메타, NSO 그룹에 법정 모독 소송 제기… 왓츠앱 겨냥한 신종 스파이웨어 공격 차단

2026년 6월 8일, 메타는 이스라엘 스파이웨어 회사 NSO 그룹이 1년 전 법원이 내린

영구 접근 금지 명령

해당 영구 금지 명령은 2025년 5월, 페가수스(Pegasus) 스파이웨어를 이용해 전 세계 1,400여 명의 왓츠앱 사용자를 해킹한 혐의로 NSO 그룹에 약 **1억 6,800만 달러(한화 약 2,200억 원)**의 손해 배상 평결이 내려지면서 함께 발효된 것이었습니다 .

이번에 적발된 위반 행위: 다시 시작된 고양이와 쥐의 게임

왓츠앱의 내부 조사 결과, NSO는 법원의 영구 금지 명령을 정면으로 위반하는 두 가지 명백한 행위를 저질렀습니다.

• 스피어 피싱 공격: NSO와 연계된 공격자들은 사용자들이 악성 링크를 클릭하도록 유도해 왓츠앱의 보호망 밖에 있는 외부 사이트로 이동시키는 수법을 사용했습니다. 이는 과거 NSO가 페가수스 스파이웨어를 배포할 때 악명 높았던 ‘1-클릭 피싱’ 방식과 거의 동일합니다 .
• 무단 테스트 계정 생성: 메타는 NSO가 왓츠앱 내에서 감시 제품을 시험하기 위해 테스트 계정과 그룹을 만드는 현장도 포착했습니다. 메타는 이 행위 자체가 영구 접근 금지 명령에 대한 직접적인 위반이라고 주장합니다 .

이러한 행위들은 NSO가 왓츠앱에 “다시는” 접근하거나 시도조차 해서는 안 된다는 법원의 명령을 노골적으로 무시한 것입니다 .

6년에 걸친 법정 공방의 서사

이번 모독 소송은 2019년, 왓츠앱이 NSO를 처음 고소하며 시작된 장기 법정 싸움의 최신 국면입니다. 당시 왓츠앱은 NSO가 자사 음성 통화 기능의 취약점을 악용해 언론인, 인권 운동가, 정치적 반체제 인사 등 약 1,400명의 기기에 페가수스 스파이웨어를 설치했다고 고발했습니다 .

주요 소송 경과는 다음과 같습니다:

• 2019년 10월: 왓츠앱, 캘리포니아 북부 연방 지방 법원에 NSO를 상대로 소송 제기. 미국 컴퓨터 사기 및 남용 방지법(CFAA) 및 캘리포니아 주 해킹 방지법 위반 혐의 적용 .
• 2024년 12월: 필리스 해밀턴 판사, NSO가 연방 및 주 해킹 방지법을 위반했다는 약식 판결(Summary Judgment)을 내려 NSO의 책임을 인정 .
• 2025년 5월: 연방 배심원단, NSO에 약 1억 6,800만 달러의 손해 배상 평결. (징벌적 손해 배상 1억 6,725만 달러 + 보상적 손해 배상 44만 4,719달러). 이와 함께 왓츠앱 타겟팅 영구 금지 명령(영구적 금지 명령, Permanent Injunction)이 내려짐 . 국제앰네스티는 이 판결을 “중대한 승리”로, 메타는 “악의적 산업에 대한 중대한 억지력”이라고 평가했습니다 .
• 2026년 6월: 메타, NSO가 영구 금지 명령을 위반한 정황을 포착하고 즉시 법정 모독 소송 제기 .

단순한 ‘추가 소송’이 아닌 이유

법정 모독 소송은 단순한 새 재판이 아닙니다. 이미 승소한 법원에

이미 내려진 명령을 강제로 집행해 달라

이는 메타가 더 이상 수년간의 소송전을 기다리며 피해 패턴을 쌓아가는 방식이 아니라, 위반 즉시 법적 조치를 취하는 '무관용(Zero-Tolerance)' 집행 전략으로 선회했음을 의미합니다. 이는 스파이웨어 상습 가해자에 대한 빅테크 플랫폼의 대응 방식을 근본적으로 재편할 수 있는 중대한 전환점입니다.

점입가경, 상업용 스파이웨어의 위협

NSO 그룹은 이미 미국 정부로부터 '미국의 국가 안보 및 외교 정책 이익에 반하는 활동'을 이유로 블랙리스트에 오른 기업입니다 . 2025년의 역사적인 판결과 이러한 제재에도 불구하고, NSO의 왓츠앱 공격 시도 재개는 법적 승리만으로는 상업용 스파이웨어 산업을 완전히 멈추게 할 수 없다는 냉엄한 현실을 보여줍니다.

메타의 강경 대응은 더 넓은 플랫폼 차원의 움직임과도 맞물려 있습니다. 2025년 초, 왓츠앱은 또 다른 이스라엘 스파이웨어 회사인 **파라곤 솔루션(Paragon Solutions)**과 연계된 제로 클릭(zero-click) 공격 캠페인을 차단하고, 약 90명의 언론인 및 시민 사회 관계자들에게 위험을 경고한 바 있습니다 . 이 공격은 사용자의 어떤 상호 작용도 필요 없이, 그룹 채팅에서 전송된 악성 PDF 파일만으로 기기를 감염시키는 매우 정교한 방식이었습니다.

이러한 일련의 사건들은 상업용 스파이웨어 산업이 단 하나의 기념비적 판결로는 억제되지 않는다는 증거입니다. 이번 법정 모독 소송은 메타가 단순히 손해 배상을 넘어, 법원이 이미 부과한 영구적 제재를 끝까지 집행하기 위해 가용한 모든 법적 수단을 동원하겠다는 가장 분명하고 강력한 의사 표명입니다 .