수상한 링크를 누르지 않아도 온라인 광고가 표시되는 과정에서 특정 기기를 감염시킬 수 있다는 조사결과가 나왔습니다. 토론토대학교 Citizen Lab은 2026년 10월 15일 광고기술을 이용해 대상자를 정밀하게 찾아 ‘제로클릭’ 스파이웨어를 전달한 사례를 공개했습니다. 이용자가 광고를 클릭하지 않아도 된다는 점이 무섭지만, 모든 광고가 위험하거나 모든 독자분의 휴대전화가 이미 감염됐다는 뜻은 아닙니다.
어떤 방식으로 공격했나요?
온라인 광고는 짧은 순간에 여러 업체가 사용자의 위치, 기기와 광고식별자 등을 바탕으로 입찰하는 과정을 거칩니다. 조사에 따르면 Discover-Tech라는 업체의 시스템은 이 정보를 이용해 원하는 대상인지 판단하고, 특정 기기에만 악성 코드를 보낼 수 있었습니다. Citizen Lab은 Candiru 등의 상업용 스파이웨어 업체가 이 구조를 이용했으며, 2024~2025년 Al Jazeera의 Windows 컴퓨터 최소 45대가 공격받은 사례를 확인했다고 밝혔습니다.
일반 이용자에게 어느 정도 위험인가요?
이번 보고는 언론인, 정부기관, 활동가와 같이 국가급 감시의 표적이 될 가능성이 높은 사람에게 특히 중요합니다. 보통 이용자를 노리는 흔한 문자사기보다 비용과 기술수준이 높은 표적공격입니다. 다만 광고망에서 수많은 기기정보가 오간다는 사실과 광고회사가 악용될 수 있다는 점은 모든 이용자가 개인정보 설정과 업데이트를 소홀히 해서는 안 된다는 경고입니다. Google과 일부 광고업체는 조사 뒤 해당 업체의 접근을 중단했다고 보고됐습니다.
지금 할 수 있는 방어조치
- Windows, macOS, iPhone, Android와 브라우저의 자동업데이트를 켭니다.
- 휴대전화 설정에서 광고 맞춤설정을 끄고 광고식별자를 삭제하거나 재설정합니다.
- 신뢰할 수 있는 콘텐츠 차단 기능을 사용하되, 가짜 광고차단 프로그램은 설치하지 않습니다.
- 언론·공공업무 등 고위험 직업은 iPhone Lockdown Mode나 Google Advanced Protection을 검토합니다.
- 백신 경고, 낯선 관리자 권한, 갑작스러운 배터리·데이터 사용 증가가 있으면 기관 보안담당자나 신뢰할 수 있는 전문가에게 점검을 요청합니다.
공포성 광고와 가짜 치료프로그램도 조심하세요
“광고를 봤으니 이미 감염됐다”며 원격제어 앱 설치나 결제를 요구하는 팝업은 또 다른 사기일 수 있습니다. 화면에 나온 전화번호로 연락하지 말고 브라우저를 닫은 뒤 운영체제와 보안도구를 공식 경로에서 업데이트하세요. 심각한 표적공격은 공장초기화만으로 판단하기 어렵기 때문에 중요한 직업이나 사건과 관련된 의심이 있으면 증거를 보존하고 전문기관에 문의해야 합니다.
브라우저 보안은 Chrome 보안업데이트 확인법, 안드로이드 업데이트 종류는 보안·Google Play 업데이트 안내, 픽셀 패치는 10월 보안패치 확인법도 참고하세요.
확인한 출처
Citizen Lab의 2026년 10월 15일 기술보고서와 TechCrunch 보도를 확인했습니다.
컴친 한줄 정리: 광고 제로클릭 공격은 주로 고위험 표적을 겨냥하지만, 누구나 기기·브라우저 업데이트와 광고추적 제한을 지금 점검할 가치가 있습니다.
