NSO 그룹과 WhatsApp 간의 스파이웨어 관련 소송 결과

U.S. Court rules against NSO Group in WhatsApp spyware Lawsuit

U.S. Court rules against NSO Group in WhatsApp spyware Lawsuit

 

• 미국 법원 판결
  • 미국 법원이 NSO 그룹이 Pegasus 스파이웨어를 이용하여 WhatsApp의 취약점을 악용한 것에 대해 책임이 있다고 판결
  • WhatsApp은 5년간의 법적 싸움 끝에 이 승소를 프라이버시 보호의 주요 승리로 평가
• 소송 배경
  • 2019년 10월 29일, WhatsApp이 NSO 그룹이 약 1,400대의 기기에 Pegasus를 감염시켰다고 주장하며 소송 제기
  • NSO 그룹이 "WhatsApp 설치 서버(WIS)"라는 변형된 버전을 사용해 악성 파일을 배포했다는 혐의
• 법적 근거
  • 컴퓨터 사기 및 남용 법(CFAA) 및 계약 위반 등의 위반으로 NSO 그룹에 대한 책임 부여
  • NSO 그룹이 Pegasus 소스 코드를 포함한 핵심 증거를 제출하지 않음으로써 제재를 받음
• Pegasus 스파이웨어와 악용된 취약점
  • 취약점 악용
    • CVE-2019-3568로 추적된 WhatsApp의 음성 통화 기능 제로데이 취약점(CVSS 점수 9.8)을 악용
    • 이 취약점을 통해 기기를 원격으로 감염시키는 방식으로 스파이웨어를 설치
  • 탐지된 추가 스파이웨어
    • NSO 그룹은 "Heaven," "Eden," "Erised"라는 추가 악성 도구를 사용
    • WhatsApp은 2019년 5월 이 취약점을 패치했으나, NSO는 새로운 벡터(Erised)를 개발해 추가 공격
• NSO 그룹의 주장과 반박
  • NSO 그룹의 주장
    • 고객들이 Pegasus 시스템을 단독으로 운영하며, NSO는 수집된 정보에 접근하지 않는다고 주장
    • NSO의 부사장 Gil Lanier는 고객이 표적 번호만 제공하면 Pegasus 시스템을 운영한다고 진술
  • 법원의 판단
    • NSO가 고객의 스파이웨어 사용에 대한 최소한의 통제권을 행사했음을 법원에서 확인
    • 고객의 독립적 운영 주장에 반대되는 증거가 제시됨
• 글로벌 영향과 대응
  • 스파이웨어의 전 세계적 사용
    • Pegasus 스파이웨어는 인권 단체, 언론인, 변호사, 활동가 등을 대상으로 사용됨
    • 이스라엘 NSO 그룹의 Chrysaor(Android용 스파이웨어)와 Pegasus(iOS용) 등이 분석됨
  • 메타와 NSO 간의 추가 소송
    • 2024년 3월, 메타는 NSO 그룹에 Pegasus 소스 코드 공개를 법적으로 요구
    • NSO는 공격 발생 1년 전부터 1년 후까지의 모든 스파이웨어 기능을 상세히 제출할 것을 요청받음
• 시사점 및 보안 권고
  • 시사점
    • 스파이웨어 사용과 관련된 법적 책임의 선례를 확립
    • 민간 및 공공 부문의 사이버보안 강화 필요성 대두
  • 보안 권고
    • 기업 및 개인은 보안 취약점에 대한 정기적인 패치를 실행
    • 스파이웨어 탐지 및 차단을 위한 고급 보안 솔루션 도입
    • 정부 및 기술 기업 간 협력을 통해 스파이웨어의 불법 사용 방지 정책 강화