네 개의 영상, 전체 공개 증거
2026년 10월 16일, 파리 Hexacon 보안 컨퍼런스에서 보안팀 Calif가 무대에서 네 개의 영상을 연속으로 공개했으며, 주인공은 현재 애플이 판매 중인 플래그십 iPhone 18 Pro다. 네 개 영상의 제목들이 현재 모든 공개된 증거를 구성한다:
1. Signal 1-click exploit on iPhone 18 Pro
2. iMessage 1-click on iPhone 18 Pro
3. Can your iPhone do this?
4. APT stands for Apple Persistent Threat하나의 제목이 하나의 데모에 해당한다: 한 번의 클릭으로 Signal을 뚫고, 한 번의 클릭으로 iMessage를 뚫고, 해킹 후 무엇을 할 수 있는지를 보여주는 영상, 그리고 마지막으로 지속성 탈옥(persistent jailbreak)이다. Calif는 iOS 보안 뉴스레터(이메일 브리프)를 통해 안에서 유명세를 탔다. 영상 외에 팀은 단 한 가지 약속만 남겼다: Everything will be released in due time — 모든 내용이 적절한 시기에 공개될 것이다.
세부 사항은 공개되지 않았고, 외부에는 결과만 전달되었으며 방법은 알 수 없다. 이 공백은 명성으로 채워야만 한다. 구독자가 4,000 명이 넘는 뉴스레터는 Calif의 신용 담보물이다: 지속적으로 콘텐츠를 내놓으며 생계를 유지하는 팀이 네 개의 재현 불가능한 영상에 자신의 이름을 걸었다면, 실패하면 자신의 브랜드가 망하는 셈이다. 이번 데모의 무게는 분리해서 봐야 한다: 탈옥 자체는 가치가 하락하고 있지만, 진입점 선택은 가치가 상승하고 있다.
한 번의 클릭, 진입점이 바로 Signal과 iMessage
첫 번째 영상은 Signal을 공격했다. 이는 엔드투엔드 암호화(end-to-end encryption)로 유명한 통신 앱이며, 기자와 활동가들이 주로 사용하는 도구다. 두 번째는 iMessage로 바뀌었는데, 애플이 기본으로 제공하는 인스턴트 메시징 서비스로 전 세계 iPhone 사용자들이 기본으로 사용하는 서비스다. Calif는 이 데모 그룹에 대해 역설을 남겼다: “서드파티 앱은 누가 관심 있나? 모두가 iMessage를 쓰지 않나?”
이 한 문장이 진입점 선택을 명확히 보여준다. 과거 iPhone 탈옥은 사용자의 적극적인 협력을 요구했다: 기기를 컴퓨터에 연결하고, 도구를 실행하며, 진행률을 지켜봐야 했다. Calif의 데모는 한 번의 클릭으로 압축되었다 — 사용자가 메시지 안의 링크를 한 번 클릭하면 모든 것이 끝난다. 1-click이라는 표현으로 추정할 때, 공격은 한 번의 사용자 상호작용을 필요로 하며, 제로 클릭(zero-click, 어떤 조작도 필요 없음)보다 한 단계 더 많고, 앱 설치 유도보다 훨씬 적은 장벽이다.
통신 앱은 진입점으로서 자연스럽다: 메시지가 외부에서 들어오기 때문에 기기는 반드시 이를 파싱해야 하며, 링크 자체가 초대장이 된다. 공격 면은 출고 기본 설정 그대로이며, 어떤 설치 단계도 경고로 작동할 수 없다.
그림: 첫 번째 데모 영상 커버, 원제는 Signal 1-click exploit on iPhone 18 Pro — 한 번의 클릭으로 암호화 통신 앱 Signal을 공격. 출처: Calif / YouTube
그림: 두 번째 데모 영상 커버, 원제는 iMessage 1-click on iPhone 18 Pro — 진입점이 모든 iPhone에 기본 탑재된 애플의 서비스로 변경됨. 출처: Calif / YouTube
탈옥은 재부팅을 견뎌냈지만, 그것이 가장 가치 없는 부분이었다
네 번째 영상의 제목은 업계 내부의 농담을 사용했다. APT는 보안 업계에서 고급 지속적 위협(Advanced Persistent Threat)을 의미하며, 조직적이고 인내심 있으며 장기 잠복을 목표로 하는 공격자를 지칭한다; Calif는 이를 Apple Persistent Threat으로 바꿨으며, 이에 맞춰 데모에서 iPhone 18 Pro가 재부팅된 후에도 탈옥 상태가 유지되는 것을 보여줬다. 최근에 공개된 iOS 탈옥 대부분은 재부팅하면 즉시 무효화되어 다시 한번 트리거해야 하며, 지속성은 더 희귀한 부류이다.
세 번째 영상의 제목은 도발적인 Can your iPhone do this?로 변경되었으며, 내용은 해킹된 기기가 어떤 동작을 수행할 수 있는지를 보여준다. 지속성은 장기 잠복에 필요한 속성이다: 공격자가 기기에 계속 머물며 지속적으로 감시하려면, 재부팅 후에도 남아있어야 제대로 된 임플란트다. 업계 관행에 따르면 이것이 전체 데모에서 가장 중요한 부분이어야 했지만, 논의의 초점은 여기에 머무르지 않았다.
그림: 네 번째 데모 영상 커버, 원제는 APT stands for Apple Persistent Threat — 보안 업계 용어 APT의 A를 Apple로 변경. 출처: Calif / YouTube
애플은 취약점을 패치할 필요 없이, 당신을 생태계에서 추방하기만 하면 된다
Hacker News에서 논의가 전개되면서 초점은 ‘어떻게 해냈는가’에서 ‘해냈다면 무엇을 할 수 있는가’로 빠르게 옮겨갔다. 반복적으로 등장하는 한 가지 판단은 다음과 같았다: 탈옥 후 업그레이드를 하지 않더라도 애플은 기기가 탈옥 상태임을 인식하여 iCloud와 iMessage에서 차단할 수 있다 — 그때 이 iPhone은 꽤 괜찮은 iPod touch가 될 뿐이다.
탈옥 인식은 신비주의가 아니다: iCloud, iMessage와 같은 서비스는 모두 애플 서버에 연결되어 있으며, 기기 상태는 핸드셰이크와 동기화 과정에서 노출될 기회가 많다. 취약점은 숨길 수 있지만 탈옥은 숨길 수 없다 — 기기가 커널(kernel) 권한을 넘겨주는 순간 시스템 행동이 변하기 때문이다. 공격자는 기기의 제어권을 얻지만, 애플은 생태계의 입장권을 쥐고 있다. 커널을 얻었다고 해서 자리를 얻은 것은 아니며, 생태계에서 추방하는 것이 어떤 패치보다 깨끗하다.
두 파의 결론은 반대지만, 전제는 같은 일에 놓여 있다
한 파는 이번 데모가 매우 허술하게 이겼다고 주장한다. 탈옥은 과거에 하나의 사업이었다: 테마 미화, 시스템 레벨 수정, 공식 스토어 우회, 사용자들은 이를 위해 부작용을 감수하려 했다. 현재 탈옥은 지속 가능한 수익을 가져오지 못하며, 애플이 인식하기 어렵지 않고 추천만으로 충분하며, 일반 사용자는 변화조차 인지하지 못한다.
다른 파는 Signal을 겨냥했다. 한 번의 클릭으로 Signal을 해킹하는 것 자체가 완결된 결과다 — 메시지는 즉시 읽히고 데이터는 즉시 복사되며, 공격은 한 번만 수행할 수 있고 지속성은 선택 사항이다. Signal의 핵심 사용자(기자, 변호사, 활동가)에게 있어 iMessage에서 추방되는 것은 작은 손실이지만, 메시지 저장소가 전체로 빼앗기는 것은 큰 재앙이다. 이 파는 더 나아가 이 주제를 확장했다: 애플의 규모가 너무 커서 소비자가 지갑으로 투표하여 보안 투자를 제한할 수 없으며, 강력한 규제가 유일한 대안이다.
두 파의 전제는 다르지만 결론은 같은 곳에 있다: 이 iPhone은 해킹당했으며, 해킹 후에 현금화할 수 있는 수익은 과거에 비해 훨씬 적다. Calif는 네 개의 영상으로 진입점이 여전히 존재함을 증명했고, 커뮤니티 논의는 후반부를 보완했다 — 수익은 이미 이전했다. 다음에 또 다른 팀이 최신 iPhone을 해킹했다고 발표할 때, 묻는 질문은 단 하나뿐이다: 그래서?
iPod touch라는 답은 웃기지 않는다. 이것은 보안 업계의 새로운 산식을 표시한다: 기기의 제어권은 가치가 하락하고 생태계의 입장권은 가치가 상승하고 있다. Calif의 네 개 제목은 이 산식을 명확하게 보여준다: 처음 두 개는 제어권을 얻을 수 있음을 증명하고, 뒤의 두 개는 얻은 후에 현금화할 수 있는 것이 이미 많지 않음을 증명한다.
참고 링크:
- Calif 뉴스레터 원문
- Hexacon 보안 컨퍼런스
- HN 논의 (hacker news)
- Calif 데모 영상
