애드펙션(AdFection) — 광고가 뜨기만 해도 감염, 4억4천만 개 광고가 앱 7만5천 곳에 실렸다

광고를 누르지 않아도, 광고가 화면에 뜨는 것만으로 스마트폰이 감염될 수 있다는 것이 처음으로 공개 확인됐다. 캐나다 토론토대 시티즌랩(Citizen Lab)은 2026년 10월 15일 보고서에서 이스라엘 광고기술 회사 디스커버테크(Discover-Tech)가 표적 광고를 정부 고객용 '용병 스파이웨어'의 배달 통로로 썼다고 밝혔다. 연구진은 이 수법에 애드펙션(AdFection)이라는 이름을 붙였다.

연구를 이끈 빌 마르착 선임연구원은 파이낸셜타임스에 디스커버테크가 신뢰받는 사이트와 인기 앱을 "제로클릭 스파이웨어 배달 플랫폼"으로 바꿨다며 "빙산의 일각일 것"이라고 말했다. 구글은 시티즌랩·광고보안업체 콘피언트와의 공동 조사 결과를 근거로 이 회사를 광고 거래에서 퇴출했다.

1. 어떻게 작동하나 — 광고 경매를 무기로

웹페이지나 앱을 열면, 그 화면의 광고 자리를 놓고 0.1초 남짓 사이에 자동 경매가 열린다. 이를 실시간 입찰(RTB)이라 한다. 입찰에 참여하는 쪽은 광고 ID·IP 주소·기기 종류 같은 정보를 받는다. 원리는 「실시간 입찰(RTB)이란」에서 자세히 설명했다.

디스커버테크의 '컨트롤리움' 플랫폼은 고객이 광고 ID, 브라우저 쿠키 ID, IP 주소로 특정인을 지정할 수 있게 했다. 그 사람 기기의 광고 자리가 경매에 나오면 입찰해 따내고, 광고가 화면에 그려지는 순간 'NOAS'라는 서버가 표적에게만 악성 자바스크립트를 돌려준다. 광고 거래소는 평범한 광고만 보게 되므로 걸러낼 수가 없다. 사용자는 링크를 누를 필요도, 파일을 받을 필요도 없다.

2. 숫자로 본 규모와 피해

광고비 10만 달러로 4억 회 넘게 노출하면서 매출·전환이 0이라는 점이 핵심이다. 실제 광고주의 광고가 아니었다는 뜻이다. 광고는 정부·군·핵심기반시설·언론사 네트워크에도 닿았고, NATO와 유엔 네트워크가 포함됐다. 엔가젯은 BBC·뉴욕타임스 웹사이트와 듀오링고 같은 앱에도 실렸다고 전했다. 이들 매체·앱이 공격에 가담한 것이 아니라, 광고 거래소가 자동으로 광고를 배치한 결과다.

연구진은 광고 노출이 곧 감염은 아니라고 강조했다. 대부분의 노출은 누가 어디서 어떤 기기를 쓰는지 파악하는 프로파일링에 쓰였고, 감염은 고른 기기에만 시도됐다. 디스커버테크의 협력 업체로는 칸디루(현 인테그리티 랩스)·인텔로스·빈데시가 지목됐다. 회사 웹사이트의 인증 결함 때문에 로그인 기록이 128일간 노출됐는데, 거기에 칸디루 직원 정보가 있었다.

3. 무엇이 달라졌나 — 업계 대응과 개인이 할 일

개인이 할 수 있는 것은 마르착 연구원의 권고대로 기기의 광고 추적을 끄거나 광고를 차단하는 것이다. 표적 공격은 광고 ID로 사람을 특정하는데, 광고 ID를 지우면 그 연결 고리가 약해진다. 언론인·활동가·공무원처럼 표적이 될 만한 사람은 아이폰 잠금 모드 같은 고위험군 보호 기능을 켜는 것이 좋다.

스파이웨어는 최근 AI 에이전트 사건들과도 맞닿는다. 해커가 AI 도구를 쓰는 흐름은 「크라우드스트라이크 "금융권 해커, 클로드 코드·딥시크 썼다"」에서, 소프트웨어 공급망을 노린 공격은 「npm 공급망 공격이란」에서 다뤘다. 애드펙션은 공급망을 '광고'로 바꾼 셈이다.

4. 남은 것과 확인되지 않은 것

• 피해 규모: 공격이 확인된 것은 알자지라 45대다. 다른 기관 기기의 실제 감염은 확인되지 않았다.
• 한국 영향: 한국 사용자·기관이 표적이 됐는지는 보고서 발췌본에서 확인하지 못했다.
• 후속 보고서: 디스커버테크 인프라로 광고 ID와 전화번호를 연결한 별도 행위자('다크 카토그래퍼')에 대한 보고서가 예고됐다.
• 업체 입장: 디스커버테크·칸디루 등은 입장을 내지 않았다.