스토커웨어 ‘pc태틀테일’, 문자·사진·위치정보 수집
창립자 유죄 인정...유사 감시 앱 수사 본격화 전망

[보안뉴스 여이레 기자] 휴대전화와 컴퓨터를 불법 감시하는 모바일 앱을 운영한 혐의로 연방 검찰에 기소된 미국 스파이웨어 업체 pc태틀테일(pcTattletale) 창업자 브라이언 플레밍이 유죄를 인정했다.


[자료: gettyimagesbank]

미국 샌디에이고 연방지검은 플레밍이 △컴퓨터 해킹 △불법 목적 감시 소프트웨어 판매 및 광고 △공모 등 혐의로 법정에 출석해 유죄를 인정했다고 6일(현지시간) 밝혔다.

이 사건은 미국 이민세관집행국(ICE) 산하 국토안보조사국(HSI)이 수년간 진행한 감시 소프트웨어 산업 수사의 결과물이다. HSI는 2021년 중반부터 이른바 ‘스토커웨어’(stalkerware)로 불리는 소비자용 감시 프로그램 시장 전반을 조사해 왔다. HSI는 pc태틀테일 등 여러 스토커웨어 사이트를 조사 중이다.

pc태틀테일은 플레밍이 2016년부터 운영해온 원격 감시 앱이다. 사용자가 상대방 휴대전화나 컴퓨터에 설치하면 문자·사진·위치 정보 등을 몰래 수집해 pc태틀테일 서버에 전송하고, 설치자가 이들 정보를 실시간으로 볼 수 있게 한다. 특히 배우자나 연인을 몰래 감시하는 목적으로 많이 사용돼 미국 등 여러 나라에서 불법으로 간주돼 왔다.

플레밍은 2024년 해커 공격으로 pc태틀테일 서버 데이터가 유출된 뒤 회사를 폐쇄했다. 해커는 pc태틀테일 웹사이트를 훼손하고 고객과 피해자 개인정보가 포함된 대량의 데이터를 빼냈다. 13만8000명 이용자 정보가 데이터 유출 알림 사이트 HIBP(Have I Been Pwned)에 공유됐다.

당시 플레밍은 외신 매체 테크크런치 인터뷰에서 “사업은 완전히 종료됐으며 서버 내용을 모두 삭제했다”고 밝힌 바 있다. 그러나 수사당국은 이미 그전부터 pc태틀테일 불법 운영 혐의를 수사 중이었다.

HSI는 2021년 6월부터 감시 소프트웨어를 판매하는 100여개 사이트를 조사하던 중, pc태틀테일이 ‘배우자나 연인을 몰래 감시할 수 있다’는 문구로 광고한 사실에 주목했다. 이 내용은 2022년 니크 존스 HSI 요원이 작성한 수색영장 청구서에 포함됐으며, 올해 12월 초 플레밍의 유죄 인정 심리를 앞두고 공개됐다.

또 HIS가 플레밍의 이메일 계정을 분석한 결과 그가 동의 없이 일반인을 감시하려는 고객들을 직접 지원한 사실을 확인했다. 수사관들은 그가 이메일을 통해 불법 감시 광고 배너 이미지까지 직접 전달하며 ‘배우자의 바람을 잡는 법’이라는 등의 문구로 제품을 홍보한 정황도 포착했다.


▲브라이언 플레밍 pc태틀테일 창립자 [자료: 유튜브 캡처]

플레밍은 미시간주 브루스타운십 자택에서 pc태틀테일을 운영했다. 이는 해외에 서버를 둬 수사망을 피해온 다른 스토커웨어 운영자들과 다른 점이었다.

또 신원을 숨기기는 커녕 유튜브에 직접 이름과 얼굴을 공개하고 pc태틀테일 창립자로 제품을 홍보한 것으로 드러났다.

수사관들은 플레밍 자택 감시를 통해 신원을 확인했으며 미 연방법원은 자택 압수수색을 허가했다. 압수 과정에서 다수 증거물이 확보됐으며 플레밍의 은행 계좌와 페이팔 거래 내역에선 2021년 기준 총 60만달러 이상의 거래가 이뤄진 것으로 나타났다.

플레밍의 유죄 인정은 2014년 휴대전화 감시 앱 ‘스텔스지니’(StealthGenie) 제작자가 기소된 이후 10여 년 만에 이뤄진 첫 연방 차원 스토커웨어 운영자 처벌 사례다. 이번 판결을 계기로 유사 소프트웨어를 제작·판매·광고하는 운영자들에 대한 추가 수사와 기소로 이어질 가능성이 크다.

아울러 스토커웨어 확산을 막기 위해 활동해온 개인정보보호 단체와 시민단체에 의미 있는 성과로 평가된다.

스토커웨어 대응 연합 공동 설립자인 에바 갤퍼린 전자프런티어재단(EFF) 사이버보안 책임자는 “이번 사건은 스토커웨어 업체들이 얼마나 대담하게 운영돼 왔는지 보여준다”고 했다.

갤퍼린은 “이런 회사들이 자발적 동의 없이 타인의 기기를 감시하는 도구를 팔면서도 거의 처벌받지 않았기 때문에 더 대담해졌다”며 “이번 사건을 계기로 스토커웨어 제작자들의 법적 위험 인식이 달라지길 바란다”고 밝혔다.

플레밍에 대한 최종 선고는 올해 하반기 내려질 예정이다.

[여이레 기자(gore@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>