스토커웨어 작전 스파이하이드, 해킹당한 뒤 오오스파이로 리브랜딩했다가 몇 주 만에 다시 종료되다

스파이하이드는 전 세계 수만 명의 안드로이드 기기 소유자에 대한 감시를 가능하게 한 휴대전화 모니터링 앱이었다. 이와 같은 스토커웨어는 피해자의 휴대전화에 심어지며, 흔히 비밀번호를 아는 사람이 설치한 뒤 연락처, 메시지, 사진, 통화 기록, 녹음, 정밀한 위치 이력을 지속적으로 빼낸다.

2023년 한 해킹 사고로 이 작전과 그로부터 이익을 얻던 관리자들이 드러났고, 스파이하이드의 웹사이트는 인터넷에서 사라졌다. 그러나 전혀 다른 도메인에 호스팅된 백엔드 서버는 계속 온라인 상태로 남아 감시 중인 휴대전화와 통신을 이어갔다. 그 덕분에 관리자들은 감시 자체에는 지장을 주지 않고 2023년 7월 말 오오스파이로 재출범할 수 있었다.

두 번째 막은 몇 주간 지속됐다. 테크크런치는 모하마드(모즈타바) 아라스테를 포함한 관리자 두 명을 확인했는데, 그는 "몇 년 전 프로그래머로" 이 프로젝트에 참여한 적이 있다고 인정하면서도 오오스파이와의 연관성은 부인했다. 오오스파이의 결제 페이지에 있던 실수로 고객 대금을 받는 페이팔 주소의 계정 소유자 이름이 드러났고, 오오스파이는 곧 페이팔 결제를 받지 않기 시작했다. 2023년 10월 5일, 웹 호스트 헤츠너는 수천 대의 안드로이드 기기에서 빼낸 휴대전화 데이터를 저장하고 있던 백엔드 서버를 이용약관 위반을 이유로 오프라인으로 전환했고, 이로써 이 작전은 기능할 수 없게 됐다.

전 세계 최소 6만 명의 피해자, 그중 수천 명은 미국에 있었으며, 리브랜딩은 서버 호스트가 계약을 해지하기까지 몇 주간 버텼다.

리브랜딩은 이미 노출된 백엔드를 원래 도메인에서 계속 살려두었기에, 같은 인프라가 계속 표적이자 흔적이 됐다.

스토커웨어의 경제 구조는 주류 결제 경로에 의존했다. 페이팔은 스파이웨어를 금지하는 정책에도 불구하고 고객 대금을 처리했고, 그 의존이 두 번째 노출로 이어졌다.

연구자들이 관리자들의 신원을 밝히면서 노출은 더 커졌다. 페이팔 계정에 공유된 가족 성씨 하나에 이르기까지 모든 운영상의 세부 사항이 증거가 됐다.

웹 호스트는 어떤 리브랜딩으로도 대체할 수 없는 상대방이었다. 헤츠너는 이용약관을 집행해 서버를 껐다.

리브랜딩은 이름을 고칠 뿐 유출을 고치지 못한다. 같은 백엔드, 같은 결제 경로, 같은 운영상의 실수가 두 번째로 당신을 드러낼 것이다.

오오스파이의 웹사이트는 테크크런치가 아라스테와 연락한 직후 완전히 오프라인이 됐고, 서버 종료는 스파이하이드와 오오스파이가 운영할 수 있는 능력의 끝을 표시했다. 적어도 지금은 그렇다. 이들은 2023년 6월 데이터 유출 이후 종료된 폴란드 스토커웨어 렛미스파이, 그리고 테크크런치의 조사가 서포트 킹과 연결한 뒤 사라진, 알려진 안드로이드 스파이웨어 앱 중 가장 큰 것 중 하나인 스파이트랙의 뒤를 이었다. 서포트 킹은 이전 유출 이후 FTC가 감시 산업에서 퇴출한 제조사였다.