셀레브라이트, 2025년 세르비아 공급 끊었지만… 도구는 2026년 선거까지 돌아갔다
셀레브라이트는 2025년 2월 세르비아에 대한 공급을 공개적으로 중단했다. 그런데도 세 개 포렌식 연구기관은 이 회사의 데이터 추출 장비가 2026년까지 현지에서 쓰였다고 지적한다. 앞서 러시아에서도 공급 중단 이후에 사용이 이어진 바 있다. 되풀이되는 사태는 '문제 고객 한 곳'의 이야기가 아니라 비즈니스 모델 자체를 겨냥한 고발로 읽힌다.
Vincent Jiang · 3 min read
정작 세르비아 국내정보기관인 정보보안국(BIA)이 이스라엘의 휴대전화 데이터 추출 업체 셀레브라이트−2.58% — 셀레브라이트, down 2.58 percent today 장비를 경찰 심문에 동원했다. 야권 인사들의 휴대전화 잠금을 풀고 스파이웨어를 심기 위해서였다. 셀레브라이트가 세르비아에 대한 공급을 공개적으로 중단한 뒤에도 이 같은 사용은 계속됐다. 시티즌랩과 국제앰네스티 시큐리티랩, 베오그라드의 SHARE재단은 알렉산다르 부치치 대통령이 14년 집권 끝에 선거 패배를 인정한 지 하루 만인 10월 26일 이 같은 사실을 담은 포렌식 조사 결과를 동시에 발표했다 12.
연구기관들이 밝혀낸 것
포렌식 결과는 여러 겹으로 짜인 공격 작전을 확인해 준다. 아이폰에는 이스라엘 NSO그룹이 만든 원격 감시 스파이웨어 '페가수스'가, 안드로이드폰에는 BIA가 자체 제작한 맞춤형 악성코드 '노비스파이(NoviSpy)'가 심어졌다. 여기에 셀레브라이트의 'UFED(Universal Forensic Extraction Device)'가 더해진다. 압수한 휴대전화의 잠금을 푸는 심문실용 장비로, 잠금 해제에서 곧바로 스파이웨어 설치로 이어지는 고리 구실을 한다. 국제앰네스티는 이 일련의 과정을 퀄컴+0.64% — 퀄컴, up 0.64 percent today 커널 취약점(CVE-2024-43047)을 통해 추적했다. CVSS 심각도 7.8점인 이 취약점은 2024년 10월에야 패치됐다 1.
2026년에만 최소 15명이 표적이 됐다. 3월 집무실이 압수수색된 베오그라드대 블라단 조키치 총장과, 쿠슈너와 연결된 베오그라드 트럼프타워 사업을 수사하다 부치치 대통령에게 국영TV에서 범죄자로 지목된 라데 바이치 검사가 여기에 포함된다 17. 국제앰네스티는 셀레브라이트가 2025년 2월 일부 세르비아 고객에 대한 제품 사용을 중단하겠다고 발표한 뒤 몇 주가 지나도록 이 회사 소프트웨어가 세르비아에서 여전히 가동되고 있는 것을 확인했다 23.
예외가 아닌 패턴
단서는 러시아 선례다. 시티즌랩은 2026년 6월 러시아 당국이 2021년 6월 활동가 안드레이 피보바로프의 아이폰에 셀레브라이트 UFED를 사용했다는 사실을 포렌식 기법으로 입증했다. 사용 시점은 셀레브라이트가 러시아와의 계약을 취소한 지 몇 달 만이었다. 러시아 내무부의 감식 보고서도 이를 확인해 준다. 셀레브라이트 측은 계약 해지 이후의 사용은 “전적으로 무단 사용”이라고 해명했다 4.
시티즌랩의 답은 설계상 결함을 정확히 겨냥한다. 오프라인 모드와 레거시 아키텍처 탓에 이 회사는 고객을 실제로 차단해 내기 어렵고, 계약 해지도 제3자의 폭로가 있고 나서야 나오는 뒤늦은 대응이라는 것이다 4. 세르비아도 같은 궤적을 그렸다. 2025년 2월 사용이 중단됐지만 몇 주 뒤에도 여전히 가동 중이었고, 2026년 공격 체인에서 또다시 기록으로 남았다 123.
매출 상승에도 최근 두 분기 연속 영업이익 감소
- 매출
- 영업이익
Data
| 매출 | 영업이익 | |
|---|---|---|
| 24년 3분기 | 106.86M | 19.45M |
| 24년 4분기 | 109.05M | 15.73M |
| 25년 1분기 | 107.55M | 12.27M |
| 25년 2분기 | 113.28M | 14.42M |
| 25년 3분기 | 126.03M | 18.99M |
| 25년 4분기 | 128.82M | 20.81M |
| 26년 1분기 | 128.3M | 9.12M |
| 26년 2분기 | 131.14M | 6.95M |
고객 기반의 가치
셀레브라이트의 고객과 주주에게 지금 시험대에 오르는 자산은 컴플라이언스 체계다. 매출 기반이 법집행기관과 정보기관 등 정부 고객 전부인 회사는 오용 사례가 반복해 기록으로 남을 때마다 수출 제한과 조달 재검토, 업체 배제를 자초하게 되고, 그런 조치가 나오는 곳은 정작 제품을 판매하는 바로 그 민주주의 국가들이기 때문이다. 규제 기관이 움직이기도 전에 실적 지표에는 이미 부담이 드러나고 있다.
SEC 공시에 따르면 셀레브라이트의 2026년 6월 30일 마감 분기 매출은 전년 동기 대비 15.8% 늘어 1억3110만 달러를 기록했다. 그러나 영업이익은 51.8%, 순이익은 67.3% 각각 감소했다6. 그런 가운데 회사 최대 시장의 구매는 멈추지 않고 있다. 미국 국토안보부는 2025년 9월 이민세관단속국(ICE)이 주로 사용하는 1100만 달러 규모 계약을 갱신했다3. 셀레브라이트는 또 8월 13일 2분기 실적 발표와 함께 연간 매출 전망을 하향 조정했다5.
반론
셀레브라이트의 반론은 그 자체로는 정합적이다. 회사는 세르비아와의 계약을 끊었고, 차단 이전에 판매한 장비는 회사의 지원이나 동의 없이도 작동한다고 설명하며, 윤리위원회가 모든 판매 건을 심사한다고 덧붙인다. 공개된 기록상으로는 모두 사실이다. 문제는 기록에 없는 부분이다. 회사가 오용 고객의 장비를 원격으로 정지시킨 공개 사례는 단 한 건도 없고, 윤리위원회가 어떤 기준으로 결정을 내리는지 밝힌 적도 없다. 시티즌랩은 이런 결정에 관해 상세히 공개된 자료가 존재하지 않는다고 지적했다4.
남은 관전 포인트
셀레브라이트는 11월 12일 3분기 실적을 발표한다5. 이번 사안이 밸류에이션 문제로 그칠지 라이선스 문제로 번질지를 가르는 변수는 두 가지다. 오용 기록이 쌓이는 와중에도 영업이익률 하락이 이어지는지, 그리고 어느 민주주의 국가의 수출 규제 당국이나 조달 기관이 먼저 움직이는지다. 입증 책임은 회사에 있다. 실제로 장비를 꺼지게 만드는 공급 중단 사례를 보여줘야 하기 때문이다.
Get Security by email, free
The breaches, flaws and security vendors AI is putting to the test. In our daily email, every weekday.
