브라우저 확장 프로그램은 언제나 사용자를 돕기 위해 존재한다고 생각하시나요? 안타깝게도 그렇지 않습니다.
북마크 도구, 광고 차단기, 번역 애드온 같은 일부 확장 프로그램이 분명히 유용한 기능을 제공하는 것은 사실입니다. 하지만 겉보기에 무해해 보이는 많은 확장 프로그램에는 훨씬 어두운 면이 숨어 있습니다. 최근 큰 논란이 되었던 Hola VPN 사건이 대표적인 예입니다.
다른 앱이나 웹사이트의 취약점을 악용하는 확장 프로그램이든, 아니면 스스로 해커에게 정보를 넘겨주는 확장 프로그램이든, 어떤 확장 프로그램을 브라우저에 추가할지 그 어느 때보다 신중하게 생각해야 한다는 점은 분명합니다.
문제는 얼마나 광범위할까?
작년 말 진행된 한 연구에서는 크롬 스토어의 48,000개 이상 확장 프로그램을 분석했는데, 그 결과 4,700개 이상이 '수상한' 것으로 판별되었고 130개는 '악성'으로 확인되었습니다. 연구진에 따르면 그중 하나는 사용자가 550만 명을 넘는 것으로 밝혀졌지만, 이름은 공개되지 않았습니다.
당시 트립와이어(Tripwire) 취약성 연구팀 소속 보안 연구원 타일러 리걸리(Tyler Reguly)는 다음과 같이 지적했습니다.
"구글 크롬 플러그인은 여러 면에서 안드로이드 앱과 비슷합니다. 사용자가 실제로 무엇을 하는지 제대로 이해하지 못한 채 과도한 권한을 요구하죠. 크롬이든 안드로이드든 문제의 근본 원인은 구글에 있습니다."
이제 해커가 피해자를 표적으로 삼는 데 도움이 될 수 있는 확장 프로그램의 대표적인 사례들을 살펴보겠습니다.
1. Marauders Map
Marauders Map은 정상적인 페이스북 메신저 앱을 악용해 친구들의 위치를 지도 위에 표시해주는 확장 프로그램입니다.
물론 페이스북이 위치 정보를 친구들과 공유한다는 사실은 이미 잘 알려져 있습니다. 하지만 그 데이터가 얼마나 정확하고, 추출해 활용하기가 얼마나 쉬운지는 몰랐을 겁니다. 이 확장 프로그램은 미국의 한 학생이 개발한 것으로, 복잡한 코드나 알고리즘이 필요한 수준이 아닙니다. 코딩 능력이 어느 정도 되고 호기심이 많으며 시간이 충분하다면 누구나 발견할 수 있는 취약점입니다.
보도에 따르면 2013년까지 거슬러 올라가는 데이터까지 추출할 수 있다고 합니다. 다만 위치 공유가 활성화된 페이스북 메신저 친구에게만 작동하는데, 이 옵션은 안드로이드와 iOS 모두 기본적으로 켜져 있습니다.
페이스북 친구 목록을 엄격하게 관리하는 사람이라면 크게 걱정할 일은 아닐 수 있습니다. 하지만 친구 요청을 습관적으로 수락하고, 잘 모르는 사람을 포함해 수천 명의 친구를 두고 있다면 행동을 신중히 고민해봐야 합니다.
이 앱을 사용하면 해커가 당신이 집에 없는 시간대를 파악하거나, 과거 행동 패턴으로 이를 추측하거나, 자주 가는 상점과 가장 많이 시간을 보내는 사람까지 알아낼 수 있습니다. 안전을 위해 최대한 비공개로 유지해야 할 정보가 그대로 노출되는 셈입니다.
2. Hover Zoom
Hover Zoom은 사용자의 온라인 행동을 직접 감시하는 유형의 확장 프로그램입니다.
이 확장 프로그램의 원리는 단순하지만 매력적입니다. 마우스 커서를 이미지 위에 올리기만 하면 썸네일을 클릭할 필요 없이 Reddit, Amazon, Pinterest, eBay, 페이스북 등 인기 사이트의 이미지 갤러리를 편리하게 탐색할 수 있게 해줍니다. 출시 이후 110만 명이 넘는 사용자를 확보했습니다.
그런데 이 많은 사용자 대부분은 자신의 온라인 습관이 확장 프로그램에 의해 감시되고 있다는 사실을 모르고 있을 가능성이 높습니다. 어떻게 이런 일이 가능했을까요?
Hover Zoom은 처음에는 정직하고 독립적인 확장 프로그램으로, 약속한 기능 외에 다른 일을 하지 않았습니다. 하지만 인기가 높아질수록 애드웨어·멀웨어 회사들의 매력적인 인수 대상이 되었고, 결국 그런 회사 중 하나에 매각되었습니다. 이후 오랜 기간 '악행' 이력이 쌓였으며, 최근에는 온라인 폼 데이터를 수집하고 사용자의 키 입력을 판매하다 적발된 바도 있습니다.
그들이 문제 삼지 않을 수 있는 이유는 설명 페이지에 이를 공개해두었기 때문입니다. 설명 페이지에는 이렇게 적혀 있습니다.
"Hover Zoom을 사용하려면 브라우징 활동 수집 권한을 부여해야 하며, 수집된 활동은 내부적으로 사용되고 제3자와 공유됩니다. 이는 모두 익명화·집계된 형태로 연구 목적으로만 활용됩니다."
실제로는 방문하는 모든 웹페이지를 추적해 그 데이터로 수익을 얻고, 동시에 자주 방문하는 사이트에 광고를 집행하는 방식입니다. 요약하자면, 이 확장 프로그램 하나만으로도 100만 명이 넘는 사람이 감시당하고 있는 것입니다.
3. BBC News Reader와 Autocopy
확장 프로그램이 매각되어 트래커로 변하는 문제는 구글 크롬에만 국한되지 않습니다.
파이어폭스의 (비공식) BBC News Reader에서도 같은 문제가 발견되었으며, 선택한 텍스트를 자동으로 클립보드에 복사해주는 Autocopy 역시 마찬가지였습니다.
이는 서드파티 확장 프로그램, 앱, 웹사이트를 사용할 때 명심해야 할 중요한 교훈입니다. 일부 서비스의 공식 앱은 개인정보·보안 처리 방식으로 (종종 정당하게) 비판을 받지만, 실제로는 사용자 여론의 영향을 받습니다. 충분한 항의가 일면 기업은 우려를 해소하고 정책을 수정해야 합니다. 반면 서드파티 앱과 확장 프로그램은 이런 소비자 압력에 구속되지 않는 경우가 많습니다. 사용자가 눈치채지도 못한 채 계속 추적하고 데이터를 판매할 수 있죠.
사용 여부와 그에 따른 책임은 전적으로 사용자에게 있습니다.
4. Hola Unblocker
악성 확장 프로그램 목록에서 Hola를 빼놓을 수 없습니다. 연구진은 Hola를 "표적화된 사이버 공격을 실행하기에 이상적인 플랫폼"이라고 평가했으며, 한때 사랑받던 무료 VPN 서비스는 이제 '반드시 피해야 할 확장 프로그램' 목록의 정점에 올라 있습니다.
전 세계 4,600만 명의 사용자를 보유한 Hola는 크롬 스토어에서 가장 큰 규모의 악성 확장 프로그램입니다.
문제가 세상에 알려진 계기는 한 포럼 운영자가 "Hola 사용자들이 자신도 모르게 봇넷을 구동해 내 웹사이트에 여러 차례 공격을 가하는 데 이용되었다"고 주장하면서였습니다. 이후 개발사는 무료 버전 사용자의 대역폭이 운영 비용 충당을 위해 판매되고 있음을 인정했습니다.
실제로 이는 각 사용자가 네트워크의 종단점이 되었고, 해커와 공격자가 얼마든지 이를 악용할 수 있었다는 의미입니다.
Hola의 창업자는 자사를 혁신가로 변호하며 이렇게 말했습니다.
"우리는 빠르게 혁신했습니다만, 스티브 잡스의 말이 맞았던 것 같네요. 우리는 실수를 저질렀고, 이제 빠르게 바로잡겠습니다."
하지만 이미 피해를 입은 사용자들에게는 별다른 위로가 되지 않을 것입니다.
내 확장 프로그램이 악성인지 확인하는 방법
확장 프로그램의 악성 여부를 확인하는 가장 효과적인 방법은 전용 검사 도구를 활용하는 것입니다. 대표적인 예가 Shield For Chrome(현재는 서비스 종료)인데, 아이러니하게도 이것 역시 또 하나의 확장 프로그램이었습니다.
설치하면 브라우저의 모든 확장 프로그램을 자동으로 검사해 블랙리스트에 등재된 항목이 있는지 알려주며, 문제가 있는 확장 프로그램은 삭제하면 됩니다.
추가 기능도 유용했습니다. 각 확장 프로그램이 보유한 권한을 표시하고, 새로 설치되는 확장 프로그램과 웹사이트 행동을 모니터링해 악성 활동을 감지하며, 확장 프로그램의 소유권 변경이나 이상 징후 발생 시 알림을 주는 기능도 계획되어 있었습니다.
Extension Defender(역시 현재는 서비스 종료)도 비슷한 기능을 제공했는데, 사용자 후기에 따르면 오탐(false positive)이 더 적은 편이었습니다.
요즘은 크롬 웹 스토어 자체의 심사 강화와 함께, 확장 프로그램 설치 시 요구되는 권한 목록을 꼼꼼히 확인하고, 사용 빈도가 낮은 확장 프로그램은 주기적으로 삭제하는 습관이 최선의 방어책입니다.
혹시 피해를 입으셨나요?
악성 확장 프로그램 때문에 피해를 본 경험이 있으신가요? 어떤 유형의 브라우저 사용자이신가요? 수백 개의 확장 프로그램을 설치해두고 거의 사용하지 않는 편인가요, 아니면 꼭 필요한 것만 깔끔하게 유지하는 편인가요?
혹시 이 글에서 다루지 않은 악성 확장 프로그램을 알고 계신다면 알려주세요. 어떤 경우든 여러분의 이야기를 환영합니다. 아래 댓글로 생각과 피드백, 의견을 남겨주세요.