창업자 두로프에 따르면 공격자는 공개 그룹 운영자에게 돈을 요구한 뒤, 이를 거절한 커뮤니티를 공격했습니다. 봇 계정으로 그룹에 들어와 새 게시물을 올리는 대신 기존 메시지를 수정해 AI로 변형한 불법 이미지를 끼워 넣었다고 합니다.
새 게시물은 대화방 맨 아래에 나타나기 때문에 이용자나 관리자가 쉽게 발견할 수 있습니다. 반면 한참 앞에 올라온 메시지가 수정되면 눈에 잘 띄지 않죠. 공격자는 이렇게 불법물을 숨긴 뒤 텔레그램에 신고하는 대신 애플에 직접 알렸습니다.
결과적으로 그룹 운영자는 자신도 모르는 사이 불법 콘텐츠를 방치한 관리자가 됐습니다. 텔레그램 역시 아동 성착취물을 제대로 단속하지 않은 플랫폼이 됐고요. 공격자는 불법 콘텐츠를 널리 퍼뜨리려 한 게 아니라, 가장 강한 제재 권한을 가진 애플에 ‘발견되도록’ 심어놓은 셈입니다.
애플은 이용자 제작 콘텐츠를 취급하는 앱에 유해물 필터링과 신고 기능, 신속한 삭제와 이용자 차단 수단을 요구합니다. 중대한 위반이 발견되면 앱을 별도 통보 없이 내릴 수도 있습니다.
그럴 수밖에 없는 이유도 있습니다. 아동 성착취물을 놓치면 피해가 확산되고 플랫폼도 법적·사회적 책임을 져야 합니다. 반면 억울한 커뮤니티나 앱을 먼저 차단하는 문제는 나중에 복구할 수 있죠. 판단할 시간이 부족하다면 우선 차단하는 편이 안전한 겁니다.
공격자는 바로 이 차이를 노립니다. 보안 시스템을 뚫는 대신, 신고를 받은 플랫폼이 가장 두려워하는 증거를 직접 만들어주는 것이죠.
두로프는 다른 소셜미디어도 비슷한 공격을 받을 수 있다고 경고합니다. 텔레그램에만 존재하는 기능을 이용한 수법이긴 하지만, 공격 원리까지 텔레그램에만 국한되는 것은 아닙니다.
누구나 공개 커뮤니티에 들어와 이미지와 파일을 올릴 수 있고, 봇이나 다중 계정의 진입이 쉬우며, 게시물 수정 내역을 관리자가 곧바로 확인하기 어렵다면 비슷한 공격이 가능합니다. 중대한 위반 콘텐츠 하나로 계정이나 커뮤니티 전체가 먼저 정지되고, 이를 신속히 다툴 창구까지 부족하다면 공격 효과는 더 커지고요.
실제로 디스코드도 외부 이용자들이 서버에 들어와 노골적인 콘텐츠를 대량 게시하는 ‘서버 습격’을 공식적인 위험으로 안내합니다. 위반 콘텐츠가 누적되면 해당 글을 올린 이용자뿐 아니라 서버 소유자가 제재받거나 서버 전체가 삭제될 수도 있습니다. 다만 디스코드 등 다른 플랫폼에서 두로프가 주장한 것과 동일한 갈취 수법이 확인된 것은 아닙니다.
두로프의 설명 역시 아직 일방적인 주장입니다. 애플은 불법 콘텐츠 발견과 앱 삭제는 확인했지만, 금품 요구나 봇 동원, 기존 메시지 수정까지 확인해주지는 않았습니다. 텔레그램이 오랫동안 불법 콘텐츠 관리 문제로 비판받아 왔다는 점도 감안해야 하죠.
그럼에도 이번 사건은 꼭 해킹이 아니어도 스토어에 올라간 앱이 공격당할 수 있다는 것을 알려줍니다. 메신저 플랫폼을 공격하려는 사람에게는 불법 콘텐츠가 운영자와 플랫폼을 겨누는 ‘협박용’이 될 수도 있다는 겁니다.
