크롬 확장 프로그램은 구글의 대표 브라우저에 원하는 기능을 자유롭게 더할 수 있게 해주는 강력한 도구입니다. 과거의 툴바와 플러그인 시절을 뒤로하고 등장한 이 시스템은 마치 하늘에서 내린 양식처럼 느껴졌죠. 클릭 한 번이면 제3자 개발자가 만든 새로운 기능이 브라우저에 쏙 들어옵니다.
그러나 많은 사람들이 이 편리함을 너무나 당연하게 여기면서 상황은 서서히 나빠지기 시작했습니다. 아무런 검증 없이 확장 프로그램을 설치하면 대가를 치를 수 있습니다. 자신을 보호해 줄 거라고 믿었던 광고 차단기가 사실은 악성코드였던 것입니다.
발견의 시작
2018년 4월 17일, 보안 업체 AdGuard가 크롬 웹 스토어의 방대한 광고 차단기 목록을 샅샅이 뒤져 유사품을 찾아 나섰습니다. 그 결과 드러난 사실은 충격적이었습니다. 무려 2,000만 명 이상의 사용자가 자신도 모르게 악성 확장 프로그램을 설치해 사용하고 있었던 것입니다.
문제의 확장 프로그램 중 일부는 "Superblock", "AdRemover for Google Chrome™"처럼 그럴듯한 이름을 갖고 있었습니다. 더 심각한 문제는 수천 개에 달하는 별점 5개짜리 리뷰였습니다. '많은 사람이 만족하며 쓰고 있는 프로그램'이라는 착시를 만들어 신뢰도를 높이는 전형적인 수법이었죠.
"AdRemover" 하나만 해도 사용자가 1,000만 명을 넘었습니다.
이들 확장 프로그램은 겉으로는 광고를 잘 걸러내는 것처럼 보이지만, 동시에 사용자의 개인 정보를 수집했고 경우에 따라서는 일부 사이트의 화면까지 마음대로 바꿔 버렸습니다. 특히 AdRemover는 크롬에서 특권 수준의 접근 권한을 얻은 뒤 jQuery를 이용해 잠재적으로 악성인 코드를 삽입할 수 있었습니다. 당장에는 이 코드를 활용하지 않았지만, 방아쇠를 당기기만을 기다리는 장전된 총과 다름없는 상태였습니다.
다행히 이 가짜 확장 프로그램들을 발견한 관계자들의 노력 덕분에 크롬 웹 스토어는 해당 플러그인 다섯 개를 모두 삭제했습니다. 하지만 앞으로 비슷한 가짜가 다시 등장하지 않으리라는 보장은 없습니다.
그럼 어떻게 자신을 지켜야 할까?
솔직히 말해 완벽한 답은 없습니다. 내려받는 확장 프로그램이 100% 안전하다고 단정할 방법은 없기 때문입니다. 그래도 AdRemover 사례를 통해 몇 가지 실질적인 검증 요령을 정리할 수 있습니다.
"AdRemover for Google Chrome™"은 AdRemover 팀이 개발했다고 주장했습니다. 그런데 실제 'Ad Remover'(두 단어 사이에 공백이 있다는 점에 주목하세요) 공식 웹사이트를 방문해 보면, 무료 버전과 유료 버전을 함께 제공하는 어느 정도 완성도 있는 사이트가 나타납니다. 여기까지는 문제가 없어 보입니다. 하지만 이것만으로 또 다른 가짜 소프트웨어가 아니라고 단정할 수는 없습니다.
한 단계 더 나아가 'Contact Us(문의하기)' 페이지를 확인해 보면, 등록된 법인 정보(Ad Remover, LLC), 주소, 지역번호, 전화번호, 운영 시간이 적혀 있습니다. 여기서 구글 검색을 한 번 돌려 보면 Better Business Bureau(BBB) 페이지가 나오는데, 실제로 해당 전화번호와 주소로 등록된 회사이며 2년간 영업해 온 사실도 확인할 수 있습니다.
A등급 평가와 열아홉 개의 긍정적인 고객 리뷰까지. 꽤 믿음직스럽게 느껴집니다.
여기서 핵심 포인트가 나옵니다. 이번에는 "AdRemover"(공백 없이)로 검색해 보세요. 그러면 가짜 확장 프로그램의 크롬 웹 스토어 페이지(구글이 삭제한 지금은 접속되지 않음) 정도만 나올 뿐입니다. 이 글 발행 시점에서 한참 지났다면 그마저도 찾을 수 없을 겁니다.
여기서 하나의 확실한 결론을 얻을 수 있습니다. 대부분의 악성 광고 차단 확장 프로그램 제작자들은 처음부터 끝까지 새 웹사이트를 만들 만큼 성실하지 않다는 점입니다. 대신 다른 개발자의 정체를 훔칩니다("AdRemover" vs "Ad Remover", "uBlock Adblocker" vs "uBlock Plus Adblocker" 같은 식으로요). 아예 웹사이트조차 만들지 않는 경우도 있습니다(Superblock이 대표적인 예).
맹목적으로 믿거나 스토어 안에서만 검증하려 하지 말고, 정식 웹사이트를 직접 찾아가 그곳에서 확장 프로그램을 설치하세요. 필자처럼 게으른 편이라면, 인기 있는 확장 프로그램을 검색한 뒤 정식 출처를 확인하고 설치하는 방법이라도 택하는 것이 좋습니다.
이 방식은 가짜 광고 차단기를 걸러내는 데 특히 효과적입니다(다른 분야에서도 어느 정도 통합니다). 다만 정체를 숨길 필요가 없는 다른 종류의 악성 확장 프로그램 제작자들은 그럴듯한 웹사이트를 아예 처음부터 만들어 낼 수도 있습니다. 예컨대 투자 사기 같은 스캠의 일환으로 말이죠.
가짜 확장 프로그램을 가려내는 다른 요령이 있다면 댓글로 알려주세요!