파라곤 '그래파이트' 스파이웨어 이탈리아 언론인·활동가 사찰 스캔들

2024년 9월 5일 조르자 멜로니 총리의 최측근 정보 담당자인 알프레도 만토바노 국무차관이 난민구조 단체 관계자 루카 카사리니와 주세페 '베페' 카차에 대한 스파이웨어 사용을 승인했다. 두 사람은 지중해에서 난민 구조선을 운영해온 활동가로, 멜로니 정부의 강경 이민 정책을 정면 비판해온 인물들이다. 승인 문서는 훗날 의회 정보위 조사 과정에서 존재가 확인됐다. 이탈리아 정부는 이들에 대한 감시가 불법 이민 알선 수사 목적이었으며 법적 절차를 따랐다고 주장했다. 그러나 정부 정책의 비판자를 군용급 스파이웨어로 감시했다는 사실 자체가 이후 극심한 정치적 논란을 불렀다.

훗날 이탈리아 검찰이 확보한 기술 감정 보고서에 따르면 탐사보도 매체 팬페이지(Fanpage.it)의 편집장 프란체스코 칸첼라토의 휴대전화에는 2024년 12월 14일자 스파이웨어 감염 흔적이 남아 있었다. 칸첼라토는 멜로니 총리가 이끄는 이탈리아형제들(FdI)의 청년조직이 파시즘과 인종차별 발언을 일삼는 실태를 잠입 취재해 폭로한 직후였다. 그래파이트는 이용자의 어떤 조작도 없이 기기를 감염시켜 암호화 메신저, 이메일, 카메라, 위치정보까지 들여다볼 수 있는 이른바 '제로클릭' 도구다. 이 시점의 감염은 당시에는 아무도 알지 못한 채 넘어갔다. 감염 사실은 1년 넘게 지난 뒤에야 공식 확인된다.

2025년 1월 31일 메타의 왓츠앱은 파라곤의 그래파이트 스파이웨어를 이용한 공격 시도를 차단했다며 전 세계 24개국 약 90명의 이용자에게 표적이 됐다는 사실을 통보했다. 통보 대상에는 언론인과 시민사회 활동가가 다수 포함됐고, 이탈리아 이용자도 여러 명 들어 있었다. 왓츠앱은 공격자가 악성 PDF 파일이 담긴 그룹 채팅에 표적을 추가하는 방식의 제로클릭 기법을 사용했다고 설명했다. 이 통보는 파라곤이 그동안 내세워온 '윤리적 스파이웨어' 이미지에 정면으로 배치되는 것이었다. 통보를 받은 이탈리아인들이 스스로 신원을 밝히면서 스캔들이 본격적으로 터져 나왔다.

2025년 2월 왓츠앱 통보를 받은 이탈리아인들의 신원이 잇따라 공개되면서 파문은 정치권 전체로 번졌다. 팬페이지 편집장 프란체스코 칸첼라토, 난민구조 활동가 루카 카사리니와 베페 카차 등 하나같이 멜로니 정부를 강하게 비판해온 인물들이라는 공통점이 드러났다. 야당은 정부가 국가 정보역량을 정적 감시에 동원했다며 총리의 직접 해명을 요구했다. 정부는 처음에는 관련성을 부인하다가 일부 대상에 대한 합법적 감청이 있었다고 시인해 신뢰를 더 잃었다. 유럽의회에서도 회원국 정부의 스파이웨어 오남용을 규제해야 한다는 목소리가 다시 커졌다.

2025년 4월 29일 애플은 자사 기기 이용자들에게 고도화된 이른바 '용병 스파이웨어(mercenary spyware)' 공격의 표적이 됐다는 위협 통보를 발송했다. 통보 대상에는 여러 유럽 국가의 언론인이 포함돼 파라곤 사태의 피해 범위가 왓츠앱 이용자에 국한되지 않음을 보여줬다. 이는 iOS 기기를 겨냥한 별도의 감염 경로가 존재했다는 뜻이기도 했다. 시티즌랩과 국제앰네스티 등 디지털 인권 단체들은 통보를 받은 이들의 기기를 넘겨받아 본격적인 법의학 분석에 착수했다. 이 분석 결과가 뒤이어 사태의 결정적 물증이 됐다.

이탈리아 정보기관을 감독하는 의회 정보위원회 COPASIR는 2025년 6월 5일 파라곤 사건 조사 보고서를 공개했다. 보고서는 정보기관이 난민구조 활동가 카사리니와 카차를 그래파이트로 감시한 사실을 인정하면서도 이는 법적 승인 절차를 거친 합법적 활동이었다고 결론지었다. 그러나 정작 가장 논란이 컸던 언론인 프란체스코 칸첼라토를 누가 표적으로 삼았는지는 확인할 수 없었다고 밝혔다. 디지털 인권 단체들은 정부가 스파이웨어 사용을 사실상 정상화하면서 핵심 의혹은 미궁에 남겼다며 강하게 반발했다. 이 어정쩡한 결론은 오히려 검찰 수사와 국제적 압박을 키우는 계기가 됐다.

2025년 6월 9일 파라곤 솔루션스는 이탈리아 정부 고객과의 계약을 모두 해지했다고 밝히며, 자사가 칸첼라토 기자 해킹 의혹을 함께 조사하자고 제안했으나 이탈리아 당국이 이를 거부했다고 공개했다. 스파이웨어 업체가 고객 정부를 공개적으로 비판하며 등을 돌린 이례적 장면이었다. 파라곤은 인권 침해가 확인되면 계약을 끊겠다는 '윤리적' 판매 원칙을 지킨 것이라고 주장했다. 반면 이탈리아 정부는 파라곤의 조사 제안을 받아들이면 국가 기밀이 외국 기업에 넘어간다며 거부가 정당했다고 반박했다. 어느 쪽 설명이 맞든, 정부가 진상 규명을 스스로 차단했다는 인상은 지워지지 않았다.

토론토대 시티즌랩은 2025년 6월 12일 파라곤 그래파이트가 실제로 아이폰을 감염시킨 사실을 법의학적으로 처음 확인했다는 보고서를 발표했다. 분석 대상이 된 유럽 언론인 2명의 기기에서는 2025년 1월과 2월 초 iOS 18.2.1을 구동하던 시점의 감염 흔적이 발견됐다. 시티즌랩은 두 기기가 동일한 서버 인프라에 접속한 정황을 근거로 같은 운영자가 배후일 가능성이 높다고 분석했다. 이는 그래파이트가 실제 작동하는 제로클릭 공격 도구임을 입증한 결정적 물증이었다. 같은 날 국제앰네스티도 또 다른 이탈리아 기자의 안드로이드 기기에서 감염 지표를 확인했다고 발표했다.

국제앰네스티 보안연구소는 2025년 6월 12일 또 다른 이탈리아 언론인이 그래파이트 스파이웨어의 표적이 된 사실을 확인했다고 발표했다. 앰네스티는 이 사례가 이탈리아에서 불법적 감시가 광범위하게 이뤄지고 있음을 보여준다고 지적했다. 특히 COPASIR 보고서가 언론인 표적 사실을 확인하지 못했다고 결론 낸 직후에 나온 발표여서 의회 조사의 신뢰성에 큰 타격을 줬다. 앰네스티는 이탈리아 정부에 독립적이고 투명한 조사, 피해자에 대한 완전한 정보 공개, 스파이웨어 사용에 대한 실효적 통제 장치 도입을 요구했다. 유럽 전역에서 상업용 스파이웨어 거래를 금지해야 한다는 캠페인도 다시 힘을 얻었다.

2026년 3월 5일 이탈리아 로마와 나폴리 검찰은 기술 감정 결과 팬페이지 편집장 프란체스코 칸첼라토의 휴대전화에서 2024년 12월 14일자 스파이웨어 감염 흔적이 확인됐다고 발표했다. 이는 '표적 여부를 확인할 수 없다'던 2025년 6월 COPASIR 보고서의 결론을 정면으로 뒤집는 것이었다. 검찰은 감염에 사용된 도구가 파라곤의 그래파이트였다고 특정했으나, 누가 발주하고 운용했는지는 여전히 밝혀내지 못했다. 야당과 언론단체는 의회 조사가 사실상 은폐에 가까웠다며 재조사를 요구했다. 언론인을 국가급 스파이웨어로 감시한 것이 확인되면서 이탈리아의 언론자유 지표에 대한 국제사회의 우려도 커졌다.

2026년 4월 28일 이탈리아 검찰이 외교 경로를 통해 파라곤에 보낸 공식 정보제공 요청에 회사가 1년 넘게 답하지 않고 있다는 보도가 나왔다. 검찰은 2025년 초 그래파이트가 이탈리아 언론인과 활동가를 상대로 어떻게 사용됐는지 설명해 달라고 요청했으나 회신을 받지 못했다. 스스로 이탈리아 정부의 조사 거부를 문제 삼으며 계약을 끊었다고 밝혔던 파라곤이 정작 사법기관의 공조 요청에는 침묵한 셈이어서 '윤리적 스파이웨어' 주장의 진정성이 다시 도마에 올랐다. 이스라엘 기업에 대한 사법 관할권이 미치지 않는 구조적 한계도 함께 드러났다. 사건은 표적과 감염은 확인됐으나 지시자와 운용자는 규명되지 않은 채 여전히 수사가 진행 중이다.