미국 스파이웨어 기업 Paragon의 민낯
원제: The Secrets of the US Spyware King
왜 중요한가
스파이웨어 업계의 '책임 있는 운영' 주장이 기술적으로 검증 불가능한 빈말일 수 있음을 당사자 CEO가 직접 확인했다는 점에서 업계 전반의 감시 규범 논의에 영향을 줄 수 있다.
Paragon Solutions CEO Andrew Boyd가 WIRED와의 단독 인터뷰에서 자사 스파이웨어 Graphite의 오남용 탐지 능력이 사실상 없다고 시인했다. 2024년 12월 AE Industrial Partners에 인수된 후, WhatsApp은 Paragon 제품이 20개국 60명 이상의 기자·활동가를 감염시켰다고 주장했다.
Paragon Solutions는 그간 '인권 침해 국가에는 판매하지 않는다', '오남용 고객은 즉시 차단한다'는 원칙을 내세워 스파이웨어 업계의 '윤리적 기업'을 자처해 왔다. 그러나 CEO Boyd가 WIRED에 밝힌 실상은 달랐다.
2025년 초 WhatsApp이 Graphite 스파이웨어가 이탈리아 기자·활동가를 포함해 20개국 60명 이상을 감염시켰다고 주장한 직후, Paragon은 이탈리아 국내외 정보기관 두 곳과의 계약을 해지했다. 외부에서는 자체 조사를 통해 오남용을 확인한 뒤 계약을 끊은 것으로 보였다. 하지만 Boyd는 "리스크 관점에서 관계 유지가 득이 되지 않아 이탈리아를 내보냈다"고 털어놨다. 조사는 없었고, WhatsApp이나 Citizen Lab에 세부 정보를 요청하지도 않았다.
더 심각한 문제는 기술적 한계다. Paragon은 고객이 누구를 표적으로 삼는지, 어떤 데이터를 탈취하는지 전혀 볼 수 없다. 오남용을 알 수 있는 방법은 고객이 자백하거나 제3자가 폭로하는 것뿐이다. '킬 스위치'도 존재하지 않는다. 계약을 끊는다는 것은 24시간 기술 지원과 업데이트를 중단하는 것에 불과하다. 다만 Boyd는 업데이트 없이는 약 12시간 안에 시스템이 무력화된다고 밝혔다. 이탈리아 당국은 해킹 자체는 인정하되, 형사 수사 목적이었으므로 합법이라는 결론을 내렸다.