공식 구글 크롬 확장 프로그램 스토어는 애드온을 다운로드하기에 가장 안전한 곳으로 알려져 있지만, 결코 완벽하게 안전하다고 할 수는 없습니다. 최근 구글이 크롬 스토어에서 가짜 마이크로소프트 인증기(Microsoft Authenticator) 확장 프로그램을 삭제하면서 이를 보여주는 사례가 등장했습니다.
크롬 스토어에 올라온 가짜 인증기
The Register의 보도에 따르면, 구글은 최근 크롬 스토어에서 가짜 마이크로소프트 인증기 앱을 삭제했습니다. 이는 해당 가짜 앱에 대한 제보가 인터넷에서 화제가 된 지 약 24시간 후에 이루어진 조치입니다.
사기꾼들은 아직 마이크로소프트가 크롬용 공식 인증기 확장 프로그램을 출시하지 않았다는 점을 악용한 것으로 보입니다. 이 덕분에 악성 버전을 직접 업로드하면 경쟁할 공식 앱 없이 검색 결과 상위에 노출될 수 있었습니다.
다행히도 이 앱이 정품이 아니라는 단서들은 분명히 존재했습니다. 예를 들어, 이 앱은 마이크로소프트가 개발했다고 주장하지 않았고, 대신 개발사 이름이 단순히 "Extension"으로 표기되어 있었습니다.
그럼에도 불구하고 이 확장 프로그램은 수백 건의 다운로드를 기록했으며, 삭제 당시 별 3개의 평점을 받고 있었습니다. 따라서 확장 프로그램의 세부 정보를 꼼꼼히 확인하지 않은 사용자라면 충분히 함정에 빠질 수 있었습니다.
가짜 인증기 앱이 설치된 후 어떤 작업을 수행했는지 그 전모는 아직 밝혀지지 않았습니다. 하지만 보도에 따르면 이 앱은 가짜 마이크로소프트 로그인 페이지를 띄워 사용자의 비밀번호를 낚는 피싱 공격을 시도했습니다. 또한 비정상적으로 높은 CPU 사용률을 유발해 암호화폐 채굴(크립토재킹)에 활용되었을 가능성도 제기됩니다.
마이크로소프트는 크롬용 마이크로소프트 인증기 확장 프로그램을 출시한 적이 없습니다. 사용자는 의심스러운 확장 프로그램을 크롬 웹스토어에 신고하는 것이 좋습니다.
이번 사건은 크롬 웹스토어의 보안 체계에 대한 의문을 남깁니다. 공식 "Microsoft Corporation" 개발자 프로필을 사용하지 않은 앱이 어떻게 구글의 심사를 통과해 업로드될 수 있었을까요?
어쨌든 이번 사례는 공식 앱 스토어에 등록된 앱이라 해도 인터넷상의 모든 앱을 맹신해서는 안 된다는 점을 보여줍니다. 과거에 크롬용 마이크로소프트 인증기를 다운로드한 적이 있다면 즉시 삭제하고, 바이러스 검사를 실행한 뒤 마이크로소프트 계정 비밀번호를 변경해 안전 여부를 확인하기 바랍니다.
이미지에 금이 간 구글 앱 스토어
글 작성 시점 기준으로 마이크로소프트는 공식 인증기 확장 프로그램을 출시하지 않았으므로, 만약 이런 앱을 발견한다면 극도로 주의해야 합니다. 최근의 사기 사건은 겉모습만 믿으면 안 된다는 사실을 증명했지만, 과연 이것이 사용자의 부주의 탓일까요, 아니면 처음부터 이를 스토어에 올려준 구글의 책임일까요?
이런 유형의 사기는 어느 앱 스토어에서나 발생할 수 있지만, 스스로를 보호할 방법은 분명히 있습니다. 리뷰, 다운로드 수, 개발자 정보를 꼼꼼히 확인하면 보고 있는 앱이 진짜인지 가짜인지 훨씬 정확하게 판단할 수 있습니다.