맨위로가기

소니 BMG 루트킷 사건

"오늘의AI위키"는 AI 기술로 일관성 있고 체계적인 최신 지식을 제공하는 혁신 플랫폼입니다.
"오늘의AI위키"의 AI를 통해 더욱 풍부하고 폭넓은 지식 경험을 누리세요.
목차

1. 개요

소니 BMG 루트킷 사건은 2005년 소니 BMG가 자사 CD에 복제 방지 기술인 XCP를 도입하면서 발생한 사건이다. XCP는 웜이나 바이러스 침투의 취약점을 만들고, 사용자 동의 없이 설치되며, 제거 프로그램 또한 문제를 일으키는 등의 문제점을 가지고 있었다. 이로 인해 소니 BMG는 집단 소송 및 법적 제재를 받았고, CD 리콜 및 보상, 기술 중단 등의 조치를 취했다. 이 사건은 DRM 기술의 문제점과 소비자 권익 침해에 대한 경각심을 높였으며, 기술적, 사회적, 법률적 측면에서 광범위한 영향을 미쳤다.

더 읽어볼만한 페이지

  • 2005년 - 다르푸르 분쟁
    다르푸르 분쟁은 수단 다르푸르 지역에서 발생한 복합적인 원인으로 인한 분쟁으로, 아랍화 정책과 정치적 소외에 대한 비아랍계 주민들의 불만이 무장 투쟁으로 이어져 수많은 사망자와 난민을 발생시켰으며, 현재는 평화 협상을 통해 분쟁 종식을 위한 노력이 진행 중이다.
  • 소니그룹 - 재팬디스플레이
    재팬디스플레이(JDI)는 소니, 도시바, 히타치의 중소형 LCD 사업부 통합으로 2012년 설립된 일본 디스플레이 제조 기업으로, LTPS TFT-LCD 패널 시장에서 높은 점유율을 차지했으나 경영난을 겪은 후 경영 재건을 시도하며 OLED 시장 진출을 모색하고 있다.
  • 소니그룹 - 아이와
    아이와는 1951년 마이크 제조업체로 시작해 다양한 오디오 제품으로 전성기를 누린 일본 전자제품 브랜드로, 소니 자회사 편입 후 브랜드가 종료됐다가 2015년부터 여러 회사에 의해 부활하여 현재는 토와다 오디오를 중심으로 전 세계에서 사용되고 있다.
  • 2005년 10월 - 2005년 프랑스 폭동
    2005년 프랑스 폭동은 파리 교외 이민자 밀집 지역에서 북아프리카계 청소년 사망 사건을 계기로 촉발되어 높은 실업률, 사회적 차별, 경찰의 과잉 단속 등 누적된 사회·경제적 불만이 폭발하며 프랑스 전역으로 확산, 사회 불평등 문제와 사회 통합 실패를 드러낸 대규모 소요 사태이다.
  • 2005년 10월 - 선저우 6호
    선저우 6호는 2005년 10월 12일에 발사되어 두 명의 우주 비행사가 탑승, 궤도 비행을 수행하고 10월 16일에 성공적으로 착륙한 중화인민공화국의 유인 우주선이다.
소니 BMG 루트킷 사건
일반 정보
이름소니 BMG 루트킷 사건
다른 이름소니 BMG 복사 방지 루트킷 스캔들
발생 시기2005년
관련 회사소니 BMG
퍼스트 포 코퍼레이션
기술적 세부 사항
사용된 기술XCP (복사 방지)
미디어맥스 CD-3
루트킷 유형은폐된 파일 및 레지스트리 키
시스템 동작 수정
대상 운영 체제마이크로소프트 윈도우
배포 방식소니 BMG에서 발매한 CD
사건 경과
최초 발견자마크 루시노비치
공개 시점2005년 10월 31일
소니 BMG의 대응패치 배포
CD 회수
법적 및 사회적 영향
소송다수의 집단 소송 제기
프라이버시 침해 논란사용자 동의 없는 소프트웨어 설치 및 정보 수집
보안 취약점루트킷으로 인한 시스템 보안 약화 및 악성코드 감염 위험 증가
법적 제재미국 연방거래위원회와의 합의
관련 법규 위반컴퓨터 사기 및 남용 방지법 위반 가능성
스파이웨어 방지법 위반 가능성
추가 정보
영향수백만 장의 CD에 영향
결과소니 BMG의 이미지 손상 및 법적 책임 발생

2. 배경

2000년대 초반, 디지털 기술의 발달과 인터넷 보급으로 P2P 파일 공유 등을 통한 음악 불법 복제가 성행하면서 음반 산업은 큰 위협에 직면했다. 이에 소니 BMG를 비롯한 주요 음반사들은 자사의 저작권과 수익원을 보호하기 위해 CD에 복사 방지 기술을 도입하려는 움직임을 보이기 시작했다.[74][1]

실제로 소니 BMG의 전신인 소니 뮤직과 BMG는 2001년부터 일부 음반에 복사 방지 기술을 시범적으로 적용했다. 엔싱크의 'Celebrity' 앨범이나 마이클 잭슨의 'You Rock My World' 프로모션 싱글 등이 그 예시이다.[75] 유럽에서는 2001년 BMG가 나탈리 임브루글리아의 앨범 ''화이트 릴리스 아일랜드''에 복사 방지 기능을 알리지 않고 출시하여 논란이 되기도 했으며,[2][3] 이후 점차 복사 방지 기술 적용 범위를 넓혀갔다.[4][5][6]

이러한 흐름 속에서 소니 BMG는 2005년, 보다 강력하고 논란의 소지가 큰 복사 방지 기술인 XCP와 MediaMax CD-3을 자사의 여러 CD에 본격적으로 도입하기에 이르렀다. 이 기술들은 사용자가 윈도우 환경에서 CD를 재생할 때 특정 소프트웨어를 설치하도록 유도했는데, 이것이 이후 큰 파장을 일으키는 소니 BMG 루트킷 사건의 직접적인 발단이 되었다.

2. 1. 2000년대 초 음악 산업의 저작권 보호 노력

2000년 8월, 소니 픽처스 엔터테인먼트의 미국 수석 부사장 스티브 헤클러는 미주 정보 시스템 컨퍼런스 (AMCIS)에서 음악 산업의 수익원 보호를 위해 강력한 조치를 취할 것임을 공언했다.[74][1] 그는 "업계는 스스로를 보호하고 수익원을 보호하기 위해 필요한 모든 조치를 취할 것"이라며, 냅스터와 같은 서비스를 ISP, 케이블 회사, 전화 회사, 심지어 개인 PC 수준에서 차단하겠다는 강경한 입장을 밝혔다.[1] 이러한 발언은 향후 소니의 적극적인 저작권 보호 기술 도입을 예고하는 것이었다.

이후 실제로 2001년 발매된 엔싱크의 Celebrity 앨범과 마이클 잭슨의 You Rock My World 유럽 프로모션 싱글 CD에 복제 방지 기술이 적용되었다.[75]

같은 해 유럽에서는 BMG가 나탈리 임브루글리아의 두 번째 앨범 ''화이트 릴리스 아일랜드''를 발매하면서 CD에 복사 방지 기능이 포함되어 있다는 사실을 알리는 경고 라벨을 부착하지 않아 논란이 일었다.[2][3] 이 문제로 인해 해당 CD는 결국 회수 후 교체되었다.[2][3] BMG와 소니는 2001년 말부터 특정 시장에서 일부 앨범에 복사 방지 기술을 적용하여 출시하기 시작했으며,[4][5] 2002년 말에는 유럽에서 판매되는 모든 BMG CD에 어떤 형태로든 복사 방지 기능이 포함될 것이라는 보도가 나오기도 했다.[6]

2. 2. 소니 BMG의 복사 방지 기술 도입

2000년 8월, 소니 픽처스 엔터테인먼트 미국 수석 부사장 스티브 헥클러는 미주 정보 시스템 컨퍼런스(AMCIS)에서 음악 산업 보호를 위해 강력한 조치를 취할 것이라고 발표하며 이후 벌어질 사건을 예고했다.[74][1] 그는 "업계는 스스로를 보호하고 수익원을 보호하기 위해 필요한 모든 조치를 취할 것"이라며, 냅스터와 같은 파일 공유 서비스를 막기 위해 ISP, 케이블 회사, 전화 회사, 심지어 개인용 컴퓨터(PC) 수준에서도 차단하는 기술을 개발하고 적극적으로 추진할 것이라고 밝혔다.[1]

이러한 배경에서, 소니 BMG의 전신인 BMG와 소니는 복사 방지 기술 도입을 시도하기 시작했다. 2001년 발매된 엔싱크의 'Celebrity' 앨범과 마이클 잭슨의 'You Rock My World' 유럽 프로모션반 CD에 복제 방지 기술이 적용되었다.[75] 유럽에서는 2001년 BMG가 나탈리 임브루글리아의 두 번째 앨범 ''화이트 릴리스 아일랜드''를 CD에 복사 방지 기능이 있다는 경고 라벨 없이 발매하여 논란이 일었다.[2][3] 해당 CD는 결국 교체되었다.[2][3] BMG와 소니는 2001년 말부터 특정 시장에서 복사 방지 기술이 적용된 CD를 출시하기 시작했으며,[4][5] 2002년 말에는 유럽에서 판매되는 모든 BMG CD에 어떤 형태로든 복사 방지 기능이 포함될 것이라는 보도가 나오기도 했다.[6]

본격적인 문제는 2005년, 소니 BMG가 자사에서 발매한 다수의 음반 CD에 복사 방지 기술인 XCP(Extended Copy Protection)와 MediaMax CD-3을 채용하면서부터이다. 이 소프트웨어들은 사용자가 해당 CD를 윈도우 기반 컴퓨터에서 재생하려고 할 때 자동으로 시스템에 설치되었다. 특히 XCP 소프트웨어는 루트킷을 설치하여 윈도우가 CD를 재생하는 정상적인 방식을 통제했는데, 이 루트킷이 시스템 보안에 심각한 취약점을 만들어 다른 악성 코드의 침투 경로로 악용될 수 있다는 문제점이 발견되었다. 이 치명적인 문제점은 마이크로소프트의 소프트웨어 엔지니어인 마크 러시노비치가 처음 발견하고 자신의 블로그를 통해 공개하면서 널리 알려지게 되었다. 윈도우 외의 다른 운영체제(예: Mac OS X, 리눅스)는 이 문제의 직접적인 영향을 받지 않았다.

XCP는 카피 컨트롤 CD(CCCD) 기술 중 하나로, 미국 SunnComm Technologies 사가 개발한 보안 기술에 기반한다. 2005년 10월, XCP 소프트웨어가 사용자 동의 하에 설치되더라도 루트킷을 몰래 설치하며, 정상적인 방법으로는 제거가 거의 불가능하다는 사실이 드러나면서 전 세계적인 비난 여론에 직면했고, 미국에서는 집단 소송으로까지 번졌다. 이후 해커들이 소니 BMG 제품을 리버스 엔지니어링하는 과정에서 또 다른 복사 방지 기술인 MediaMax가 발견되었는데, 이 기술은 윈도우뿐만 아니라 Mac OS X에도 영향을 미칠 수 있으며 XCP보다 더 심각한 문제를 포함하고 있다는 분석 결과가 나오기도 했다.

이 사건은 여러 후폭풍을 낳았다. 마이크로소프트는 결국 XCP를 악성 소프트웨어로 공식 인정했으며, 소니 BMG는 마이크로소프트와 협력하여 XCP를 완전히 삭제하는 도구를 배포해야 했다. 또한 여러 소비자 단체와 개인들이 소니 BMG를 상대로 피해 배상 소송을 제기했으며, 결국 소니 BMG는 문제가 된 XCP 및 MediaMax 적용 CD 전량을 리콜 조치했다. 이 과정에서 소니 BMG가 저작권 보호 프로그램에 사용한 오디오 인코딩 라이브러리 LAME이 GPL을 위반하여 사용되었다는 사실까지 밝혀지기도 했다.

한편, 일본의 소니 뮤직 엔터테인먼트(SMEJ)나 BMG 재팬에서 정식 발매된 일본반 CD에는 문제의 CCCD 기술이 채용되지 않았다. 그러나 한 조사에 따르면[62], 전 세계적으로 최소 568,200개의 네트워크에서 소니 루트킷에 감염된 컴퓨터가 발견되었으며, 이 중 일본 내 감염 추정 컴퓨터 수가 21만 7천 대 이상으로 미국의 13만 대 이상을 넘어서는 것으로 나타났다. 이는 수입반 CD 등을 통해 일본 사용자들에게도 루트킷이 확산되었음을 시사하며, 다른 종류의 CCCD에 대한 안전성 우려를 낳았다. 아마존 재팬이나 타워 레코드 같은 일부 온라인 판매처에서는 XCP가 포함된 CD를 구매한 고객에게 구매 대금을 환불하는 조치를 취하기도 했다.

설상가상으로 2005년 12월 8일에는 설치된 XCP 루트킷의 취약점을 악용하여 'Antinny'라는 컴퓨터 바이러스를 시스템에 설치하는 악성코드가 등장하기도 했다. 이처럼 파장이 커지자 일본 소니 뮤직 엔터테인먼트(SMEJ)는 XCP 사태에 대한 공식적인 입장을 발표하기에 이르렀다.

3. 복사 방지 소프트웨어

소니 BMG는 자사에서 발매한 음악 CD에 복사 방지 기술로 두 가지 소프트웨어, 즉 영국의 First 4 Internet(F4I)사가 개발한 확장 복사 방지(Extended Copy Protection, XCP)와 미국의 SunnComm 테크놀로지스사가 개발한 MediaMax CD-3를 사용했다. 이들 소프트웨어는 2004년 소니와 BMG의 음반 부서가 합병하여 설립된 소니 BMG가 판매한 약 2,200만 장 이상의 CD에 포함되었다.[7]

이 중 약 200만 장[7], 52개 타이틀에는 XCP가 포함되어 있었다. XCP는 사용자가 해당 CD를 마이크로소프트 윈도우 시스템에서 재생하려 할 때 최종 사용자 라이선스 계약(EULA)에 동의하면 자동으로 설치되었으나, 정작 EULA에는 이 소프트웨어 설치에 대한 명시적인 언급이 없었다. 나머지 약 2,000만 장의 CD[7], 50개의 타이틀[8]에는 MediaMax CD-3가 포함되었다. 이 소프트웨어는 사용자가 마이크로소프트 윈도우 또는 macOS 시스템에서 CD를 재생하려 할 때 EULA가 제시된 후, 사용자의 동의 여부와 관계없이 설치를 시도했다. 다만 macOS에서는 운영체제 수정을 시도할 때 사용자 확인을 요청했지만, 마이크로소프트 윈도우에서는 별다른 확인 절차 없이 설치가 진행되었다.

이 복사 방지 소프트웨어들은 사용자 컴퓨터에 설치되면서 시스템 작동 방식을 변경하고 문제를 일으켰다. 특히 XCP는 루트킷 기술을 사용하여 자신의 존재를 숨겼는데, 이 과정에서 시스템을 다른 악성 코드의 침투에 취약하게 만드는 심각한 보안 문제를 야기했다. 이러한 문제점은 2005년 10월 31일, 당시 윈터널스 소속 연구원이었던 마크 러시노비치가 XCP의 작동 방식과 위험성을 자신의 블로그에 상세히 분석하여 공개하면서 처음으로 공론화되었다.[9]

이 사건으로 인해 여러 단체들이 소니 BMG를 상대로 집단 소송을 제기했으며, 결국 소니 BMG는 문제가 된 CD들을 리콜해야 했다. 또한 이 과정에서 소니 BMG가 저작권 보호 프로그램에 사용된 LAME 오디오 인코더의 코드를 GNU 일반 공중 사용 허가서(GPL)를 위반하여 사용했다는 사실도 드러났다.

3. 1. XCP 루트킷

소니 BMG는 자사에서 발매한 일부 음악 CD에 복사 방지 기술인 확장 복사 방지(Extended Copy Protection, XCP)를 탑재했다. 이 소프트웨어는 사용자가 해당 CD를 마이크로소프트 윈도우 운영체제가 설치된 컴퓨터에서 재생할 때 사용자 동의 없이 자동으로 설치되었다.[7] XCP는 루트킷 기술을 이용하여 시스템 작동 방식을 변경하고 자신의 존재를 숨기면서 CD 복제를 막으려 했으나,[76][9] 이 과정에서 시스템을 악성 코드 공격에 취약하게 만드는 등 여러 문제를 일으켰다.[76] 윈도우 외 다른 운영체제는 영향을 받지 않았다.

이 문제는 2005년 10월 31일, 마이크로소프트의 소프트웨어 엔지니어이자 당시 윈터널스 소속 연구원이었던 마크 러시노비치가 자신의 블로그에 XCP 소프트웨어에 대한 기술적 분석 결과를 게시하면서 처음으로 공론화되었다.[76][9] 러시노비치는 XCP가 사용자 동의 없이 설치되고 최종 사용자 라이선스 계약(EULA)에도 명시되지 않았으며, 심각한 보안 취약점을 야기하고 시스템 불안정을 초래할 수 있다고 지적했다.[76][9] 또한 공식적인 제거 방법이 제공되지 않는 문제점도 제기했다.[76] 보안 전문가들과 업체들 역시 상업용 소프트웨어에 루트킷 기술을 사용하는 것의 부적절함을 비판했다.[77][10]

논란이 확산되자 소니 BMG는 XCP 제거 유틸리티를 배포했으나,[15] 이 초기 제거 프로그램 또한 루트킷을 제대로 제거하지 못하고 추가적인 보안 문제를 일으킨다는 점이 드러났다.[16][17][18]

3. 1. 1. XCP의 문제점

마이크로소프트 윈도우 운영체제에서 소니 BMG가 유통한 특정 음악 CD를 재생하면, 사용자 몰래 디지털 권리 관리(DRM) 소프트웨어인 확장 복사 방지(Extended Copy Protection, XCP)가 자동으로 설치되었다. 이 소프트웨어는 루트킷 기술을 사용하여 시스템에 깊숙이 숨어들어 CD 복사를 막으려 했으나, 이 과정에서 여러 심각한 문제를 일으켰다.[76][9]

2005년 10월 31일, 마이크로소프트 소속 소프트웨어 엔지니어이자 당시 윈터널스 연구원이었던 마크 러시노비치는 자신의 블로그를 통해 XCP의 문제점을 처음으로 상세히 분석하고 공개했다.[76][9] 그는 XCP가 사용자의 명시적인 동의 없이 설치되며[76], 최종 사용자 라이선스 계약(EULA)에도 해당 소프트웨어 설치에 대한 언급이 없다는 점을 지적했다.[9] 또한, 공식적인 제거 프로그램이 제공되지 않아 사용자가 임의로 삭제를 시도할 경우 시스템 오류를 일으킬 수 있다고 경고했다.[76]

러시노비치와 보안 전문가들이 지적한 XCP의 주요 문제점은 다음과 같다.

  • 보안 취약점: XCP는 자신의 존재를 숨기기 위해 파일과 프로세스 이름 앞에 '$sys$'를 붙여 사용자와 백신 소프트웨어가 이를 탐지하기 어렵게 만들었다. 이러한 은폐 기법은 악성 코드(컴퓨터 바이러스, 컴퓨터 웜, 트로이 목마 등)가 시스템에 침투하여 자신을 숨기는 데 악용될 수 있는 심각한 보안 취약점을 만들었다.[76][77][10] 실제로 러시노비치의 폭로 직후, 이 취약점을 악용한 악성 코드들이 등장했으며[13], 일부는 온라인 게임 부정행위에 이용되기도 했다.[14]
  • 시스템 불안정 및 성능 저하: XCP는 보호된 CD의 재생 여부와 관계없이 항상 백그라운드 프로세스에서 실행되면서 시스템 자원을 불필요하게 소모하여 컴퓨터 속도를 느리게 만들었다. 또한, 불안정한 방식으로 시스템을 제어하여 시스템 충돌을 유발할 가능성이 있었다.
  • 제거의 어려움: 공식적인 제거 프로그램이 없었으며, 사용자가 관련 파일이나 프로세스를 강제로 삭제하려고 시도하면 광학 드라이브를 인식하지 못하는 등 운영체제에 문제를 일으켰다.
  • 부실한 제거 도구: 논란이 커지자 소니 BMG는 루트킷 구성 요소를 제거하는 프로그램을 배포했지만, 이 초기 제거 프로그램은 오히려 더 큰 문제를 일으켰다. 러시노비치의 분석에 따르면, 이 프로그램은 루트킷을 완전히 제거하지 않고 숨겨진 파일을 드러내는 수준에 그쳤으며, 오히려 제거 불가능한 추가 소프트웨어를 설치했다.[16] 또한, 제거 프로그램을 다운로드 받기 위해 사용자의 이메일 주소를 요구하고(이는 소니 BMG의 개인정보 정책에 따라 마케팅 목적으로 활용될 수 있었다), 액티브X 컨트롤을 설치하도록 했는데, 이 액티브X 컨트롤 자체에 심각한 보안 취약점(백도어)이 존재하여 악의적인 웹사이트가 사용자 컴퓨터에서 임의의 코드를 실행할 수 있는 위험을 초래했다.[17][18] 이 문제는 마이크로소프트가 해당 액티브X 컨트롤에 대해 킬비트를 발행하면서 일단락되었다. 이후 소니 BMG는 개선된 제거 도구를 다시 배포했다.


F-Secure와 같은 보안 업체들은 XCP가 직접적인 악성 행위를 하지는 않더라도, 악성 코드가 사용하는 은폐 기술을 상용 소프트웨어에 적용한 것은 매우 부적절하며, 백신 프로그램의 오진을 유발할 수 있다고 비판했다.[77][10] 이러한 문제점들은 결국 집단 소송으로 이어졌고, 소니 BMG는 해당 CD들을 리콜해야 했다. 이 사건은 저작권 보호라는 명목 하에 사용자의 동의 없이 컴퓨터 시스템을 변경하고 보안 위험에 노출시키는 행위가 사용자의 재산권을 침해할 수 있다는 중요한 논점을 제기했다.

3. 1. 2. XCP 제거 프로그램의 문제점

소니 BMG는 논란이 된 XCP 루트킷 구성 요소를 컴퓨터에서 제거하기 위한 유틸리티를 배포했다.[15] 그러나 윈터널스의 연구원 마크 루시노비치는 이 제거 프로그램이 문제를 해결하기는커녕 오히려 상황을 더 악화시킨다고 분석하였다.[16]

루시노비치의 분석에 따르면, 소니 BMG가 제공한 초기 제거 프로그램에는 다음과 같은 심각한 문제점들이 있었다.

  • 루트킷 미제거: 프로그램은 루트킷이 설치한 파일들을 단순히 드러낼 뿐, 실제로 루트킷 자체를 제거하지는 못했다.[16]
  • 백도어 포함: 제거 프로그램 설치 시 함께 설치되는 ActiveX 컨트롤에 백도어가 포함되어 있었다.[17][18] 이 ActiveX 컨트롤은 "스크립팅에 안전(safe for scripting)"으로 표시되어 있어, 악의적인 웹사이트가 사용자 컴퓨터에서 임의의 코드를 실행할 수 있게 만드는 심각한 보안 취약점을 가지고 있었다.[17][18] 이후 마이크로소프트는 해당 ActiveX 컨트롤을 차단하기 위한 킬비트를 발행했다.
  • 개인 정보 요구: 제거 프로그램을 다운로드 받으려면 사용자에게 전자 우편 주소를 의무적으로 제공하도록 요구했다.[16] 이는 소니 BMG의 개인 정보 보호 정책에 따라 사용자의 동의 없이 다양한 대량 메일 발송 목록에 해당 주소가 추가될 수 있음을 의미하여, 개인 정보 침해에 대한 우려를 낳았다.
  • 추가 프로그램 설치: 제거 과정에서 삭제되지 않는 추가적인 소프트웨어를 설치하는 문제도 보고되었다.[16]


이러한 문제점들이 알려지면서 비판이 거세지자, 소니 BMG는 2005년 11월 18일에 기존의 문제점을 개선했다고 주장하는 새로운 제거 도구를 다시 제공했다.

3. 2. MediaMax CD-3

MediaMax CD-3는 미국 SunnComm 테크놀로지스 사가 개발한 복제 방지 기술이다. 소니 BMG는 자사가 판매한 약 2,200만 장의 음악 CD 중 약 2,000만 장[7], 50개의 타이틀[8]에 이 기술을 포함시켰다.

MediaMax CD-3는 사용자가 CD를 컴퓨터에서 재생하려고 할 때, 최종 사용자 사용권 계약(EULA)이 제시된 후 사용자의 동의 여부와 관계없이 마이크로소프트 윈도우 또는 macOS 시스템에 자동으로 설치되는 방식으로 작동한다. 다만, macOS의 경우 소프트웨어가 운영체제를 수정하려 할 때 사용자에게 확인을 요청하는 절차가 있었지만, 마이크로소프트 윈도우에서는 이러한 확인 절차 없이 설치가 진행되었다.

이 기술의 존재는 XCP 루트킷 사건 이후, 해커들이 소니 BMG 제품 등을 리버스 엔지니어링하는 과정에서 발견되었다. 조사 결과, MediaMax는 마이크로소프트 윈도우뿐만 아니라 Mac OS X에도 영향을 미칠 수 있으며, XCP보다 훨씬 심각한 문제를 포함한다는 결과가 보고되었다.

4. 전개

소니 BMG는 자사 음반 CD에 복사 방지 기술인 XCP와 MediaMax CD-3을 적용했다. 이 소프트웨어는 사용자가 CD를 윈도우 컴퓨터에서 재생할 때 자동으로 설치되었으며, 루트킷을 설치하여 CD 재생 방식을 통제했다. 그러나 이 루트킷은 시스템을 다른 악성 코드의 침투에 취약하게 만드는 심각한 문제를 야기했다. 윈도우 외 다른 운영체제는 영향을 받지 않았다.

이 문제는 2005년 10월 31일, 당시 마이크로소프트의 자회사였던 윈터널스(Winternals) 소속 소프트웨어 엔지니어 마크 러시노비치가 자신의 블로그를 통해 XCP 소프트웨어의 기술적 분석 결과를 공개하며 처음으로 공론화되었다.[64] 그는 XCP가 사용자 몰래 설치되고 자신의 존재를 숨기는 루트킷 방식으로 작동하며, 디지털 권리 관리(DRM)가 도를 넘었다고 비판했다.

러시노비치의 문제 제기 직후 사건은 빠르게 확산되었다. 2005년 11월 1일 미국 캘리포니아주에서는 소비자 단체가 해당 CD 판매 중단과 손해 배상을 요구하는 민사 소송을 제기했다. 소니 BMG는 11월 2일 루트킷 제거용 패치를 배포했지만, 이는 불완전한 해결책이었고 오히려 추가적인 보안 문제를 일으킬 수 있다는 비판에 직면했다. 11월 4일에는 전문가들이 해당 패치의 위험성과 XCP의 비인가 패킷 통신 문제를 지적했다.[65] 보안 업체들은 XCP를 스파이웨어로 분류하기 시작했고, 마이크로소프트도 윈도우 업데이트를 통해 탐지 및 제거 기능을 제공하겠다고 발표했다.

사태는 더욱 악화되어, 11월 10일에는 소니 BMG가 XCP에 오픈 소스 오디오 코덱인 LAME의 코드를 무단으로 사용했을 수 있다는 의혹이 제기되었으며[66], 이는 LGPL 위반 가능성을 시사했다. 11월 17일에는 FAAC, mpg123 등 추가적인 라이선스 위반 의혹도 제기되었다.[63]

결국 소니 BMG는 11월 11일 문제 기술이 적용된 CD 생산을 일시 중단했고, 11월 16일에는 해당 CD의 리콜을 발표했다. 11월 21일에는 텍사스주 정부가 소니 BMG를 스파이웨어 관련 주법 위반 혐의로 제소했으며[70], 시민 단체 전자 프론티어 재단(EFF) 역시 XCP 및 MediaMax 기술이 적용된 CD에 대한 손해 배상 소송을 제기했다.

이 사건은 일본에서도 큰 영향을 미쳤다. 소니 뮤직 엔터테인먼트(SMEJ)나 BMG 재팬의 일본반 CD에는 해당 기술이 적용되지 않았지만, 수입된 해외 음반을 통해 일본 내에서도 감염 사례가 다수 보고되었다. 한 조사에 따르면[62], 당시 소니 루트킷에 감염된 컴퓨터가 있는 네트워크는 최소 568,200개에 달했으며, 이 중 일본이 21만 7천 개 이상으로 미국의 13만 개 이상을 크게 웃돌았다. 이에 아마존 재팬이나 타워 레코드 등 일부 판매처는 XCP 포함 CD 구매자에게 환불 조치를 시행했다.

또한 2005년 11월 28일, 프린스턴 대학교의 Ed Felten 교수는 소니 BMG의 또 다른 복사 방지 기술인 MediaMax 역시 윈도우뿐 아니라 Mac OS X에도 영향을 미치며, 특정 조건에서 사용자 동의 없이 설치될 수 있는 보안 문제를 지적했다.[71] 2005년 12월 8일에는 XCP의 취약점을 악용하는 'Antinny' 컴퓨터 바이러스까지 등장했다.

소니 BMG는 여러 집단 소송에 직면했고, 2006년에 걸쳐 합의를 진행했다. 2006년 5월 22일 미 연방 법원은 소비자 집단 소송 합의안을 최종 승인했으며[72][73], 12월 20일 캘리포니아주 소송에서 75만달러를, 12월 22일에는 매사추세츠주 등 40개 주와의 합의에서 425만달러를 지급하기로 했다.

다음은 사건의 주요 전개 과정을 정리한 표이다.

연도월일사건
2005년1031Winternals사 마크 러시노비치가 소니 BMG의 XCP 기술을 채용한 미국 내 CC CD에 루트킷 포함 및 삭제 어려움 등 문제를 블로그에서 지적[64]
11월1일미국 캘리포니아주에서 소비자 단체가 문제 CD 판매 중단 및 손해 배상 요구 민사 소송 제기.
2일소니 BMG, 패치 툴 출시. (실제로는 프로세스 은폐 중지 기능만 제공)
4일전문가들, 소니 BMG 패치의 컴퓨터 손상 가능성 및 XCP의 임의 패킷 통신 문제 지적[65]
10일소니 BMG CD에서 LAME 소스 코드 무단 사용 의혹 제기 (사실일 경우 LGPL 위반)[66]
11일소니 BMG, 문제 기술 사용 CD 생산 일시 중단 발표.
15일프린스턴 대학교 Ed Felten 교수, 소니 BMG 배포 웹 기반 언인스톨 툴의 심각한 보안 구멍 지적[67]
16일소니 BMG, 문제 기술 사용 CD 리콜 발표.
17일추가 GPL 위반 의혹(FAAC, mpg123) 제기[63], MediaMax 언인스톨러의 보안 구멍 지적[68]
21일LAME 프로젝트, 소니 BMG에 공개 질의서 발송[69]. 텍사스주, 소니 BMG를 스파이웨어 관련 주법 위반 혐의로 제소[70]. 전자 프론티어 재단(EFF), XCP 및 MediaMax 적용 CD 관련 손해 배상 청구.
28일Ed Felten 교수, MediaMax 관련 추가 문제 지적 (특정 조건 하 비동의 설치 가능성)[71]
12월8일XCP 취약점 악용 Antinny 컴퓨터 바이러스 보고됨.
2006년5월22일미 연방 법원, 소비자 집단 소송 합의안 최종 승인[72][73]
12월20일미 캘리포니아주 손해 배상 소송에서 75만달러 지급 합의.
22일미 매사추세츠주 등 40개 주와 425만달러 지급 합의.


4. 1. 문제 제기

2005년 10월 31일, 당시 윈터널스(Winternals) 소속의 소프트웨어 엔지니어였던 마크 러시노비치는 자신의 블로그에 소니 BMG의 음악 CD에 포함된 확장 복사 방지(XCP) 소프트웨어에 대한 기술적 분석 결과를 게시하며 문제를 처음 제기했다.[76][9] 그는 이 소프트웨어가 사용자 몰래 설치되고 자신의 존재를 숨기려 한다는 점에서 루트킷과 유사하다고 지적했다. 또한 최종 사용자 라이선스 계약(EULA)에 해당 소프트웨어 설치에 대한 언급이 없으며, 디지털 권리 관리(DRM)가 도를 넘었다고 비판했다.[9]

러시노비치는 XCP 소프트웨어와 관련하여 다음과 같은 여러 문제점을 발견했다.

  • 웜이나 바이러스 같은 악성 코드가 악용할 수 있는 보안 취약점을 만든다.
  • 보호된 CD 재생 여부와 관계없이 백그라운드 프로세스에서 지속적으로 실행되어 시스템 자원을 소모하고 컴퓨터 속도를 저하시킨다.
  • 안전하지 않은 방식으로 작동하여 시스템 충돌을 일으킬 수 있다.
  • 공식적인 제거 프로그램이 제공되지 않으며, 사용자가 임의로 제거를 시도할 경우 운영체제가 기존 드라이브를 인식하지 못하는 문제가 발생할 수 있다.


러시노비치의 분석이 공개된 직후, F-Secure와 같은 보안 업체들은 이 소프트웨어가 직접적인 악성 행위를 하지는 않지만, 악성 코드가 자신을 숨기는 데 사용하는 것과 동일한 루트킷 기술을 사용한다는 점을 지적하며 상업용 소프트웨어에 이러한 기술을 사용하는 것은 매우 부적절하다고 비판했다.[77][10] 대중의 압력 이후, 시만텍[11]과 다른 백신 공급업체들도 자사 제품에 루트킷 감지 기능을 포함시켰으며, 마이크로소프트는 자사의 보안 패치에 감지 및 제거 기능을 포함할 것이라고 발표했다.[12] 실제로 러시노비치의 보고서가 나온 지 얼마 지나지 않아 XCP의 보안 취약점을 악용하는 트로이 목마와 웜이 등장했다.[13] 일부는 이 취약점을 온라인 게임 부정행위에 이용하기도 했다.[14]

사태가 확산되자 소니 BMG는 영향을 받은 마이크로소프트 윈도우 컴퓨터에서 XCP의 루트킷 구성 요소를 제거하는 소프트웨어를 신속하게 출시했지만,[15] 러시노비치는 이 유틸리티를 분석한 후 자신의 블로그에 이는 보안 문제를 악화시킬 뿐만 아니라 개인 정보 보호에 대한 추가적인 우려를 제기한다고 보고했다.[16] 러시노비치는 제거 프로그램이 루트킷에 의해 설치된 숨겨진 파일을 드러낼 뿐 실제로 루트킷을 제거하지는 않는다고 지적했다. 그는 또한 제거할 수 없는 추가 소프트웨어를 설치한다고 보고했다. 제거 프로그램을 다운로드하려면 이메일 주소를 제공해야 했고(소니 BMG 개인 정보 보호 정책에 따라 다양한 대량 메일 목록에 추가될 수 있음) ActiveX 컨트롤을 설치해야 했는데, 여기에는 백도어 방식이 포함되어 있었고("스크립팅에 안전"으로 표시되어 악용되기 쉬움) [17][18] 마이크로소프트는 나중에 해당 ActiveX 컨트롤에 대한 킬비트를 발행했다.[17][18]

NPR은 2005년 11월 4일에 이 스캔들에 대해 보도한 주요 뉴스 매체 중 하나였으며, 당시 토마스 헤세 소니 BMG 글로벌 디지털 비즈니스 사장의 "대부분의 사람들은 루트킷이 뭔지도 모릅니다. 그런데 왜 신경 써야 하겠어요?"라는 발언이 논란이 되기도 했다.[54] vnunet.com[55], 보스턴 글로브[56] 등 다른 언론들도 이 문제를 보도하기 시작했다. 특히 보스턴 글로브는 해당 소프트웨어를 스파이웨어로 규정했으며, 컴퓨터 어소시에이츠는 XCP가 사용자의 CD 재생 정보와 IP 주소 같은 개인 정보를 소니 BMG로 전송한다고 확인하고 자사의 보안 제품에서 이를 스파이웨어로 분류했다.[56][57]

이 사건은 소니 BMG가 저작권 보호 프로그램에 사용한 LAME 코드가 GNU 일반 공중 사용 허가서(LGPL)를 위반했다는 사실까지 드러나는 계기가 되었다.[66]

4. 2. 보안 업계의 경고

2005년 10월 31일, 마크 러시노비치는 자신의 블로그에 소니 BMG 음악 CD에 포함된 XCP 소프트웨어의 기술 분석 결과를 게시하며 문제를 제기했다.[76][9] 그는 이 소프트웨어가 사용자 동의 없이 몰래 설치되어 루트킷처럼 작동하며, 시스템에 보안 취약점을 만든다고 경고했다.[9]

백신 소프트웨어 회사인 F-Secure는 러시노비치의 분석에 동의하며 공식적인 경고를 발표했다. F-Secure는 "이 소프트웨어가 직접적으로 해를 입히지는 않지만, 기술을 숨기는 데 사용된 루트킷은 악성 소프트웨어가 자신들을 숨기기 위해 사용하는 것과 똑같다"고 지적하며,[77][10] 이러한 기술이 상업용 소프트웨어에 사용되는 것은 매우 부적절하다고 강조했다.[77][10]

이러한 문제 제기와 여론의 압박 속에서 다른 보안 업체들도 대응에 나섰다. 시만텍[11]과 컴퓨터 어소시에이츠는 XCP 소프트웨어를 스파이웨어 또는 위험 요소로 분류하고 자사 제품에 탐지 및 제거 기능을 추가했다.[57] 마이크로소프트 역시 보안 업데이트를 통해 해당 루트킷의 탐지 및 제거 기능을 제공하겠다고 발표했다.[12] 특히 컴퓨터 어소시에이츠는 2005년 11월 8일, 소니 BMG의 소프트웨어를 공식적으로 스파이웨어로 분류하고 자체 제거 도구를 제공했다.[57]

보안 업계의 경고는 단순한 우려가 아니었다. 러시노비치의 분석 직후 XCP의 보안 취약점을 악용하는 트로이 목마와 웜이 실제로 등장했으며,[13] 심지어 이를 온라인 게임 부정행위에 악용하는 사례도 나타났다.[14] 2005년 11월 10일에는 소니 BMG의 루트킷 기술을 이용해 자신을 숨기는 최초의 악성 바이러스가 발견되기도 했다.[59]

한편, 소니 BMG가 배포한 초기 제거 프로그램 자체에서도 문제가 발견되었다. ZDNet 뉴스는 소니 BMG의 또 다른 복제 방지 기술 제공 업체인 선컴 테크놀로지가 배포한 제거 프로그램에 외부 공격자가 해당 PC를 원격으로 제어할 수 있게 만드는 심각한 보안 결함이 존재한다고 보도했다.[60]

4. 3. 소니 BMG의 대응

마크 러시노비치가 2005년 10월 31일 자신의 블로그에 루트킷 문제를 제기하자[9], 소니 BMG는 영향을 받은 마이크로소프트 윈도우 컴퓨터에서 XCP의 루트킷 구성 요소를 제거하는 소프트웨어를 배포했다.[15] 그러나 러시노비치는 이 유틸리티를 분석한 후, 이것이 루트킷이 설치한 숨겨진 파일을 드러낼 뿐 실제 루트킷을 제거하지 않으며, 제거할 수 없는 추가 소프트웨어를 설치하고, ActiveX 컨트롤을 통해 백도어를 만들어 오히려 보안 문제를 악화시킨다고 지적했다.[16][17][18] 게다가 이 프로그램을 다운로드 받기 위해서는 사용자에게 전자 우편 주소를 제공하도록 요구했다.[16]

NPR과의 2005년 11월 4일 인터뷰에서 토마스 헤세 소니 BMG 글로벌 디지털 비즈니스 사장은 "대부분의 사람들은 루트킷이 뭔지도 모릅니다. 그런데 왜 신경 써야 하겠어요?"라고 발언하여 여론의 비판을 받았다.[54]

2005년 11월 8일, 보안 업체 컴퓨터 어소시에이츠는 소니 BMG의 소프트웨어를 스파이웨어로 분류하고 제거 도구를 제공했으며,[57] F-시큐어,[10] 시만텍[11] 등 다른 백신 업체들도 자사 제품에 루트킷 탐지 기능을 추가했다. 마이크로소프트 역시 자사의 보안 패치에 루트킷 탐지 및 제거 기능을 포함할 것이라고 발표했다.[12]

비판이 거세지자 소니 BMG는 2005년 11월 11일 해당 기술이 사용된 CD의 생산을 일시 중단한다고 발표했고, 11월 16일에는 해당 CD의 리콜을 결정했다. 11월 18일에는 "새롭고 개선된" 제거 도구를 제공했다. 12월 6일에는 또 다른 복사 방지 기술인 MediaMax 5 소프트웨어가 포함된 CD가 27개 타이틀에 걸쳐 570만 장 배포되었음을 밝히고, 이와 관련된 잠재적 보안 침해를 막기 위한 새로운 소프트웨어 패치를 제공한다고 발표했다.

이후 소니 BMG는 미국 내 여러 소비자 단체 및 주 정부들과의 집단 소송에서 손해 배상에 합의했다. 2006년 12월 20일 캘리포니아주 소송에서 75만달러를 소비자 단체 등에 지급하기로 합의했고, 12월 22일에는 매사추세츠주 등 40개 주와 425만달러를 지급하는 것으로 합의했다.

다음은 사건 발생 이후 소니 BMG의 주요 대응 일지이다.

연도월일사건
2005년1031마크 러시노비치가 소니 BMG의 XCP 기술에 루트킷이 포함되어 있음을 지적.[64]
11월1일미국 캘리포니아주에서 소비자 단체가 문제의 CD 판매 중단과 손해 배상을 요구하는 민사 소송 제기.
2일소니 BMG, 루트킷 제거 패치 툴 출시 발표. 그러나 실제로는 은폐 기능만 중지시키는 것으로 밝혀짐.
4일소니 BMG 글로벌 디지털 비즈니스 사장, NPR 인터뷰에서 문제의 심각성을 축소하는 듯한 발언으로 논란.[54] 전문가들은 패치 설치 시 컴퓨터 손상 가능성 및 임의 패킷 통신 문제를 지적.[65]
10일소니 BMG CD에서 LAME 소스 코드 무단 사용 의혹 제기됨. 사실일 경우 LGPL 위반.[66]
11일소니 BMG, 문제 기술 사용 CD 생산 일시 중단 발표.
15일프린스턴 대학교 Ed Felten 교수, 소니 BMG가 배포한 웹 기반 언인스톨 툴의 심각한 보안 구멍 지적.[67]
16일소니 BMG, 문제 기술 사용 CD 리콜 발표.
18일소니 BMG, "개선된" 제거 도구 제공 시작.
12월6일소니 BMG, MediaMax 5 소프트웨어 포함 CD 570만 장 배포 사실 공개 및 보안 패치 제공 발표.
2006년5월22일미 연방 법원 판사, 소비자 집단 소송 합의안 최종 승인.[72][73]
12월20일미 캘리포니아주 손해 배상 소송에서 75만달러를 소비자 단체 등에 지급하는 것으로 합의.
22일미 매사추세츠주 등 40개 주와 425만달러를 지급하는 것으로 합의.


5. 법률적, 경제적 문제

소니 BMG가 자사 음반 CD에 탑재한 복사 방지 기술인 XCP와 MediaMax CD-3는 사용자 동의 없이 컴퓨터에 루트킷을 설치하여 심각한 보안 취약점을 야기했다. 이는 사용자의 컴퓨터 시스템을 통제하려는 시도였으나, 결과적으로 다른 악성 코드의 침입 경로를 열어주는 문제를 낳았다. 이러한 행위는 여러 법적, 경제적 문제를 일으켰는데, 특히 사용자에게 루트킷 설치 사실을 명확히 알리지 않고 동의 없이 프로그램을 설치한 점, 루트킷을 통해 특정 파일과 프로세스를 숨겨 백신 소프트웨어의 탐지를 회피한 점, 프로그램을 잘못 제거할 경우 광학 드라이브 사용 불능과 같은 시스템 문제를 일으킬 수 있다는 점, 초기 제거 프로그램 자체에 심각한 보안 취약점이 존재했던 점, 그리고 저작권 보호라는 명목으로 사용자의 재산권을 침해하고 컴퓨터 시스템을 임의로 변경한 점 등이 큰 비판을 받았다.[63]

이러한 문제들로 인해 여러 단체들이 소니 BMG를 상대로 집단소송을 제기했으며, 결국 소니 BMG는 문제가 된 CD를 리콜하는 등 상당한 경제적 손실을 감수해야 했다. 또한, 이 과정에서 복사 방지 프로그램 개발에 사용된 자유-오픈 소스 소프트웨어(LAME 등)의 라이선스를 위반하여 저작권 침해 문제까지 불거졌다.[63]

5. 1. 제품 리콜

2005년 11월 15일, 소니 BMG는 자사 음반 CD에 포함된 XCP 기술과 관련하여, 매장에서 판매되지 않은 CD를 회수하고 소비자들에게 해당 소프트웨어가 없는 버전으로 교환해 주겠다고 발표했다.[78][19] 전자 프론티어 재단은 XCP가 포함된 CD의 부분 목록을 정리했다.[20] 그러나 소니 BMG는 수많은 바이러스와 맬웨어 감염 사례 보고에도 불구하고, 자사의 복제 방지 기술과 관련된 보안 위험은 없다는 입장을 고수했다.[78][19]

다음 날인 11월 16일, 미국 국토안보부 산하 US-CERT(United States Computer Emergency Readiness Team)는 XCP 복제 방지 기술에 대한 주의보를 내렸다. US-CERT는 XCP가 사용자로부터 특정 파일을 숨기기 위해 루트킷 기술을 사용하며, 이 기술 자체가 사용자의 컴퓨터에 보안 취약점이 될 수 있다고 지적했다. 또한 소니 BMG가 제공한 제거 프로그램 중 하나가 오히려 추가적인 취약점을 유발한다고 언급하며, "소프트웨어가 포함될 것으로 예상하지 않는 출처, 예를 들어 오디오 CD에서 소프트웨어를 설치하지 말라"고 권고했다.[79][21]

소니 BMG는 소매점들에게 해당 소프트웨어가 포함된 판매되지 않은 음악 디스크를 진열대에서 제거하도록 지시했다고 밝혔다.[22] 인터넷 보안 전문가 댄 카민스키는 당시 XCP 루트킷이 최소 50만 개 이상의 네트워크에서 사용되고 있는 것으로 추정했다.[23] 소니 BMG의 FAQ에 따르면, XCP 기술이 적용된 CD는 CD 주얼 케이스 뒷면에 "XCP" 문자가 인쇄되어 있어 식별할 수 있었다.[24]

11월 18일, 로이터 통신은 소니 BMG가 문제가 된 CD를 보호 기술이 없는 새 디스크나 MP3 파일로 교환해 줄 것이라고 보도했다.[25] 교환 프로그램을 통해 소비자는 XCP가 포함된 CD를 소니 BMG로 우편 발송하면 보호 기술이 없는 디스크를 받을 수 있었다.

하지만 리콜 발표 이후에도 문제는 계속되었다. 11월 29일, 뉴욕 검찰총장 엘리엇 스피처의 조사관들은 리콜 발표에도 불구하고 XCP가 포함된 소니 BMG CD가 여전히 일부 뉴욕시 음반 매장에서 판매되고 있음을 발견했다. 스피처는 "이 심각한 취약점이 드러난 지 3주가 넘었음에도 불구하고, 연중 가장 붐비는 쇼핑 기간에 이러한 CD가 여전히 진열대에 있다는 것은 용납할 수 없다"며 모든 소매업체의 즉각적인 판매 중단과 반품을 촉구했다.[26] 다음 날인 11월 30일, 매사추세츠 검찰총장 톰 레일리 역시 보스턴 지역에서 XCP 포함 CD가 계속 판매되고 있다고 발표하며 소비자들에게 구매 자제를 권고하고 소니 BMG에 대한 조사를 진행 중이라고 밝혔다.[27]

이후 소니 BMG는 웹사이트를 통해 "XCP 및 MediaMax 콘텐츠 보호 관련 집단 소송 합의 정보"[28]에 대한 링크를 제공하고, 소비자들이 온라인으로 청구를 제기하거나 소프트웨어 업데이트 및 제거 프로그램을 받을 수 있도록 안내했다. 청구 제출 마감일은 2007년 6월 30일이었으며, 웹사이트에서는 사건에 대한 설명과 영향을 받은 모든 CD 목록을 제공했다.[29] 아마존 재팬이나 타워 레코드 등 일본의 일부 판매처에서도 'XCP'가 포함된 CD 구매자에게 구매 대금을 환불하는 조치를 취했다.

5. 2. 소송

소니 BMG의 루트킷 설치 사실이 알려지면서 미국 내 여러 주에서 법적 대응이 시작되었다. 2005년 11월, 텍사스주 법무장관은 주 차원에서 처음으로 소니 BMG를 고소했으며, 같은 달 뉴욕과 캘리포니아에서도 집단소송이 제기되었다.[80][35] 이 소송들은 소니 BMG가 소비자의 동의 없이 스파이웨어와 유사한 루트킷을 설치하여 피해를 입혔다는 점을 주요 쟁점으로 삼았다.

이러한 법적 압박 속에서 소니 BMG는 2005년 12월 30일, 소송 당사자들과 잠정 합의에 도달했다.[81][36] 합의안에 따라 해당 CD를 구매한 소비자들은 CD 한 장당 7.5달러의 금전적 보상을 받거나, 무료 앨범 다운로드 혜택을 선택할 수 있게 되었다.[81][36]

이후 2007년 1월 30일, 미국 연방거래위원회(FTC)는 소니 BMG와의 최종 합의안을 발표했다.[82][41] FTC는 소니 BMG의 행위가 불공정하고 기만적인 사업 관행에 해당한다고 판단했으며, 합의를 통해 소니 BMG는 루트킷 제거 과정 등에서 발생한 소비자 피해에 대해 최대 150USD까지 보상하도록 했다.[41][82] 또한, 향후 발매되는 CD에는 복제나 재생 제한에 대한 정보를 명확히 표시하고, 소비자의 명시적인 동의 없이 복사 방지 프로그램을 설치하지 못하도록 하는 조치도 포함되었다.[41][82]

5. 2. 1. 텍사스 주 소송

2005년 11월 21일, 텍사스 주 법무장관 그레그 애보트는 소니 BMG를 상대로 소송을 제기했다.[30] 이는 미국 주 정부 차원에서 제기된 첫 번째 소송이었으며, 텍사스 주의 2005년 스파이웨어 관련 법률에 따라 제기된 최초의 소송이기도 했다. 소송의 주요 내용은 소니 BMG가 수백만 장의 CD에 사용자 몰래 스파이웨어를 설치했다는 주장이었다.

같은 해 12월 21일, 애벗 법무장관은 소송에 MediaMax 소프트웨어 관련 혐의를 추가했다.[31] 사용자가 라이선스 계약에 동의하지 않더라도 MediaMax 소프트웨어가 컴퓨터에 설치되는 점이 주의 스파이웨어 및 기만적인 상거래 행위 관련 법률을 위반했다는 것이다. 애벗은 "우리는 소니가 단순히 음악을 산 줄 알았던 텍사스 소비자들을 속이기 위해 사용한 추가적인 방법을 계속 발견하고 있습니다."라고 말하며, "수천 명의 텍사스 주민들이 소니가 자신의 목적을 위해 소비자들과 벌인 이 기만적인 게임의 잠재적 피해자가 되었습니다."라고 비판했다.

텍사스 주의 2005년 '컴퓨터 스파이웨어로부터의 소비자 보호법' 위반 시에는 각 위반 건당 최대 10만달러의 민사 처벌이 가능했으며, 추가된 혐의에 대해서는 위반 건당 최대 2만달러의 처벌이 가능했다.[32][33]

결과적으로 소니 BMG는 텍사스 주와의 합의를 통해 법적 비용으로 75만달러를 지불하고, 영향을 받은 CD를 고객으로부터 회수하며, 자사 홈페이지에 상세한 공지를 눈에 띄게 게시하고, 구글, 야후!, MSN 등 주요 검색 엔진에 관련 키워드 광고를 구매하여 소비자에게 경고하는 등의 조치를 취하기로 했다. 또한, 소프트웨어로 인해 손상된 컴퓨터에 대해서는 최대 150USD까지 보상하고 기타 구제책에 동의하라는 명령을 받았다. 소니 BMG는 이 법적 합의가 어떤 방식으로든 법원의 승인을 의미한다고 주장하지 않기로 합의해야 했다.[34]

5. 2. 2. 뉴욕 및 캘리포니아 집단 소송

2005년 11월, 뉴욕과 캘리포니아에서 소니 BMG를 상대로 한 집단소송이 제기되었다.[80][35] 이는 텍사스주 법무장관이 제기한 소송과 함께 소니 BMG 루트킷 사건에 대한 주요 법적 대응 중 하나였다.

같은 해 12월 30일, 뉴욕 타임스는 소니 BMG가 이들 소송에 대해 잠정적인 합의에 도달했다고 보도했다.[36] 합의안에 따르면, 문제가 된 XCP 기술이 포함된 CD를 구매한 소비자들은 구매한 CD 한 장당 7.5달러를 현금으로 보상받거나, 현금 보상 대신 무료 앨범 다운로드(제한된 목록에서 1개 또는 3개의 앨범)를 선택할 수 있는 기회를 제공받았다.[81][36] 이 합의는 주로 컴퓨터가 루트킷에 감염되었으나 다른 심각한 피해는 입지 않은 소비자들을 대상으로 마련되었다. 만약 소비자가 이 합의에서 다루지 않은 추가적인 손해를 입었다고 판단할 경우, 합의에서 제외되어 개별적인 소송을 진행할 수 있었다.

2006년 1월 6일, 지방 판사 나오미 라이스 부흐월드는 이 잠정 합의를 승인하는 명령을 내렸다.[36] 같은 해 5월 22일에는 뉴욕에서 합의의 공정성을 검토하기 위한 심리가 열렸다. 소비자들은 2006년 12월 31일까지 보상 청구를 제출해야 했으며, 합의에서 제외되기를 원하는 경우에는 2006년 5월 1일 이전에 신청해야 했다. 합의에 남기로 결정한 소비자들은 자신의 비용을 부담하여 공정성 심리에 직접 참석해 의견을 진술하거나, 변호사를 선임하여 입장을 대리할 수 있었다.

한편, 캘리포니아주에서 진행된 손해 배상 소송과 관련해서는 2006년 12월 20일, 소니 BMG가 소비자 단체 등에 75만달러를 지급하는 것으로 합의가 이루어졌다.

5. 2. 3. 기타 소송

2005년 11월 25일, 텍사스주 법무장관 그렉 애벗은 소니 BMG를 상대로 소송을 제기했다. 이는 소니 BMG에 대해 주 차원에서 법적으로 대응한 첫 사례였으며, 2005년 텍사스주에서 제정된 스파이웨어 관련 법에 따라 제기된 첫 소송이기도 했다. 같은 해 12월 21일, 애벗은 기존 소송에 미디어맥스(MediaMax) 관련 혐의를 추가했다. MediaMax가 사용자의 동의 여부와 관계없이 설치된다는 점이 주의 스파이웨어 및 불공정거래행위 관련 법에 위배된다는 이유였다.

같은 해 11월에는 뉴욕과 캘리포니아에서도 소니 BMG에 대한 집단소송이 제기되었다.[80]

11월 21일, 전자 프런티어 재단(EFF)은 확장 복사 방지(XCP) 및 SunnComm의 미디어맥스(MediaMax) DRM 기술에 대한 소송을 제기할 것이라고 발표했다. EFF 소송에는 소니 BMG 최종 사용자 라이선스 계약과 관련된 문제도 포함되었다.

2005년 12월 24일에는 플로리다주 법무장관 찰리 크리스트가 소니 BMG 스파이웨어를 조사하고 있다는 보도가 나왔다.[40]

2005년 12월 30일, 소니 BMG는 소송에 대한 잠정 합의에 도달했다. 이 합의에 따라 해당 CD를 구매한 소비자들은 7.5USD씩 금전적으로 보상받고, 무료 앨범을 다운로드할 수 있는 기회를 얻게 되었다.[81]

한편, 이탈리아에서는 EFF와 유사한 단체인 ALCEI가 루트킷에 대한 기술 분석 자료와 함께 다양한 컴퓨터 범죄 혐의로 금융 경찰에 해당 루트킷을 신고하여 조사를 요청했다.[37][38]

미국 법무부는 소니에 대한 형사 소송 제기 여부에 대해 명확한 입장을 밝히지 않았다. 그러나 미국 국토안보부의 스튜어트 베이커는 소니를 공개적으로 비난하며 "그것은 당신의 지적 재산이지, 당신의 컴퓨터가 아니다"라고 발언했다.[39]

2007년 1월 30일, 미국 연방거래위원회(FTC)는 소니 BMG와의 합의안을 최종 발표했다.[82] FTC는 소니 BMG의 CD 복제 방지 기술이 불공정하고 기만적인 사업 관행을 통해 연방거래위원회법 15 USC 45(a)의 섹션 5(a)를 위반했다는 혐의로 소니 BMG와 합의했다고 밝혔다.[41] 이 합의에 따라 소니 BMG는 소비자가 동의 없이 설치된 소프트웨어를 제거하려다 발생한 직접적인 피해에 대해 최대 150USD까지 보상해야 했다.[41][82] 또한, 앞으로 발매되는 CD 포장에는 복제나 재생 장치 사용 제한 사항을 명확하고 눈에 띄게 공개해야 하며, 소비자의 명시적인 승인 없이는 콘텐츠 보호 소프트웨어를 설치하는 것이 금지되었다.[41][82] 당시 FTC 의장이었던 데보라 플랫 메이저라스는 "보안 위험을 초래하는 비밀 소프트웨어 설치는 침해적이며 불법입니다. 소비자의 컴퓨터는 소비자의 소유이며, 회사는 소비자가 해당 콘텐츠 구매 및 설치 여부에 대해 정보에 입각한 결정을 내릴 수 있도록 제품 사용에 대한 예상치 못한 제한 사항을 적절하게 공개해야 합니다."라고 덧붙였다.[43][44]

5. 3. 저작권 침해

소니 BMG 루트킷 사건 과정에서, 소니 BMG가 자사의 복사 방지 기술인 XCP(Extended Copy Protection)와 MediaMax CD-3에 사용된 자유-오픈 소스 소프트웨어의 라이선스를 준수하지 않아 저작권을 침해했다는 사실이 드러났다.[45][46]

연구원들은 소니 BMG와 XCP 제작자가 다음과 같은 오픈 소스 소프트웨어의 라이선스 요구 사항을 위반했다고 지적했다.

소프트웨어관련 정보
LAMEMP3 인코더[47]
mpglib[48]
FAAC[49]
id3lib[50]
mpg123[51]
VLC 미디어 플레이어[51]



특히 LAME 코드의 경우, GNU 일반 공중 사용 허가서(LGPL)를 위반한 것으로 밝혀졌다. 2005년 11월 10일, 소니 BMG CD에서 LAME 소스를 무단으로 사용한 정황이 있다는 보도가 나왔으며,[66] 이는 LGPL 위반에 해당할 수 있다는 지적이 제기되었다. 이어 같은 해 11월 17일에는 FAAC와 mpg123의 소스 코드 역시 무단으로 사용되어 GPL을 위반했다는 추가 지적이 나왔다.[63]

이에 대해 LAME 개발자들은 2006년 1월 공개 서한을 통해, 소니 BMG가 적절한 조치를 취할 것으로 기대하지만 LAME 소스 코드의 라이선스 위반 여부에 대해 직접 조사하거나 법적 조치를 취할 계획은 없다고 밝혔다.[52]

6. 사건의 영향

소니 BMG가 음반 CD에 적용한 XCP와 MediaMax CD-3 복사 방지 기술은 사용자 동의 없이 컴퓨터에 루트킷을 설치하는 방식으로 작동했다. 이 루트킷은 마이크로소프트 윈도우 시스템의 CD 재생 방식을 통제했지만, 동시에 시스템을 다른 악성 코드 공격에 취약하게 만드는 심각한 보안 문제를 일으켰다. 이 문제는 마이크로소프트의 마크 러시노비치에 의해 처음 발견 및 공론화되었으며, 윈도우 외 다른 운영체제 사용자는 영향을 받지 않았다.

이 사건으로 인해 소니 BMG는 여러 단체로부터 소송을 당했고, 결국 문제가 된 CD를 리콜했다. 마이크로소프트는 XCP를 악성 소프트웨어로 공식 인정했으며, 소니 BMG는 마이크로소프트와 협력하여 제거 도구를 배포했다.

조사 과정에서 소니 BMG가 저작권 보호 프로그램에 사용한 LAME 코드가 GNU 일반 공중 사용 허가서(GPL)를 위반했다는 사실도 밝혀졌다. 또한 해커들의 리버스 엔지니어링을 통해 Mac OS X에도 영향을 미치는 더 심각한 문제를 가진 MediaMax 기술의 존재도 드러났다. 2005년 12월에는 XCP의 취약점을 악용한 'Antinny' 컴퓨터 바이러스가 보고되기도 했다.

일본에서는 현지 발매 음반에는 해당 기술이 없었으나 수입 음반을 통한 감염 사례가 많았다. 한 조사[62]에 따르면 일본 내 감염 컴퓨터 수가 미국보다 많았으며, 이에 아마존 재팬 등은 관련 CD 구매자에게 환불 조치를 시행했다. SMEJ는 이 문제에 대한 공식 입장을 발표했다.

6. 1. 사회적 영향

이 사건은 디지털 저작권 관리(DRM) 기술이 소비자의 권익을 침해하고 시스템 보안에 심각한 위협을 초래할 수 있다는 사회적 경각심을 불러일으켰다. 소니 BMG가 사용한 XCP 및 MediaMax CD-3 소프트웨어는 사용자의 명시적인 동의 없이 루트킷을 설치하여 시스템을 통제하려 했으며, 이는 여러 심각한 문제를 일으켰다.

마이크로소프트 윈도우 환경에서 발생한 주요 문제점들은 다음과 같다.

  • '''사용자 동의 없는 설치 및 은폐:''' 프로그램 이용 약관에 루트킷 설치 사실을 명확히 고지하지 않아 사용자의 동의 없이 중요한 시스템 변경을 감행했다. 또한, `$sys$`로 시작하는 파일이나 프로세스를 숨겨 사용자가 인지하기 어렵게 만들었을 뿐만 아니라, 백신 소프트웨어의 탐지까지 회피했다.
  • '''시스템 불안정 및 손상 위험:''' 해당 프로그램을 일반적인 방법으로 제거하지 않고 수동으로 삭제할 경우, 광학 드라이브가 정상적으로 작동하지 않는 심각한 문제가 발생할 수 있었다.
  • '''추가적인 보안 위협:''' 루트킷의 존재 자체만으로도 시스템이 다른 악성 코드에 취약해지는 결과를 초래했다. 더 나아가, 소니 BMG가 문제를 해결하기 위해 배포한 초기 제거 프로그램(ActiveX 버전)에는 어떤 웹사이트에서든 임의의 소스 코드를 실행할 수 있는 치명적인 보안 구멍이 포함되어 있어 사용자들을 더 큰 위험에 노출했다.
  • '''개인 정보 요구:''' 문제가 된 루트킷 제거 프로그램을 받기 위해 사용자에게 불필요한 개인 정보 제공을 요구했다는 점도 비판을 받았다.
  • '''소비자 재산권 침해 논란:''' 저작권이라는 지적 재산권 보호를 명목으로 사용자의 컴퓨터 시스템을 임의로 변경하고 통제하려 한 행위는 사용자의 재산권을 침해하는 것이라는 비판을 받았다.


이 외에도 소니 BMG는 애플 아이튠즈의 DRM 기술인 페어플레이를 회피하기 위한 툴의 소스 코드를 무단으로 사용했다는 의혹을 받았으며[63], 저작권 보호 프로그램에 사용된 LAME 코드가 GNU 일반 공중 사용 허가서(GPL)를 위반했다는 사실이 드러나면서 기업의 윤리적 책임에 대한 논란을 키웠다.

결국 여러 소비자 단체와 개인들이 소니 BMG를 상대로 집단 소송을 제기했으며, 회사는 문제가 된 CD를 전량 리콜했다. 이 사건은 기업이 기술을 적용함에 있어 소비자의 권리와 안전을 최우선으로 고려해야 하며, 투명하고 윤리적인 경영이 중요함을 보여주는 사례로 남았다.

6. 2. 기술적 영향

소니 BMG는 자사 음반 CD에 복사 방지 기술인 Extended Copy Protection (XCP)와 MediaMax CD-3를 적용했다. 이 소프트웨어는 사용자가 CD를 컴퓨터에서 재생할 때 사용자 동의 없이 자동으로 마이크로소프트 윈도우 시스템에 설치되었다. 설치된 소프트웨어에는 루트킷 기술이 포함되어 있어, 윈도우가 CD를 재생하는 일반적인 방식을 통제했다. 하지만 이 루트킷은 시스템의 보안을 심각하게 저해하여 다른 악성 코드의 침투에 취약하게 만드는 문제점을 안고 있었다. 이러한 기술적 결함과 위험성은 마이크로소프트의 소프트웨어 엔지니어인 마크 러시노비치에 의해 처음 발견되어 세상에 알려졌다. 이 문제는 마이크로소프트 윈도우 운영체제 사용자에게만 영향을 미쳤으며, 다른 운영체제는 해당되지 않았다.

또한 이 사건을 조사하는 과정에서 소니 BMG가 저작권 보호 프로그램에 사용한 LAME 오디오 인코딩 라이브러리 코드가 오픈 소스임에도 불구하고, 해당 코드의 라이선스인 GNU 일반 공중 사용 허가서(GPL)를 준수하지 않았다는 사실이 드러났다. 이는 기업이 오픈 소스 소프트웨어를 사용할 때 라이선스 규약을 철저히 지켜야 한다는 점을 보여주는 사례가 되었다.

6. 3. 일본에서의 영향

소니 뮤직 엔터테인먼트(SMEJ)나 BMG 재팬에서 발매된 일본 내수용 음반에는 문제의 카피 컨트롤 CD(CCCD) 기술이 적용되지 않았다. 따라서 일본 내 정식 발매반에는 해당 루트킷 설치 위험이 없었다. 다만, 해외에서 제작되어 수입된 음반 중에는 XCP 소프트웨어가 포함된 경우가 있어 주의가 필요했다.

그러나 한 조사 결과[62], 전 세계적으로 최소 568,200개의 네트워크에 연결된 컴퓨터가 소니 BMG의 멀웨어에 감염되었으며, 이 중 일본 내 감염 컴퓨터 수가 21만 7천 대 이상으로 확인되어 미국의 13만 대 이상을 크게 웃도는 것으로 나타났다. 이는 수입 음반 등을 통해 일본 내 사용자들에게도 상당한 피해가 발생했음을 시사한다. 이 때문에 일부 일본 사용자들 사이에서는 다른 종류의 CCCD에도 유사한 보안 문제가 숨겨져 있는 것이 아닌지에 대한 우려가 커졌다.

사태가 확산되자 아마존 재팬이나 타워 레코드와 같은 일본 내 주요 음반 판매처들은 'XCP'가 포함된 CD를 구매한 소비자들에게 구매 대금을 환불하는 조치를 취했다.

한편, 소니 뮤직 엔터테인먼트(SMEJ)는 이 'XCP' 문제에 대한 공식적인 견해를 발표하기도 했다.

참조

[1] 웹사이트 Sony Exec: We Will Beat Napster http://www.nyfairuse[...] 2000-08-17
[2] 웹사이트 BMG to replace anti-rip Natalie Imbruglia CDs https://www.theregis[...] The Register 2009-08-24
[3] 웹사이트 Customers put kibosh on anti-copy CD http://news.cnet.com[...] CNET 2009-08-24
[4] 웹사이트 NSync CD is copy protection 'experiment' https://www.newscien[...] New Scientist 2009-08-24
[5] 뉴스 Sony: Downbeat for a new online music battle http://archives.cnn.[...] International Data Group 2009-09-26
[6] 웹사이트 'No more music CDs without copy protection', claims BMG unit https://www.theregis[...] The Register 2009-08-24
[7] 웹사이트 Sony BMG Litigation Info https://www.eff.org/[...] 2013-04-10
[8] 웹사이트 "Anti-Piracy CD Problems Vex Sony" http://news.bbc.co.u[...] BBC News 2006-11-22
[9] 웹사이트 Sony, Rootkits and Digital Rights Management Gone Too Far http://blogs.technet[...] Microsoft MSDN 2009-07-29
[10] 웹사이트 F-Secure Rootkit Information : XCP DRM Software http://www.f-secure.[...] 2006-11-01
[11] 웹사이트 SecurityRisk.First4DRM http://www.symantec.[...] 2006-11-22
[12] 웹사이트 Sony's DRM Rootkit: The Real Story http://www.schneier.[...] 2006-11-22
[13] 웹사이트 Viruses use Sony anti-piracy CDs http://news.bbc.co.u[...] BBC News 2005-11-11
[14] 웹사이트 World of Warcraft hackers using Sony BMG rootkit https://www.theregis[...] 2017-08-10
[15] 웹사이트 Information about XCP protected CDs http://cp.sonybmg.co[...] 2011-06-20
[16] 웹사이트 More on Sony: Dangerous Decloaking Patch, EULAs and Phoning Home http://blogs.technet[...] 2006-11-22
[17] 웹사이트 Muzzy's research about Sony's XCP DRM system http://hack.fi/~muzz[...] 2014-06-21
[18] 웹사이트 Attack targets Sony 'rootkit' fix https://www.cnet.com[...] 2020-05-13
[19] 웹사이트 Sony backs out of rootkit anti-piracy scheme http://www.vnunet.co[...] 2005-11-15
[20] 웹사이트 Updated Sony BMG DRM Spotter's Guide {{pipe}} Electronic Frontier Foundation https://www.eff.org/[...] Eff.org 2011-10-22
[21] 웹사이트 First 4 Internet XCP DRM Vulnerabilities http://www.us-cert.g[...] 2006-11-22
[22] 웹사이트 Sony BMG bows to pressure http://news.ft.com/c[...] Financial Times 2006-11-22
[23] 웹사이트 More pain for Sony over CD code http://news.bbc.co.u[...] BBC News 2006-11-22
[24] 웹사이트 SonyBMG's XCP FAQ http://cp.sonybmg.co[...]
[25] 웹사이트 Business News & Financial News {{pipe}} Reuters http://today.reuters[...] 2005-11-19
[26] 웹사이트 Spitzer Gets on Sony BMG's Case http://businessweek.[...] 2006-11-22
[27] 웹사이트 Office of the Attorney General http://www.ago.state[...] Ago.state.ma.us 2010-08-22
[28] 웹사이트 Information Web Site for the Sony BMG CD Technologies Settlement http://www.sonybmgcd[...] 2011-06-20
[29] 웹사이트 CD's Containing XCP Content Protection Technology http://cp.sonybmg.co[...] 2008-12-24
[30] 웹사이트 Texas Attorney General http://www.oag.state[...] Oag.state.tx.us 2010-08-22
[31] 웹사이트 Texas Attorney General http://www.oag.state[...] Oag.state.tx.us 2010-08-22
[32] 뉴스 AG throws more allegations at Sony BMG http://dallas.bizjou[...] dallas.bizjournals.com. 2011-06-20
[33] 뉴스 Attorney General ups the ante in lawsuit against Sony BMG http://sanantonio.bi[...] sanantonio.bizjournals.com. 2011-06-20
[34] 웹사이트 No.GV505065 https://www.texasatt[...] texasattorneygeneral.gov 2006-12-19
[35] 뉴스 Sony sued over copy-protected CDs; Sony BMG is facing three lawsuits over its controversial anti-piracy software http://news.bbc.co.u[...] 2006-11-22
[36] 뉴스 Sony BMG Tentatively Settles Suits on Spyware https://www.nytimes.[...] 2005-12-30
[37] 뉴스 Crist's office joins Sony BMG spyware probe http://www.theinquir[...] 2005-11-07
[38] 간행물 Legal proceedings in Italy by ALCEI against Sony for a 'criminal' offense https://www.alcei.or[...] 2005-11-04
[39] 웹사이트 "Bush Administration to Sony: It's your intellectual property – it's not your computer" http://www.mp3newswi[...] 2005-11-12
[40] 웹사이트 "Crist's office joins Sony BMG spyware probe" http://www.sptimes.c[...] 2005-12-24
[41] 웹사이트 Sony BMG Settles FTC Charges http://www.ftc.gov/o[...] Federal Trade Commission 2007-01-30
[42] 웹사이트 DOCKET NO. C-4195: COMPLAINT; In the Matter of SONY BMG MUSIC ENTERTAINMENT, a general partnership. http://www.ftc.gov/o[...] 2007-06-29
[43] 웹사이트 Sony BMG Settles FTC "Rootkit" Charges http://www.consumera[...] ConsumerAffairs.Com 2007-01-31
[44] 웹사이트 CD's Containing XCP Content Protection Technology http://www.contentpr[...] Sony BMG Music Entertainment 2005
[45] 웹사이트 Proof that F4I violates the GPL - Programming stuff http://www.the-inter[...]
[46] 웹사이트 Sony's XCP DRM https://www.hack.fi/[...]
[47] 웹사이트 Is Sony in violation of the LGPL? - Part II - Programming stuff http://www.the-inter[...]
[48] 웹사이트 Breakthrough after breakthrough in the F4I case - Programming stuff http://www.the-inter[...]
[49] 웹사이트 Two new F4I license infringements found - Programming stuff http://www.the-inter[...]
[50] 웹사이트 ECD Player Control Functions Window screenshot http://the-interweb.[...]
[51] 웹사이트 Sam Hocevar's .plan http://sam.zoy.org/b[...]
[52] 웹사이트 LAME Ain't an MP3 Encoder https://lame.sourcef[...]
[53] 웹사이트 Sony CD's caught installing extremely well-hidden and sketchy DRM software http://blog.wfmu.org[...] WFMU blog 2005-11-01
[54] 웹사이트 Sony Music CDs Under Fire from Privacy Advocates https://www.npr.org/[...] NPR 2005-11-04
[55] 뉴스 vnunet.com analysis: Sony CD rootkit could spell doom http://www.vnunet.co[...]
[56] 뉴스 Security firm: Sony CDs secretly install spyware https://www.boston.c[...] 2005-11-08
[57] 뉴스 CA Targets Sony DRM as Spyware http://www.zdnet.com[...] ZDNet 2005-11-08
[58] 뉴스 Microsoft to remove Sony CD code; Sony's controversial anti-piracy CD software has been labelled as spyware by Microsoft. http://news.bbc.co.u[...] 2005-11-14
[59] 뉴스 Virus writers exploit Sony DRM; Sony doomsday scenario becomes reality http://www.vnunet.co[...] 2005-11-10
[60] 웹사이트 "Not Again! Uninstaller for Other Sony DRM Also Opens Huge Security Hole" http://www.freedom-t[...] 2005-11-17
[61] 웹사이트 No Copy Protection on Australian Sony BMG CDs http://www.sonybmg.c[...]
[62] 웹사이트 Welcome To Planet Sony https://www.doxpara.[...] 2005-11-15
[63] 웹사이트 Two new F4I license infringements found http://www.the-inter[...] 2005-11-17
[64] 웹사이트 Sony, Rootkits and Digital Rights Management Gone Too Far http://blogs.technet[...] 2005-10-31
[65] 웹사이트 More on Sony: Dangerous Decloaking Patch, EULAs and Phoning Home http://blogs.technet[...] 2005-11-04
[66] 뉴스 SONY BMG제 CCCD에 LAME의 소스 코드를 도용한 의혹 https://srad.jp/stor[...] 2005-11-12
[67] 웹사이트 Sony’s Web-Based Uninstaller Opens a Big Security Hole; Sony to Recall Discs https://freedom-to-t[...] 2005-11-15
[68] 웹사이트 Not Again! Uninstaller for Other Sony DRM Also Opens Huge Security Hole https://freedom-to-t[...] 2005-11-17
[69] 웹사이트 Open letter to Sony BMG (and its owners, Sony and Bertelsmann), First4Internet, and the LAME community. http://lame.sourcefo[...] 2005-11-21
[70] 뉴스 텍사스주, 스파이웨어 규제법 위반으로 SONY BMG를 제소 https://www.itmedia.[...] 2005-11-22
[71] 웹사이트 MediaMax Permanently Installs and Runs Unwanted Software, Even If User Declines EULA https://lame.sourcef[...] Freedom to Tinker 2005-11-28
[72] 웹사이트 Judge Grants Final Approval for Sony BMG CD Settlement https://web.archive.[...] Electronic Frontier Foundation 2006-05-22
[73] 뉴스 SONY BMGのrootkit CD訴訟、和解を最終承認 https://www.itmedia.[...] ITmediaニュース 2006-05-23
[74] 웹인용 Sony Exec: We Will Beat Napster, http://www.nyfairuse[...] 2000-08-17
[75] 웹인용 Sony: Downbeat for a new online music battle http://archives.cnn.[...] IDG 2001-09-27
[76] 웹인용 Mark's Blog http://blogs.technet[...] Microsoft MSDN 2005-10-31
[77] 웹인용 F-Secure Rootkit Information : XCP DRM Software http://www.f-secure.[...] F-secure Computer Rootkit Information Pages 2005-11-29
[78] 웹사이트 Sony backs out of rootkit anti-piracy scheme https://web.archive.[...] 2005-11-15
[79] 웹사이트 First 4 Internet XCP DRM Vulnerabilities http://www.us-cert.g[...] US-CERT Activity Archive 2005-11-15
[80] 뉴스 Sony sued over copy-protected CDs; Sony BMG is facing three lawsuits over its controversial anti-piracy software http://news.bbc.co.u[...] BBC News 2005-11-10
[81] 뉴스 Sony BMG Tentatively Settles Suits on Spyware http://www.nytimes.c[...] Associated Press report in The New York Times 2005-12-30
[82] 웹사이트 Sony BMG Settles FTC Charges http://www.ftc.gov/o[...] Federal Trade Commission 2007-01-30


본 사이트는 AI가 위키백과와 뉴스 기사,정부 간행물,학술 논문등을 바탕으로 정보를 가공하여 제공하는 백과사전형 서비스입니다.
모든 문서는 AI에 의해 자동 생성되며, CC BY-SA 4.0 라이선스에 따라 이용할 수 있습니다.
하지만, 위키백과나 뉴스 기사 자체에 오류, 부정확한 정보, 또는 가짜 뉴스가 포함될 수 있으며, AI는 이러한 내용을 완벽하게 걸러내지 못할 수 있습니다.
따라서 제공되는 정보에 일부 오류나 편향이 있을 수 있으므로, 중요한 정보는 반드시 다른 출처를 통해 교차 검증하시기 바랍니다.

문의하기 : help@durumis.com