이 이야기에는 AceMagic이 좋게 보이는 버전이 있습니다. 그 버전은 실제로 있었던 일이므로 먼저 짚고 넘어갈 가치가 있습니다. 2024년 2월, 독립 연구자들과 유튜버들이 새로 출고된 AceMagic AD08, AD15, S1 미니 PC가 공장 Windows 이미지에 악성코드가 심어진 채 배송되고 있다는 사실을 입증하자, 회사는 이 카테고리에서는 보기 드문 행동을 했습니다. 서면 성명을 내고, 영향을 받은 SKU를 명시하고, 책임을 인정한 것입니다. 중국 기반 브랜드들이 결함에 대해 정중한 이메일 한 통과 조용한 교환으로 대응하는 것이 일상인 업계에서, “저희가 악성코드를 출하했으며 해당 목록은 이렇습니다”라는 태도는 기본값이 아닙니다. AceMagic은 그렇게 했습니다. The Register는 성명 전문을 게재했고, 가장 큰 주목을 받은 문장은 다음과 같습니다. “소프트웨어의 부팅 시간을 개선하기 위해, 저희 개발자들이 제 승인 없이 Microsoft 소프트웨어를 수정했습니다.”

이 문장이 AceMagic 악성코드 사태에서 회사가 가장 좋게 보였던 순간입니다. 그 이후에 벌어진 일은 모두 그만큼 호의적이지 않습니다.

실제로 기기에 무엇이 들어 있었나

악성코드는 교묘하지도 않았습니다. BleepingComputer의 보도에 따르면, 영향을 받은 기기의 공장 Windows 이미지에는 서로 다른 두 계열의 자격 증명 탈취 소프트웨어(Bladabindi와 Redline으로 확인된 변종)가 일반적인 첫 부팅 설정 이후에도 살아남는 방식으로 심어져 있었습니다. Bladabindi는 자격 증명을 유출하고 원격 접속을 지원하는 오래된 백도어입니다. Redline은 최근 몇 년간 가장 널리 퍼진 범용 인포스틸러 중 하나로, 실행 후 몇 분 안에 브라우저 비밀번호, 자동 완성 데이터, 암호화폐 지갑 파일을 쓸어 담도록 설계되어 있습니다.

발견은 AceMagic 자체 QA에서 나오지 않았습니다. 외부에서 나왔습니다. 유튜버 Jon Bringus와 또 다른 채널인 The Net Guy Reviews는 제조사 권고문이 나오기도 전에 직접 구매한 기기에서 각각 독립적으로 악성코드 탐지 결과를 입증했습니다. AceMagic이 성명을 발표했을 무렵에는 이미 영상이 공개되어 있었고, Tom’s Hardware, PCMag, XDA Developers가 모두 이 사건을 보도한 뒤였습니다. 사실상 회사의 인정은 첫 수가 아니라 두 번째 수였습니다.

성명이 실제로 말하는 것과 말하지 않는 것

주의 깊게 읽어 보면 AceMagic의 해명에는 구체적인 주장이 하나 담겨 있습니다. 악성코드는 사내 개발자들이 “부팅 시간을 개선”하려고 Microsoft Windows 이미지를 수정하는 과정에서 생긴 부작용이며, 이는 “제 승인 없이” 이루어졌다는 것입니다(여기서 “제”는 성명에 서명한 회사 책임자를 가리킵니다). 이런 서술은 원인을 회사 내부에 두면서도 경영진의 인지 범위 밖에 두고, 악성코드를 공급망 침해가 아닌 최적화 작업의 의도치 않은 결과로 바꿔 놓습니다.

깔끔한 이야기입니다. 동시에 대중으로서는 검증할 방법이 없는 이야기이기도 합니다. 성명은 개발자의 이름을 밝히지 않고, 출하 전 이미지의 정확한 해시를 공개하지 않으며, 일상적인 “부팅 시간 최적화”가 어떻게 브라우저 자격 증명을 원격 서버로 유출하는 바이너리를 만들어 냈는지도 설명하지 않습니다. 정직하게 읽는다면 그런 동작은 시작 성능 개선 작업과는 전혀 관련이 없습니다. The Register는 이 공백을 정중하게 지적했고, BleepingComputer는 그보다 덜 정중하게 지적했습니다. 두 매체 모두 포렌식 타임라인을 제공받지 못했습니다.

침묵은 하나 더 있습니다. AceMagic은 AD08, AD15, S1의 “일부” 기기가 영향을 받았다고 확인했지만, 성명에는 시리얼 번호 범위도, 생산일 구간도, 감염된 기기의 절대 수량도 나와 있지 않았습니다. 2023년 말이나 2024년 초에 이 모델 중 하나를 구매한 사람은 자신의 기기가 대상에 포함되는지 제조사를 통해 확인할 방법이 없습니다. 복구 지침(깨끗한 Microsoft 이미지로 Windows 재설치)은 옳지만, 영향을 받지 않은 소유자가 받을 조언과도 똑같습니다. 즉, 이 사건의 경계는 AceMagic이 그은 곳이 아니라 구매자 각자가 최악을 가정하기로 결정한 곳에 있습니다.

실제 “복구”는 어떤 모습이었나

AceMagic이 공개한 해결책은 Microsoft에서 받은 ISO로 Windows를 클린 재설치하라는 안내와, 이후 생산 배치는 이미지를 새로 설치해 출하했다는 보증이었습니다. 감염된 부팅 이미지에 대한 기술적 답으로는 옳습니다. 하지만 이는 수고를 고객에게 떠넘기는 복구 방식이기도 합니다.

일반적인 미니 PC 구매자에게 재설치는 사소한 요구가 아닙니다. AD08, AD15, S1은 가정 사용자, 소규모 사무실, 키오스크 및 사이니지 운영자, 선물 구매까지 아우르는 시장에서 팔립니다. 이들은 Windows 기기를 처음부터 조립하거나 이미징하거나 설정하는 일을 피하려고 일부러 완제품을 고른 구매자들입니다. 이런 구매자에게 “ISO를 내려받고, 설치 미디어를 만들고, 드라이브를 지우고, 재설치하고, 정품 인증을 다시 하고, 데이터를 복원하라”는 것은 예상하지도 못했고 구매 시점에 경고받지도 못한 반나절짜리 작업입니다.

AceMagic이 영향을 받은 구매자에게 환불, 보증 연장, 신용 모니터링 지원을 제공했다는 공개 기록은 없습니다. 이는 규제가 갖춰진 시장의 하드웨어 업체들이 자격 증명 탈취 사고가 확인된 뒤 통상적으로 제공하는 표준 구제책입니다. PCMag의 보도와 XDA의 보도 모두 이 비대칭을 지적했습니다. 회사는 말로는 책임을 인정했지만, 실제로는 뒷수습을 구매자에게 맡겼습니다.

인정할 점, 그리고 그 대가

AceMagic은 영향을 받은 모델을 서면으로 명시하고, 이 문제를 제3자 리뷰어의 실수인 것처럼 둘러대지 않았다는 점에서 인정받을 만합니다. 결함에 대한 기본 대응이 침묵 후 기기 교환인 카테고리에서 이는 의미가 있습니다. 이 글이 처음에 짚은 미묘한 지점이며, 진심으로 인정할 부분입니다.

대가는 성명에 담기지 않은 내용입니다. 공개된 포렌식 타임라인도, 생산일 구간도, 영향을 받은 기기 수도, 등록된 구매자에 대한 선제적 통지도 없습니다. 공개 성명이 나오기 몇 주 또는 몇 달 전에 브라우저 비밀번호가 유출되었을 수 있는 소유자에게 신용 모니터링을 제공하겠다는 제안도 없습니다. AceMagic 악성코드 사태를 공정하게 평가하면 “AceMagic은 옳은 일을 했다”가 아니라 “AceMagic은 옳은 말을 했고, 나머지 일은 구매자가 했다”입니다. 영향을 받은 기간에 AD08, AD15, S1을 구매한 뒤 Windows를 한 번도 재설치하지 않았다면, 2년이 지난 지금도 그 기기에서 사용한 자격 증명은 변경해야 한다고 가정하는 것이 신중합니다. 대부분의 보도가 끝까지 다루지 않고 덮어 버린 이야기가 바로 이것이며, 사과문 옆에 기록으로 남아야 할 이야기도 이것입니다.