위챗 전화로 계정 탈취하는 웜 시연…AI, 원격 실행 도구 이틀 만에 개발

위챗 음성통화만으로 이용자 계정을 탈취하고 친구에게 확산하는 제로클릭 웜이 구현됐다. 피해자가 전화를 받거나 휴대전화를 조작하지 않아도 공격이 이뤄지는 방식이다.

미국 캘리포니아주 팔로알토의 보안기업 캘리프(Calif)는 9월 8일 연구 보고서에서 위챗 인터넷전화(VoIP) 처리 과정의 메모리 손상 취약점을 이용한 ‘위웜(WeWorm)’을 공개했다.

공격자가 피해자의 위챗 친구 목록에 등록된 계정으로 전화를 걸면 피해자 계정이 탈취될 수 있었다. 탈취된 계정은 다시 친구에게 전화를 걸어 공격을 이어가는 방식으로 확산됐다.

캘리프는 피해자가 통화를 받지 않아도 공격이 성공했다고 설명했다. 통화를 받아도 소리가 들리지 않으며 공격은 계속 진행됐고, 계정 장악에는 수초가 걸렸다.

공격에는 제한 조건도 있었다. 공격자가 피해자의 위챗 친구 목록에 등록돼 있어야 했으며, 캘리프는 공격이 픽셀10a에서 아이폰17e로, 다시 다른 픽셀10a로 이어지는 과정을 시연했다.

위웜은 위챗 음성통화 기능을 공격 통로로 삼았다. 음성통화 과정에서 발생한 메모리 손상 취약점을 악용하는 구조지만, 캘리프는 구체적인 기술 세부 내용은 아직 공개하지 않았다.

캘리프는 후속 보안 콘퍼런스에서 전체 기술 분석을 발표할 예정이다. 해당 취약점에는 현재 CVE 번호가 부여되지 않았다.

인공지능은 취약점 탐색과 공격 도구 개발 속도를 높이는 데 활용됐다. 캘리프는 인공지능과 협력해 약 이틀 만에 취약점을 찾고 첫 원격 코드 실행 도구를 작성했으며, 완성된 웜을 만드는 데는 약 일주일이 더 걸렸다고 밝혔다.

다만 공격 대상을 정하고 안전한 시험 방법을 결정한 것은 연구진이었다. 캘리프는 어떤 인공지능 모델을 사용했는지는 공개하지 않았다.

캘리프의 일정에 따르면 인공지능은 7월 중 취약점을 발견했다. 연구진은 7월 30일 안드로이드용 원격 코드 실행 도구를 완성했고, 8월 2일에는 iOS 버전을 마쳤다.

연구진은 8월 11일 안드로이드와 iOS를 연결한 웜 시연을 완료했다. 캘리프는 7월 24일 텐센트에 취약점을 신고했고, 9월 3일 기술 분석과 작동하는 도구를 전달했다.

텐센트(Tencent)는 안드로이드 8.0.77과 iOS 8.0.76 패치를 배포했다. 캘리프는 8월 26~28일 서버 측 차단 조치가 모든 이용자에게 적용된 사실을 확인했다고 밝혔다.

서버 측 차단은 이용자가 별도로 조작하지 않아도 적용되는 방식이다. 텐센트는 취약점 존재를 확인하고 패치를 완료했지만, 영향을 받은 계정 규모는 공개하지 않았다.

텐센트가 8월 발표한 2026년 2분기 실적 자료에서는 위챗과 위신의 합산 월간활성이용자가 6월 30일 기준 14억3900만명으로 집계됐다. 이번 사례는 대규모 이용자를 보유한 메신저의 통화 기능이 계정 확산 공격의 통로가 될 수 있음을 보여줬다.

제로클릭 공격은 이용자가 링크를 누르거나 파일을 여는 등 별도 행동을 하지 않아도 실행되는 공격을 뜻한다. 웜은 감염된 기기나 계정에서 다른 대상으로 스스로 확산하는 악성 프로그램이다.

캘리프는 후속 보안 콘퍼런스에서 위챗 취약점의 전체 기술 세부 사항을 공개할 예정이다.