영국 런던 고등법원이 사우디아라비아 정부를 상대로 제기된 해킹 피해 소송에서 인권 활동가 가넴 알-마사리르(Ghanem Al-Masarir)의 손을 들어주었습니다. 이번 판결은 국가 기관이 민간 기업의 스파이웨어를 사용하여 타국에 거주하는 개인을 감시한 행위에 대해 사법적 책임을 물었다는 점에서 기술 및 보안 업계에 중요한 이정표를 제시하고 있습니다. 런던 고등법원의 푸슈핀더 사이니(Pushpinder Saini) 판사는 '원고의 아이폰이 Pegasus 스파이웨어에 의해 해킹되었으며, 이로 인해 모바일 기기 내 데이터가 유출되었다고 결론지을 강력한 근거가 있다'고 판결했습니다. Pegasus 스파이웨어의 위협 모델 이스라엘의 NSO 그룹(NSO Group)이 개발한 Pegasus는 이른바 '정부급(Government-grade)' 스파이웨어로 분류됩니다. 이는 제로 클릭(Zero-click) 취약점을 활용하여 사용자의 상호작용 없이도 타겟 기기를 감염시킬 수 있는 고도의 기술력을 보유하고 있습니다. 감염 후에는 기기의 마이크, 카메라, 메시징 앱(WhatsApp, Signal 등), 그리고 위치 데이터에 대한 실시간 접근 권한을 획득하며, 수집된 데이터는 공격자의 C2(Command and Control) 서버로 HTTP/HTTPS 터널링을 통해 은밀하게 유출(Exfiltration)됩니다. 법적 논쟁: 국가 면제 특권의 한계 사우디아라비아 정부는 그동안 '국가 면제(State Immunity)'를 주장하며 소송 무효화를 시도해 왔습니다. 하지만 법원은 디지털 공간에서의 해킹과 그로 인해 발생한 심리적·신체적 피해가 해당 국가의 주권적 면제 범위를 벗어난다고 판단했습니다. 이는 사이버 공격이 현실 세계의 물리적 폭력과 결합될 때, 가해 국가는 더 이상 법망 뒤에 숨을 수 없음을 시사합니다. 시니어 아키텍트의 기술 분석 1. 엔드포인트 보안의 한계와 제로 트러스트(Zero Trust) 본 사건은 최신 iOS 기기조차 ...