세르비아 학생 시위 운동 참가자의 아이폰이 NSO 그룹의 페가수스(Pegasus) 스파이웨어에 감염된 사실이 Citizen Lab과 SHARE 재단의 공동 조사로 확인됐습니다. 공격에는 iMessage의 '제로클릭(zero-click)' 취약점이 사용됐는데, 이는 피해자가 아무것도 클릭하지 않아도 기기가 감염되는 매우 위험한 방식입니다. 2026년 초부터 세르비아에서만 최소 14명이 고급 스파이웨어의 표적이 됐으며, 학생·활동가·국회의원 등이 포함됩니다. 안드로이드 기기에서도 'NoviSpy'라는 스파이웨어의 신종 변종이 발견됐으며, 경찰 심문 중 압수된 기기에 몰래 설치된 것으로 밝혀졌습니다. 위험에 노출될 가능성이 높은 사용자는 iOS를 최신 버전으로 유지하고 '잠금 모드(Lockdown Mode)' 활성화를 검토해야 합니다.
Citizen Lab과 SHARE 재단이 세르비아 학생 운동 참가자의 아이폰에서 NSO 그룹의 Pegasus 스파이웨어 감염을 확인했다. iMessage 제로클릭 익스플로잇을 통한 감염이었으며, 2025년 12월~2026년 1월 사이 감염 흔적이 발견됐다.
2026년 초부터 세르비아에서 최소 14명(학생 운동가·활동가·야당 의원·지방의원)이 고급 스파이웨어의 표적이 됐다. 안드로이드 기기에서도 탐지 회피 기능이 강화된 NoviSpy 신종 변종이 발견됐다.
Apple iMessage의 제로클릭 취약점이 악용됐으며, 해당 취약점은 2025년 4월 iOS 18.4.1에서 패치됐다. 안드로이드 감염은 경찰이 기기를 압수한 사이 스파이웨어를 직접 설치하는 방식으로 이루어졌다.
Apple은 iOS 18.4.1에서 해당 취약점을 패치했으며, 110개국 이용자에게 용병 스파이웨어 공격 위협 알림을 발송했다. 위험 노출 가능성이 높은 사용자는 iOS 잠금 모드(Lockdown Mode) 활성화, Google 고급 보호 프로그램 가입, WhatsApp의 '엄격한 계정 설정' 기능 사용을 권장한다.
저명인사·기자·활동가 등 표적 공격 위험이 높은 사용자는 즉시 iOS를 최신 버전으로 업데이트하고 잠금 모드를 활성화해야 한다. 기기를 제3자에게 넘기는 상황(압수·수리 등)에서의 물리적 보안도 중요하다.
본문
Ravie Lakshmanan 2026년 9월 3일 | 스파이웨어 / 모바일 보안
세르비아 학생 시위 운동 참가자의 아이폰이 NSO 그룹의 Pegasus 스파이웨어에 감염된 사실이 Citizen Lab과 SHARE 재단의 공동 조사를 통해 확인됐다.
Citizen Lab은 "분석 결과, iMessage 제로클릭(피해자의 클릭 없이 감염되는) 익스플로잇이 해당 기기에 NSO 그룹의 Pegasus 스파이웨어를 심는 데 사용됐음을 확인했다"고 밝혔다. "2025년 12월~2026년 1월에 걸친 기간의 고신뢰도 감염 지표를 발견했으나, 추가 감염 가능성을 배제하지는 않는다"고 덧붙였다.
이번 공격에 사용된 제로클릭 익스플로잇은 Apple iMessage를 표적으로 삼았으며, Apple은 2025년 4월에 출시된 iOS 18.4.1을 통해 해당 취약점을 패치한 것으로 평가된다.
이번 발견은 Apple이 용병 스파이웨어 공격의 표적이 됐을 가능성이 있는 고객들에게 새로운 위협 알림을 발송한 직후에 이루어졌다. 해당 알림은 110개국의 불특정 다수 사용자에게 전송됐다.
SHARE 재단은 2026년 초부터 세르비아에서 최소 14명이 고급 스파이웨어의 표적이 됐음을 확인했다. 표적에는 학생 운동 참가자, 활동가, 국회의원, 야당 소속 지방의원이 포함됐다.
이 사건들의 시기는 2026년 3월 29일에 치러진 지방선거와 맞물렸다. 또 다른 학생 운동 참가자는 경찰 심문 중 기기가 압수되는 과정에서 NoviSpy Android 스파이웨어의 신종 버전에 감염됐다.
Amnesty International Security Lab의 책임자 Donncha Ó Cearbhaill은 "SHARE의 포렌식(디지털 증거 분석) 조사 결과는 세르비아 당국이 구금 중에 세르비아 학생들을 침습적인 Android 스파이웨어 도구로 계속 표적으로 삼고 있음을 입증한다"고 말했다.
"2026년 최신 사례는 또한 NoviSpy와 기능적으로 유사하지만, 보안 전문가의 탐지를 피하기 위한 노력이 새롭게 더해진 신종 Android 스파이웨어의 존재를 드러낸다"고 그는 덧붙였다.
SHARE는 동일한 스파이웨어 변종이 두 번째 기기에서도 탐지됐다고 밝혔다. 해당 기기의 비공개 Viber 메시지가 세르비아 친정부 뉴스·미디어 TV 채널인 Informer TV를 통해 생방송으로 공개된 이후였다.
이번 사건은 Cellebrite 포렌식 도구를 이용한 NoviSpy 설치를 포함해, 해당 국가에서 감시 기술이 남용된 것으로 문서화된 사례들 중 가장 최신의 것이다.
자신의 신분이나 하는 일로 인해 위험에 노출될 수 있는 사용자들은 기기를 최신 상태로 유지하고, iOS의 잠금 모드(Lockdown Mode) 활성화를 검토해야 한다. Google도 가시성이 높고 민감한 정보를 다루는 Android 사용자를 표적형 온라인 공격으로부터 보호하기 위한 고급 보호 프로그램(Advanced Protection Program)을 제공하고 있다.
올해 초, Meta 소유의 WhatsApp은 특정 설정을 가장 제한적인 옵션으로 자동 잠그고, 연락처에 없는 사람이 보내는 첨부 파일 및 미디어를 차단하는 방식으로 고급 사이버 공격으로부터 사용자를 보호하는 '엄격한 계정 설정(Strict Account Settings)' 기능을 발표했다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
