금지된 카스퍼스키, 사용자가 잠든 사이 미국 PC에서 자사를 UltraAV로 교체

2024년 9월 말, 미국의 카스퍼스키 백신 고객들은 자신의 소프트웨어가 Pango의 새 제품 UltraAV로 자동 교체된 것을 발견했으며, 일부는 이런 일이 일어날 줄 전혀 몰랐다고 말했다. 한 레딧 사용자는 '잠든 사이에 (내가 한 게 아니라 그냥 자동으로) 카스퍼스키가 시스템에서 완전히 사라지고 Ultra AV와 Ultra VPN이 새로 설치된 걸 보고 깨어났다'고 썼고, 다른 이들도 같은 일을 겪었다고 보고했다. 전직 카스퍼스키 리셀러는 자동 교체에 '짜증이 났다'고 말했다.

이번 교체는 2024년 6월 발표되어 7월 20일 발효된 미국 정부의 전례 없는 카스퍼스키 판매 금지 조치에 따른 것이었으며, 제한적인 보안 업데이트는 9월 29일까지 허용되었다. 카스퍼스키는 미국 고객을 Pango에 넘겼고, 9월 19일 '전환을 촉진하는' 소프트웨어 업데이트를 배포하여 사용자들이 '카스퍼스키의 시장 철수 시 보호 공백을 겪지 않도록' 했다고 확인했다. UltraAV의 웹사이트는 윈도우 고객들에게 '별도의 조치가 필요 없다'고 안내했다.

Pango는 모든 고객에게 9월 초에 통지했다고 밝혔지만, 사용자들에게 소프트웨어가 강제로 교체될 것이라고 명시적으로 알린 곳이 어디인지 테크크런치에 제시하지는 못했다. 고객 Avi Fleischer는 카스퍼스키가 'UltraAV를 받아들일지 말지 선택할 수 있는 권한을 나에게 줬어야 했다... 명시적 허가 없이 누군가의 컴퓨터에 소프트웨어를 절대 밀어넣어서는 안 된다'고 말했다. 전 NSA 사이버보안 국장 Rob Joyce는 사용자들이 자동으로 '이전'되었다고 쓰면서, 카스퍼스키가 '당신의 기계를 완전히 통제하고 있었다'고 덧붙였다. 금액에 관한 수치는 보고되지 않았다.

고객의 분노와 불신 — 리셀러들은 '짜증이 났고', 사용자들은 UltraAV를 걷어내고 있다 — 그리고 전 NSA 국장이 카스퍼스키의 기계 접근 권한에 내재한 위험의 증거로 이를 인용했다

깊은 시스템 접근 권한은 일방적인 신뢰다: 그것을 이용해 묻지도 않고 한 업체를 제거하고 다른 업체를 설치하는 것은 그 신뢰를 깨뜨린다.

일부 고객은 '전환'에 관한 이메일을 받았지만, 자신의 백신이 하룻밤 사이에 통째로 교체된다는 사실은 듣지 못했다.

강제 교체는 정부의 핵심 우려 — 즉 그 소프트웨어가 기계에 무엇이든 할 수 있다는 우려 — 를 공개적으로 입증했다.

9월 29일 마감 전의 급한 인계로 인해 옵트인 절차를 마련할 여지가 거의 없었고, 그래서 업체는 침묵을 택했다.

깊은 시스템 접근 권한을 가진 소프트웨어는 묻지도 않고 교체해서는 안 된다 — 조용히 이루어진 이전은 다음번 침해 사건처럼 읽힌다.

2024년 9월 23일 기준으로 카스퍼스키는 자사 포럼 게시글 외에는 논평하지 않았고, Pango는 고객들에게 통지했다는 입장을 유지했으며, 이의를 제기한 영향을 받은 사용자들은 스스로 UltraAV를 제거해야 했다. 카스퍼스키의 미국 업데이트는 9월 29일에 종료될 예정이었다.