iOS·Android 취약점 악용 해킹, 크렘린 연계 의혹
원제: Hackers exploited iOS and Android flaws to infect phones
왜 중요한가
패치된 취약점의 재활용과 공급망 오염을 결합한 이번 공격은, 외교·정부 기관의 모바일 보안 위협이 현실화됐음을 보여준다.
2026년 11월 4일, 보안업체 Sekoia 연구진은 러시아 SVR 연계 가능성이 높은 해커 그룹이 패치된 iOS·Android 취약점을 이용해 외교 관계자 등을 표적으로 공격했다고 발표했다. 미국 독립 250주년 기념 사이트를 포함한 수백 개 사이트에 악성 JavaScript가 삽입됐으며, 브라우저 쿠키·Wi-Fi 비밀번호·기기 전체 데이터 탈취가 시도됐다.
보안업체 Sekoia 연구진은 4일(현지시간), APT29로 추적되는 러시아 연계 해킹 그룹이 이미 패치된 iOS 및 Android 취약점을 활용해 외교·고위 인사를 겨냥한 광범위한 감염 캠페인을 벌였다고 발표했다. 연구진은 해당 그룹이 러시아 대외정보국(SVR) 소속일 가능성을 '중간에서 높은 수준의 신뢰도'로 평가했다.
공격 방식은 세 가지였다. 합법적 웹사이트 트래픽에 JavaScript를 직접 주입하거나, america250[.]holiday처럼 가짜 프록시 도메인을 운영하거나, 우크라이나 웹 애널리틱스 서비스의 공급망을 침해하는 방식이었다. 이 애널리틱스 서비스는 수천 개 사이트에 코드를 제공하고 있어 피해 범위가 광범위하다.
공격 대상 사이트 중 하나인 america250.org는 초당파 의원·기업 임원·전 트럼프 행정부 인사가 참여하는 미국 독립 250주년 기념 단체 사이트다. 또 다른 표적은 영국 국방부·다우닝가 10번지와 인접한 고급 호텔 Raffles London at The OWO였다. 우크라이나 젤렌스키 대통령이 10월 14일 방문 시 이 호텔에 투숙했다는 오픈소스 정보도 확인됐다.
주입된 JavaScript는 1단계에서 방문자 브라우저와 기기를 프로파일링한 뒤, 플랫폼 유형에 맞춘 제로클릭 익스플로잇 체인 세 가지 중 하나를 전달했다. 최종 페이로드는 브라우저 쿠키 탈취를 기본으로 하되, 경우에 따라 Wi-Fi 비밀번호와 모바일 기기 전체 데이터 추출을 시도했다. 우크라이나 최대 가스 생산 기업 웹사이트도 공격 경로로 활용됐다.