시티즌 랩·알자지라, 광고 유포형 제로클릭 스파이웨어 'AdFection' 공개

시티즌 랩과 알자지라는 2026년 10월 17일 온라인 광고를 통해 유포된 제로클릭 스파이웨어 캠페인 'AdFection'에 대한 조사 결과를 공개했다. 광고 지면을 매개로 기기를 감염시키는 방식이 확인된 것은 이번이 처음이라고 시티즌 랩은 밝혔다. 보도는 테크레이더닷컴이 전했다.

이번 캠페인에 쓰인 인포스틸러는 파일과 문서, 쿠키, 북마크, 계정 자격 증명을 수집하고 키 입력과 화면 캡처를 기록했으며, 마이크와 카메라로 피해자를 촬영·녹음한 것으로 나타났다. 감염은 별도 클릭 없이 이뤄졌다.

시티즌 랩에 따르면 인포스틸러와 유포 수법은 용병 스파이웨어 업체 캔디루가 개발했다. 캔디루는 현재 인티그리티 랩스라는 이름을 쓰고 있다. 광고는 이스라엘 광고 기술 업체 디스커버테크가 운영하는 수요자 측 플랫폼 마이DSP를 통해 집행된 것으로 지목됐다. 연구진은 인포스틸러 개발 비용이 수백만 달러에 이르는 것으로 추정했다.

광고망 규모와 피해 범위

시티즌 랩은 광고 입찰 기록 약 40억 건을 분석했고, 2026년 2분기에만 디스커버테크 광고가 7만 개가 넘는 모바일 앱과 12만 개가 넘는 웹사이트에 노출된 것을 확인했다. 알자지라 기기는 2024년과 2025년 사이 최소 45대가 이 방식으로 감염됐다.

뉴욕에 본사를 둔 광고 보안 업체 컨피언트의 데이터를 인용한 더 레지스터 보도에 따르면 일부 디스커버테크 광고는 미국 국방부와 국제원자력기구(IAEA), 국제형사재판소(ICC)가 사용하는 네트워크에도 나타났다.

배경으로, 미국 상무부는 2021년 11월 초 캔디루를 외국 정부에 스파이웨어를 공급한 이유로 제재 명단에 올렸고, 2026년 7월 말 이 명단에서 해제했다. 더 레지스터에 따르면 디스커버테크는 2020년부터 구글과 IAB 유럽에 승인된 벤더로 등록돼 있었다.