브라우저 확장 프로그램, 설치 전 권한부터 확인하세요
크롬 웹 스토어의 “추천” 배지나 다운로드 수가 많다는 것이 안전을 보장하지 않습니다. 2026년 6월에는 1000만 회 이상 설치되고 추천 배지까지 받은 유튜브 광고 차단 확장 프로그램에서 원격으로 임의 스크립트를 실행할 수 있는 구조가 발견됐습니다. 확장 프로그램이 요구하는 권한을 설치 전에 확인하는 방법과 실제 사례를 정리했습니다.
사진: Firmbee.com (Unsplash)
인기 확장 프로그램도 안전하지 않다 — 실제 사례
2026년 6월, 보안 기업 아일랜드는 1000만 회 이상 설치된 “Adblock for YouTube” 확장 프로그램에서 심각한 구조적 결함을 발견했다고 밝혔습니다. 개발자가 서버 측 설정 변경만으로 사용자가 방문하는 모든 웹사이트에서 임의의 스크립트를 실행할 수 있는 경로를 숨겨뒀던 것입니다. 검증 절차도 허술해서 금융 사이트 주소 뒤에 ?q=youtube.com 같은 단순한 파라미터만 붙여도 우회가 가능했습니다. 이 원격 제어 경로는 2025년 2월부터 존재했지만, 분석 시점에는 비활성화된 상태로 발견됐습니다.
앞서 2025년 7월에는 보안업체 코이시큐리티가 색상 선택 도구, 날씨 위젯, VPN, 이모지 키보드, 다크 모드 테마, 볼륨 증폭기처럼 평범한 기능으로 위장한 확장 프로그램 18개를 적발했습니다. 크롬 웹 스토어에서만 170만 건 이상, 전체로는 230만 명 이상이 설치한 상태였습니다. 이 확장 프로그램들은 사용자가 새 페이지로 이동할 때마다 방문한 URL과 사용자 고유 식별자를 수집해 원격 서버로 전송했습니다. 구글이 같은 달 10일 웹 스토어에서 이들을 삭제했지만, 이미 설치한 사용자의 브라우저에서 자동으로 제거되지는 않았습니다.
두 사례 모두 눈에 띄는 공통점이 있습니다. 광고 차단이나 유틸리티처럼 정말 유용해 보이는 기능으로 위장했고, 다운로드 수·리뷰·추천 배지 같은 신뢰 지표를 충분히 확보한 뒤에야 문제가 드러났다는 점입니다.
설치 전 권한부터 확인하는 법
Chrome(2026년 7월 기준 최신 버전) 우측 상단의 퍼즐 아이콘을 누르고 “확장 프로그램 관리”로 들어가면 설치된 확장 프로그램별 권한을 확인할 수 있습니다. 주소창에 chrome://extensions를 직접 입력해도 같은 화면으로 이동합니다.
여기서 특히 주의해서 봐야 할 것이 호스트 권한입니다. “모든 웹사이트의 데이터 읽기 및 변경” 권한은 사실상 방문하는 모든 페이지의 내용을 보고 수정할 수 있다는 뜻입니다. 광고 차단기나 화면 캡처 도구처럼 이 권한이 기능상 필요한 경우도 있지만, 날씨 위젯이나 이모지 키보드처럼 특정 사이트를 벗어날 이유가 없는 확장 프로그램이 같은 권한을 요구한다면 의심해볼 필요가 있습니다.
Edge나 네이버 웨일처럼 크로미움 기반 브라우저도 확장 프로그램 관리 메뉴 이름과 위치가 조금씩 다를 수 있지만, 대체로 우측 상단 확장 프로그램 아이콘이나 브라우저 설정의 “확장 프로그램” 항목에서 같은 정보를 확인할 수 있습니다.
설치 전후 체크리스트
- 개발자 이름과 공식 웹사이트가 명시돼 있는지 확인합니다. 익명 개발자, 연락처 불명은 위험 신호입니다.
- 최근 업데이트 날짜와 변경 로그를 봅니다. 방치되던 확장 프로그램의 소유권이 넘어가 악성 코드가 추가되는 사례가 보고된 바 있습니다.
- 요구 권한이 기능과 맞는지 따져봅니다. 단순 계산기 앱이 “모든 사이트 데이터 읽기”를 요구한다면 의심스럽습니다.
- 안 쓰는 확장 프로그램은 비활성화 대신 삭제합니다. 꺼둔 채 방치된 것도 취약점의 통로가 될 수 있습니다.
- 크롬 브라우저 느려짐 해결법에서 다뤘듯 안 쓰는 확장 프로그램 정리는 속도뿐 아니라 보안 관리 차원에서도 해두는 게 좋습니다.
의심스러운 확장 프로그램을 발견했다면
문제가 의심되는 확장 프로그램을 발견했다면 바로 삭제부터 하고, 그 확장 프로그램이 접근할 수 있었던 계정(특히 금융·이메일)의 비밀번호를 변경하는 것이 안전합니다. 가능하다면 패스키 로그인처럼 비밀번호 자체를 노출시키지 않는 인증 방식으로 전환하는 것도 장기적으로 도움이 됩니다. 로그인 세션이 탈취됐을 가능성이 있다면 주요 서비스에서 다른 기기 로그아웃 기능을 써서 세션을 강제로 끊어두는 것도 방법입니다.
자주 묻는 질문
크롬 웹 스토어의 “추천” 배지는 안전을 뜻하지 않나요?
2026년 6월 사례처럼 추천 배지를 받은 뒤에도 문제가 드러난 경우가 있어, 배지 하나만으로 안전을 판단하기는 어렵습니다. 배지와 별개로 권한 목록·개발자 정보를 직접 확인하는 습관이 필요합니다.
확장 프로그램이 자동 업데이트되면서 나중에 악성으로 바뀔 수도 있나요?
네, 정상적으로 배포되던 확장 프로그램의 소유권이 넘어가거나 개발자가 악성 코드를 추가하는 방식으로 나중에 문제가 생기는 사례가 보고돼 있습니다. 설치 당시 안전했다고 계속 안전하다는 뜻은 아닙니다.
확장 프로그램을 하나도 안 쓰는 게 가장 안전한가요?
필요한 기능이라면 굳이 안 쓸 이유는 없습니다. 다만 실제로 쓰는 확장 프로그램 개수를 최소화하고, 권한을 주기적으로 점검하는 쪽이 현실적인 절충안입니다.
마무리
확장 프로그램 하나를 설치할 때마다 브라우저에 새로운 접근 권한을 내주는 셈입니다. 설치 전 권한 목록을 한 번 더 보고, 안 쓰는 확장 프로그램은 그때그때 정리하는 습관이 가장 확실한 예방책입니다.
