WhatsApp vs. NSO Group 소송에서 밝혀진 5가지 핵심 사실

1️⃣ “단 한 번의 전화”로 감염되는 제로 클릭 공격

WhatsApp 측 증언에 따르면, Pegasus는 타인의 전화번호만 있으면 ‘전화 한 통’으로도 스파이웨어를 설치할 수 있었습니다. 이 과정은 사용자 동작 없이 이루어지는 “제로 클릭” 방식으로, “WhatsApp 설치 서버(Installation Server)”가 허위 전화를 걸고, 감염 메시지를 보내 감염을 유도하는 구조였습니다.

NSO 그룹 R&D 부사장 타미르 가즈넬리는 이에 대해 “제로 클릭 기술은 Pegasus의 중요한 이정표”라고 증언했습니다.

---

2️⃣ NSO, 미국 전화번호 대상으로 FBI 시연 테스트 수행

NSO는 미국 (+1 국가번호) 사용자 대상 공격은 불가능하다고 주장해왔지만, 이번 소송에서 FBI 요청에 따라 테스트 목적으로 한 번 사용한 사실이 밝혀졌습니다. NSO 변호인단은 “미국 정부 기관 대상 데모를 위해 특별히 설정된 Pegasus 버전이었다”고 인정했습니다. 그 결과 FBI는 실제 사용은 하지 않았다고 전해졌습니다.

---

3️⃣ Pegasus는 어떤 해킹 방법을 사용할지 사용자에게 묻지 않는다

NSO CEO 야론 쇼핫의 증언에 따르면, Pegasus를 사용하는 정부 고객은 해킹 기법을 선택할 수 없고, 시스템이 자동으로 결정합니다. 즉, “어떤 해킹 기법이든 정보만 확보되면 된다”는 접근법입니다. 이는 사용자 인터페이스가 간단하고 자동화되어 있음을 시사합니다.

---

4️⃣ NSO 본사는 아이러니하게도 Apple과 같은 건물에 입주

NSO 그룹 본사는 이스라엘 텔아비브 외곽의 헤르츨리야에 있으며, 같은 건물에 Apple도 입주해 있습니다. NSO는 건물 상층부 5개 층을, Apple은 나머지 층을 사용합니다. Apple의 iPhone도 Pegasus의 주요 공격 대상이었던 점에서 이 사실은 매우 상징적입니다.

---

5️⃣ 소송 이후에도 Pegasus는 WhatsApp 사용자 공격 계속

WhatsApp이 NSO를 고소한 이후에도 NSO는 Pegasus를 통해 WhatsApp 사용자 공격을 멈추지 않았습니다. R&D 부사장 가즈넬리는 2019년 말부터 2020년 5월까지 "에리세드(Erised)"라는 코드명의 공격 벡터를 계속 사용했다고 증언했습니다. 이 외에도 “에덴(Eden)”, “헤븐(Heaven)”이라는 버전이 있었으며, 총칭은 ‘허밍버드(Hummingbird)’로 불렸습니다.

---

📌 결론: 사생활 보호 vs. 국익을 내세운 감시기술의 충돌

• 이번 판결은 민간 기업이 국가 지원 스파이웨어 개발사를 상대로 승소한 상징적 사건입니다.
• NSO의 Pegasus는 여전히 글로벌 감시 논란의 중심에 있으며, 이번 소송을 계기로 정부와 기업 간 사이버 윤리 경계선에 대한 논의가 더욱 격화될 것으로 보입니다.