설치할 땐 착했던 확장 프로그램

브라우저에 깔린 확장 프로그램이 몇 개나 되시나요. 저는 세어봤더니 열한 개였고, 그중 넷은 언제 왜 깔았는지 기억이 안 났습니다.

20일차에 AI가 추천한 패키지를 설치하는 위험을 다뤘는데, 확장 프로그램은 그보다 더 직접적입니다. 우리가 매일 로그인하는 모든 사이트 위에서 돌아가니까요.

구조적으로 위험한 설계

권한이 지나치게 넓습니다. 많은 확장이 "모든 웹사이트의 데이터 읽기 및 변경" 권한을 요구합니다. 이 권한이 있으면 방문 사이트, 입력 내용, 로그인 상태에 전부 접근할 수 있습니다. 비밀번호를 입력하는 순간의 DOM도 포함해서요.

문제는 이게 과한 요구가 아니라는 점입니다. 광고 차단기나 번역 도구는 실제로 모든 페이지를 읽어야 동작합니다. 그래서 사용자가 권한 화면에서 판단할 근거가 없습니다. 정상 기능에 필요한 권한과 악용 가능한 권한이 같으니까요.

업데이트가 자동입니다. 이게 가장 고약한 지점입니다. 설치 시점에 깨끗했던 확장이 나중에 악성 코드를 넣어 업데이트해도 사용자 동의 없이 적용됩니다. 원 개발자뿐 아니라 권한을 가진 누구든 업데이트를 올릴 수 있고요.

소유권이 이전됩니다. 사용자 수가 많은 확장을 사들여서 추적이나 광고 삽입 코드를 넣는 패턴이 반복적으로 보고됩니다. 인수 자체는 합법이고, 사용자는 알 방법이 없습니다.

방치되면 취약해집니다. 개발이 멈춘 확장은 보안 패치가 나오지 않습니다. 수백만 명이 쓰던 확장에서 하드코딩된 API 키와 자격증명이 발견돼 대량 유출로 이어진 사례도 있습니다.

무엇이 새어나가나

실제 사고 유형을 보면 대개 이렇습니다. 브라우징 이력과 검색어, 로그인 토큰과 세션 쿠키, 페이지에 입력한 값, 그리고 일부 사례에서는 자동 스크린샷까지.

여기서 세션 쿠키가 특히 중요합니다. 쿠키를 탈취당하면 비밀번호와 2단계 인증을 거치지 않고도 로그인된 상태를 그대로 복제할 수 있습니다. 그래서 악성 확장 경고를 받았을 때 삭제만 하는 건 부족합니다. 비밀번호를 바꾸고, 각 서비스의 "모든 기기에서 로그아웃"을 실행해 기존 세션을 무효화해야 합니다.

4일차 패스키 글에서 피싱 저항을 다뤘는데, 확장은 그 방어를 우회합니다. 피싱은 가짜 사이트로 유도하는 공격이지만, 악성 확장은 진짜 사이트 안에서 동작하니까요.

조직 단위에서는 더 곤란하다

기업 환경에서 이 문제가 커지는 이유는 가시성입니다. 직원이 확장을 설치하는 데 IT 부서를 거치지 않고, 보안팀은 무엇이 깔려 있는지 파악하지 못합니다. 네트워크 경계 보안은 브라우저 안에서 벌어지는 일을 보지 못하고요.

최근에는 생성형 AI 확장이 늘면서 "섀도우 AI" 문제가 겹칩니다. 직원이 사내 문서를 요약하려고 AI 확장에 붙여넣으면, 그 데이터가 어디로 가는지 아무도 모르는 상황이 됩니다. 확장 관리 도구 시장이 커지는 배경이기도 합니다.

실무 대응

개인 차원에서는 이 정도면 충분합니다.

안 쓰는 건 지웁니다. 가장 효과적이고 가장 미루기 쉬운 일입니다. 언제 깔았는지 기억나지 않는 확장이 위험도 순위 1위입니다.

권한을 좁힙니다. 크롬에서 확장 아이콘을 우클릭하면 사이트 접근 권한을 "클릭할 때만"으로 바꿀 수 있습니다. 대부분의 확장은 이 설정으로도 잘 동작합니다.

환경을 분리합니다. 금융이나 업무용 접속은 확장이 깔리지 않은 별도 브라우저나 프로필에서 하는 게 확실합니다. 브라우저 프로필 하나 더 만드는 데 1분이면 됩니다.

개발하는 입장이라면 한 가지 덧붙일 게 있습니다. 확장을 만들 때 권한을 최소로 선언하는 것, 그리고 host_permissions를 와일드카드로 두지 않는 것. 필요한 도메인만 지정하면 사용자가 신뢰할 근거가 생깁니다.

정리

확장 프로그램의 근본 문제는 "설치 시점의 안전성이 계속 유지되지 않는다"는 데 있습니다. 한 번 검증했다고 끝나는 게 아니라 언제든 바뀔 수 있는 구조니까요.

그래서 스토어 심사나 백신에 기대기보다, 설치한 것 자체를 줄이는 게 현실적인 방어입니다. 오늘 확장 목록 한 번 열어보시길 권합니다. 저는 열한 개 중 다섯 개를 지웠습니다.