왓츠앱, NSO가 또다시 페가수스로 표적 공격했다고 비난

법원 제출 문서는 이스라엘 스파이웨어 그룹이 미국 법원의 영구 금지 명령을 위반했다고 주장한다.

게시일 2026년 6월 9일

메타의 왓츠앱은 이스라엘의 페가수스 제작사 NSO 그룹이 감시 스파이웨어를 내려받도록 표적들을 다시 한번 유인하려 한다고 비난하며, 미국 법원에 NSO 그룹을 법정모욕으로 제재해 달라고 요청할 것이라고 밝혔다.

왓츠앱은 지난해 장기간 이어진 소송에서 1억6800만달러의 획기적인 합의를 이끌어냈다. 이 소송을 통해 베일에 싸인 해킹 용역업체의 비밀이 드러났으며, NSO 그룹은 왓츠앱이나 그 이용자를 표적으로 삼아 악성 코드를 전달하는 행위가 영구적으로 금지됐다.

FT는 2019년 당시 왓츠앱이 NSO 그룹이 단 한 번의 부재중 전화로 표적의 휴대전화에 스파이웨어를 전달한 뒤 통화 기록에서 이를 삭제하는 이른바 ‘익스플로잇’을 만들었다는 사실을 발견했다고 보도했다.

이후 왓츠앱의 조사 결과, 사우디아라비아와 르완다 같은 권위주의 정권뿐 아니라 인도 등 수십 곳을 포함한 NSO 고객들의 표적 다수가 범죄자나 테러리스트로 의심받는 사람들이 아니라 언론인, 반체제 인사, 정부 비판자였다는 시민연구소(Citizen Lab) 등 인권단체의 조사 결과가 확인됐다.

왓츠앱은 월요일 NSO 그룹의 고객들이 ‘원클릭(one-click)’으로 알려진 전달 시스템을 사용하고 있다는 사실을 발견했다고 밝혔다. 이 시스템은 표적이 링크를 클릭하도록 속이는 방식이다. 링크는 보통 문자메시지나 왓츠앱 메시지로 전송되며, 이후 백그라운드에서 페가수스를 내려받는다.

왓츠앱은 사용된 수법에 대해 구체적으로 설명하지 않았지만, 과거 디지털 권리 활동가들이 발견한 사례에는 은행이나 배송업체가 보낸 것처럼 보이는 무해한 메시지, 또는 사랑하는 사람이 병원에 실려 갔다고 주장하는 불안감을 조성하는 메시지가 포함됐다.

페가수스는 몰래 설치된 뒤 시그널과 왓츠앱 같은 메시지 앱을 포함해 휴대전화에 담긴 내용을 통째로 복제해 고객에게 전송함으로써 현대 스마트폰의 암호화 대부분을 무력화한다. 이 고객들은 이스라엘군 정예 신호정보 부대 출신 베테랑들이 개발한 기술을 구입하기 위해 수천만달러를 지불한다.

“NSO 그룹은 자신들이 지원하는 독재자들과 똑같이 행동하고 있습니다. 미국 법원을 우회해야 할 대상으로 여기면서 아무도 알아차리지 않기를 바라고 있죠”라고 대체로 규제가 이뤄지지 않는 스파이웨어 업계를 추적해 온 시민연구소의 선임 연구원 John Scott-Railton은 말했다. “NSO는 계속해서 나쁜 행동을 하고 적발됨으로써 우리에게 도움을 주고 있습니다. 용병 스파이웨어 산업을 통제해야 하는 이유를 보여주는 대표적 사례라는 지위를 스스로 얻었습니다.”

바이든 행정부 시절 NSO는 동아프리카 주재 미국 대사관 직원들의 휴대전화에서 자사의 스파이웨어가 발견된 이후, 미국 상무부에 의해 어떤 미국 기업과도 거래할 수 없는 블랙리스트에 올랐다.

디지털 권리 옹호단체 액세스 나우(Access Now)의 법률 자문 Natalia Krapiva는 “NSO의 행태, 즉 자사 기술로 미국 외교관을 표적으로 삼도록 허용한 점과 이번 소송에서 보인 태도를 보면 완전히 책임을 회피하고 있다는 사실이 드러납니다”라고 말했다. “그리고 이들이 표적으로 삼는 대상은 미국 기업들입니다.”

왓츠앱의 소송에는 애플, 페이스북, 아마존을 비롯한 여러 미국 기술 기업이 지지를 보냈으며, 이들은 NSO가 자사 플랫폼을 악용하지 못하도록 막아달라는 법정조언자(amici curiae·법정의 친구) 의견서를 제출했다.

블랙리스트 등재로 당시 이스라엘 민간 감시 산업의 총아였던 이 회사는 거의 몰락할 뻔했다. 당시 경영진이 지원하는 사모펀드 인수에서 기업가치는 10억 달러를 웃돌았다. 하지만 이 회사와 이스라엘의 여러 경쟁사들은 국방부의 승인을 받아 스파이웨어를 계속 판매해왔다. 이스라엘 국방부는 이 소프트웨어를 무기로 분류하고 있다.

NSO는 미국의 무역 및 수출 통제를 받는 외국 기업 목록인 이른바 ‘거래제한기업 목록(Entity List)’에서 제외해달라고 로비해왔지만, 지금까지는 뜻을 이루지 못했다.

왓츠앱은 “2019년부터 우리 사건은 NSO가 사람들의 기기를 표적으로 삼기 위한 스파이웨어 도구를 계속 개발하고 있음을 보여줬다”며 “미국 정부의 거래제한기업 목록에 오른 악의적인 기업이 미국 법원의 명령을 계속 무시하는 상황에서는 기존 제한 조치가 확고히 유지돼야 한다”고 밝혔다.

지난해 왓츠앱의 법정 승리는 신흥 스파이웨어 산업에 타격을 입혔다. 이 산업에서는 기업들이 일반적으로 개인정보 보호를 약속하는 암호화 메시징 앱을 비롯한 기술 플랫폼의 아주 작은 취약점을 공략하는 수단을 판매해 수익을 올릴 수 있다.

데이터를 활용해 위험을 평가하고, 시장 변동성에 대응하며, 전략 수립에 필요한 정보를 제공하기