이스라엘 스파이웨어, 언론인·기업인·활동가 전방위 해킹

워싱턴포스트(WP) 등 17개 언론사 공동 탐사보도
페가수스 관련 전화번호 목록 5만 개 달해
사우디 반체제 언론인 카슈끄지 약혼녀 휴대폰도 해킹

▲이스탄불 주재 사우디아라비아 총영사관에서 살해된 사우디 언론인 자말 카슈끄지의 약혼녀가 3일(현지시간) 이스탄불에서 취재진에게 말하고 있다. 이스탄불/AP연합뉴스

이스라엘의 민간 보안기업이 테러리스트와 범죄자를 추적하기 위해 개발한 스파이웨어가 민간인들을 해킹하는 데 사용된 것으로 드러났다.

18일(현지시간) CNBC방송에 따르면 이스라엘의 NSO그룹이 개발한 스파이웨어 프로그램 ‘페가수스’가 국가원수와 총리, 아랍 왕족, 언론인과 기업인, 정치인, 외교관, 인권 활동가의 스마트폰을 해킹하는 데 사용됐다.

테러리스트와 범죄자를 추적하기 위해 개발된 페가수스가 민간인들의 스마트폰을 해킹하는 데 사용됐다는 사실은 2019년 페이스북이 소유한 메시징앱 ‘왓츠앱’이 NSO를 상대로 소송을 제기하면서 알려졌다. 이후 프랑스 파리에 기반을 둔 비영리 저널리즘 단체인 ‘포비든 스토리즈‘와 국제인권단체 앰네스티인터내셔널이 페가수스와 관련된 전화번호 목록을 입수해 언론사에 공유했다.

워싱턴포스트(WP)와 영국 가디언, 프랑스 르몽드 등 17개 언론사가 이 자료를 바탕으로 수개월에 걸쳐 탐사보도를 진행했다.

스파이웨어는 ‘스파이’와 ‘소프트웨어’의 합성어로, 휴대전화 이용자가 ‘함정 링크’를 클릭하면 중요한 개인정보가 유출된다. 연락한 사람의 이름과 전화번호, 이메일, 메시지, 스카이프·위챗·왓츠앱·텔레그램에 있는 모든 게 해당된다.

목록에 있는 전화번호는 전 세계 50여 개국에서 5만 개 이상이다. 특히 2016년 이후 NSO의 고객으로 주로 자국민을 감시하는 독재 국가에서 해킹이 집중됐다. 아제르바이잔, 바레인, 헝가리, 인도, 카자흐스탄, 멕시코, 모로코, 르완다, 사우디아라비아, 아랍에미리트연합(UAE) 등 10개국에서 해킹이 많았다.

그중에는 2018년 터키 이스탄불의 사우디아라비아 총영사관에서 살해된 사우디의 반체제 언론인 자말 카슈끄지와 가까운 관계였던 여성 2명의 번호도 있었다. 카슈끄지의 약혼녀 휴대폰은 카슈끄지가 살해된 지 며칠 후 악성 소프트웨어에 감염된 것으로 나타났다.

사이버 연구 그룹인 시티즌랩의 빌 마크잭 연구원은 “해킹 규모가 사상 최대”라고 강조했다.

NSO그룹은 조사를 진행 중이라면서도 자신들의 스파이웨어가 본래의 개발 목적과 다르게 이용되고 있다는 것은 인정하지 않았다.