는 구현이고, 무료예요. Python으로 설치하고, iPhone의 암호화된 백업을 만들고, 최신 지표 파일을 받은 다음 분석을 실행하면 돼요. 결과는 JSON 파일 묶음으로 나오고, 그걸 직접 해석해야 해요.
이 문장을 읽고 가슴이 철렁했다면, 그게 바로 진짜 장벽이에요. 방법은 공개되어 있고 탄탄해요. 대부분의 사람을 멈춰 세우는 건 걱정하는 기자와 완성된 포렌식 분석 사이의 현실적인 거리예요. Haris Shield는 그 거리를 좁히려고 만들어졌는데, 알아 두셔야 할 한계가 있어요. Haris Shield는 같은 공개 지표와 충돌 로그를 대조하고, 결과를 JSON이 아닌 보고서로 보여 줘요. 현재 버전은 암호화된 백업을 분석하지 않기 때문에, 그것만으로는 MVT를 완전히 실행했을 때보다 읽는 정보가 적어요. sysdiagnose를 가져오면 네트워크 사용 데이터베이스와 프로세스 실행 데이터베이스가 추가돼요. Pegasus의 표적이라고 믿을 구체적인 이유가 있다면, 암호화된 백업에 MVT를 실행하거나 Amnesty의 Security Lab 또는 Access Now의 Digital Security Helpline에 도움을 요청하세요.
3. 깨끗한 결과가 무엇을 뜻하는지 이해하기
깨끗한 분석 결과는 살펴본 데이터에서 알려진 지표가 발견되지 않았다는 뜻이에요. 휴대폰이 한 번도 침해된 적 없다는 뜻은 아니에요. 메모리에만 존재하는 변종이 있었는데 그 뒤로 휴대폰이 재시작되었다면, 찾을 게 남아 있지 않을 수 있어요. 나를 겨냥한 캠페인이 아직 어떤 연구자도 지표를 공개하지 않은 도구를 썼다면, 대조할 대상 자체가 없어요.
iPhone이 깨끗하다고 보증해 줄 수 있다고 말하는 사람은 과장하는 거예요. 포렌식은 증거를 찾을 뿐, 없다는 것을 증명하지는 못해요.
무언가가 발견되었다면
바로 재부팅하거나 초기화하지 마세요. 휴대폰을 지우고 싶은 마음이 먼저 들 거예요. 하지만 변호사, 언론사, 법원, 또는 캠페인을 추적하는 연구자가 그 발견 내용을 활용할 수 있기를 바란다면, 기기와 그 데이터는 증거이고, 초기화하면 사라져요.
휴대폰뿐 아니라 계정도 침해되었다고 가정하세요. 믿을 수 있는 다른 기기에서 Apple ID 비밀번호와 중요한 비밀번호를 바꾸세요. Apple ID에 로그인된 기기를 검토하고 모르는 기기를 제거하세요.
전문가의 도움을 받으세요. 위험에 처한 사람들을 위해 이런 일을 하는 기관이 여럿 있고, 무료인 경우가 많아요. Access Now는 시민 사회를 위한 Digital Security Helpline을 운영하고, Amnesty의 Security Lab은 인권 운동가와 관련된 사례를 조사해요. 하는 일 때문에 이런 상황에 놓였다면, 바로 이 기관들이 돕고자 하는 대상이에요.
사람에 대해서도 생각하세요. 기자라면, 연락해 온 취재원들도 노출되었을 수 있어요. 실제 목적이 그것인 경우가 많아요.
앞으로 위험 줄이기
- 차단 모드는 iOS에서 쓸 수 있는 가장 강력한 단일 조치예요. 대부분의 메시지 첨부 파일 유형, 일부 웹 기술, 일부 연결 기능을 꺼요. Apple은 차단 모드를 켠 기기에 대한 용병 스파이웨어 공격이 성공한 사례를 알지 못한다고 밝혔어요. 설정의 '개인정보 보호 및 보안'에 있어요. 휴대폰이 덜 편리해지는데, 그게 대가예요.
- 바로 업데이트하세요. 이런 공격 경로는 수정되지 않은 결함에 의존해요. 미루는 것 자체가 취약점이에요.
- 정기적으로 재부팅하세요. 메모리에 상주하는 변종은 재부팅하면 감염이 사라져요. 증거도 함께 사라지니, 현재 침해된 상태라고 의심된다면 재시작하기 전에 조언을 구하세요.
- 공격 표면을 줄이세요. 메신저 앱은 적게, 낯선 사람이 접근할 수 있는 계정도 적게 두세요.
- 영역을 나누세요. 정말 위험이 큰 일이라면, 민감한 연락처용 기기를 따로 두면 한 번의 침해로 잃는 것을 줄일 수 있어요.
자주 묻는 질문, 짧게
Pegasus를 탐지하는 앱이 있나요? iOS에는 없어요. 앱은 샌드박스 안에서 실행되어 시스템을 들여다볼 수 없어요. 그래서 믿을 만한 탐지 방법은 모두 컴퓨터에서 백업을 대상으로 작동해요.
초기화하면 사라지나요? 아마도요. 하지만 증거도 사라지고, 표적이 된 원인인 노출은 해결되지 않아요. 하나의 단계일 뿐, 해결책은 아니에요.
아무것도 누르지 않았는데 감염될 수 있나요? 네. 그게 이런 캠페인을 규정하는 특징이에요.
걱정해야 할까요? 기자, 활동가, 변호사, 정치인이고, 특히 정부가 싫어하는 주제를 다루고 있다면, 충분히 합리적인 질문이고 제대로 해결할 가치가 있어요. 그렇지 않고 이 검색을 하게 된 구체적인 계기도 없다면, 답은 거의 확실히 '아니요'이고, 일반 스토커웨어가 훨씬 가능성 높은 걱정거리예요. 그런 경우는 iPhone에서 스파이웨어 찾기 안내에서 다뤄요.
출처
- Amnesty International Security Lab, 포렌식 방법론 보고서: NSO Group의 Pegasus를 잡아내는 방법: amnesty.org
- Mobile Verification Toolkit: mvt.re, github.com/mvt-project/mvt
- Apple, Apple 위협 알림 및 용병 스파이웨어로부터 보호하기: support.apple.com/en-us/102174
- Access Now Digital Security Helpline: accessnow.org/help
함께 읽어 보세요: iPhone 스파이웨어 찾는 법, 스토커웨어의 징후와 해서는 안 되는 일, MVT 안내.