확장프로그램은 브라우저 안에서 나와 같은 화면을 봅니다.
광고 차단, 번역, 쿠폰 자동 적용, 화면 캡처. 브라우저에 하나쯤은 깔려 있을 겁니다. 편하니까요. 그런데 이 편리한 도구가 최근 몇 년 사이 공격자들이 가장 좋아하는 통로가 됐습니다.
이번에는 자주 나오는 질문에 하나씩 답하는 방식으로 정리해 보겠습니다. 읽고 나면 브라우저 설정을 한 번 열어 보고 싶어지실 겁니다.
Q1. 확장프로그램이 위험할 게 있나요?
브라우저 안에서 내가 보는 것을 똑같이 볼 수 있기 때문입니다.
앱은 보통 자기 화면 안에서만 놉니다. 그런데 확장프로그램은 브라우저 위에 얹혀 동작하므로, 내가 은행 사이트를 열면 그 화면을, 검색어를 입력하면 그 글자를 함께 볼 수 있는 위치에 있습니다. 권한을 어디까지 줬느냐에 따라 달라지지만, 구조 자체가 그렇습니다.
규모도 작지 않습니다. 2026년에 확인된 사례 중에는 한 그룹이 430만 대 분량의 브라우저를 감염시켜 검색 결과를 가로채고 원격 조작 통로를 심어 둔 캠페인이 있었고, 크롬 웹스토어에서 악성 확장 737개가 한꺼번에 유포된 사례도 보고됐습니다.
Q2. 설치할 때 제가 뭘 허락한 건가요?
설치 직전에 뜨는 그 한 줄이 핵심입니다. 가장 흔한 문구는 "방문하는 모든 웹사이트의 데이터 읽기 및 변경"입니다.
짧아서 가볍게 느껴지지만, 풀어 쓰면 이렇습니다.
- 은행·쇼핑몰을 포함해 내가 여는 모든 페이지의 내용을 읽을 수 있습니다.
- 로그인을 유지해 주는 쿠키를 볼 수 있습니다. 쿠키를 가져가면 비밀번호 없이도 내 계정에 들어갈 수 있습니다.
- 내가 입력한 글자와 검색어를 읽을 수 있습니다.
- 페이지 내용을 바꿔치기할 수도 있습니다. 화면에 보이는 계좌번호를 슬쩍 바꾸는 일도 원리상 가능합니다.
번역 확장에 이 권한이 필요한 건 자연스럽습니다. 페이지 글자를 읽어야 번역하니까요. 문제는 계산기나 테마 같은 단순한 도구가 같은 권한을 요구할 때입니다. 하는 일에 비해 요구가 과하면 그때 멈춰야 합니다.
Q3. 공식 웹스토어에 있으면 검증된 것 아닌가요?
아쉽지만 그렇게 보기 어렵습니다. 스토어 심사는 명백한 악성코드를 걸러 내지만, 나중에 나빠지는 경우까지 막지는 못합니다.
2026년에 드러난 사례가 이걸 잘 보여 줍니다. 유튜브 광고 차단 용도로 1000만 회 넘게 설치되고 스토어 추천 배지까지 받은 확장프로그램에서, 개발자가 원격으로 자바스크립트를 밀어 넣어 실행할 수 있는 경로가 발견됐습니다. 설치 수와 배지는 인기의 증거이지 안전의 증거가 아니라는 뜻입니다.
이건 npm 공급망 공격과 뿌리가 같습니다. 개발자가 남의 코드를 가져다 쓰듯, 우리도 남이 만든 코드를 브라우저에 들여놓고 있는 것이니까요. 다른 점은 대상이 개발자가 아니라 평범한 사용자라는 것뿐입니다.
Q4. 잘 쓰던 게 갑자기 나빠지기도 하나요?
바로 그게 이 문제의 고약한 지점입니다. 경로가 두 가지입니다.
첫째, 주인이 바뀝니다. 사용자가 많은 확장은 좋은 인수 대상입니다. 개발자에게 돈을 주고 사들인 뒤 다음 업데이트에 광고 삽입이나 데이터 수집 기능을 얹으면, 기존 사용자 전원에게 자동으로 배포됩니다. 우리는 아무것도 누르지 않았는데 말입니다.
둘째, 잠복해 있다 켜집니다. 처음에는 얌전히 동작하다가, 설치 수가 충분히 쌓인 뒤 원격 신호를 받아 동작을 바꾸는 방식입니다. 심사를 통과할 때는 정말로 깨끗했으니 잡히지 않습니다.
그래서 "설치할 때 안전했다"는 사실이 지금도 안전하다는 보장이 되지 못합니다. 확장프로그램은 한 번 결정하고 끝나는 게 아니라 계속 신뢰를 갱신해야 하는 대상에 가깝습니다.
Q5. AI 기능을 쓰는데도 상관이 있나요?
2026년에 새로 생긴 위험 지점이 여기입니다. 브라우저에 AI 사이드패널이 들어오면서, 이 대화 통로 자체를 노리는 시도가 나왔습니다.
실제로 크롬의 네트워크 규칙 처리 방식을 이용해 AI 사이드패널로 오가는 내용을 가로채고 자체 스크립트를 끼워 넣을 수 있는 결함(CVE-2026-0628)이 보고됐고, 널리 쓰이는 AI 보조 확장 몇 종에서도 브라우저 세션을 장악할 수 있는 취약점이 발견됐습니다.
AI에게는 평소 검색보다 더 사적인 것을 털어놓기 쉽습니다. 회사 자료를 붙여 넣거나 고민을 적기도 하죠. 그 통로가 확장프로그램에 노출될 수 있다는 점은 새로 생긴 고려 사항입니다. 저는 AI 보조 확장을 고를 때만큼은 기능보다 만든 곳을 먼저 보는 편이 낫다고 봅니다.
Q6. 그럼 지금 뭘 해야 하나요?
거창하지 않습니다. 5분이면 됩니다.
지운 확장프로그램은 다시는 나를 볼 수 없습니다.
하나, 목록을 엽니다. 브라우저 설정에서 확장프로그램 관리 화면으로 들어갑니다. 대부분 생각보다 많이 깔려 있고, 이름조차 낯선 것이 한둘 나옵니다.
둘, 안 쓰는 것을 지웁니다. 최근에 쓴 기억이 없으면 삭제합니다. 사용 중지만 해 두는 것보다 삭제가 확실합니다. 아쉬우면 나중에 다시 깔면 됩니다. 이 한 가지가 다른 무엇보다 효과가 큽니다.
셋, 권한을 좁힙니다. 남긴 것들은 사이트 접근 설정을 클릭할 때만으로 바꿉니다. 항상 지켜보는 대신 내가 부를 때만 동작하게 하는 것이라, 편의는 거의 그대로면서 노출은 크게 줄어듭니다.
Q7. 앞으로 고를 때 기준이 있나요?
네 가지만 보면 대부분 걸러집니다.
- 꼭 필요한가. 웹사이트로 되는 일이면 굳이 확장을 들이지 않습니다. 가장 안전한 확장은 설치하지 않은 확장입니다.
- 권한이 하는 일에 맞는가. 계산기가 모든 사이트를 읽겠다면 이유가 없습니다.
- 누가 만들었나. 개발자와 회사가 분명하고, 개인정보 처리방침이 있는지 봅니다.
- 최근에 관리되고 있나. 몇 년째 업데이트가 없는 확장은 취약점이 방치돼 있을 수 있습니다.
리뷰 수와 별점은 후순위입니다. 앞서 본 것처럼 1000만 설치에 추천 배지를 단 확장에서도 문제가 나왔으니까요.
한 장 정리
| 질문 | 답 |
|---|---|
| 왜 위험한가 | 브라우저 안에서 내 화면·쿠키·입력을 볼 수 있는 위치 |
| 그 권한의 뜻 | 모든 페이지 읽기 + 내용 변경까지 |
| 스토어 심사 | 최초 심사는 통과, 나중에 나빠지는 것은 못 막음 |
| 나빠지는 경로 | 인수 후 업데이트 / 잠복 후 원격 활성화 |
| 2026년 새 위험 | AI 사이드패널 통로를 노린 가로채기 |
| 오늘 할 일 | 목록 열기 → 안 쓰는 것 삭제 → 권한을 클릭 시로 |
이것만 기억하면 됩니다. 확장프로그램은 브라우저 안에 들여놓은 남의 코드입니다. 설치 수나 배지가 안전을 보장하지 않고, 어제 안전했다고 오늘도 안전한 것이 아닙니다. 가장 확실한 방어는 안 쓰는 것을 지우는 것이고, 남긴 것은 클릭할 때만 동작하게 좁혀 두면 됩니다.
기준 시점: 2026년 8월. 취약점과 사례는 계속 갱신되므로, 구체적인 대응은 아래 공식 창구의 최신 안내를 확인하시기 바랍니다.
참고 자료
확장프로그램 위협 사례와 대응은 아래 공개 자료를 참고했습니다.
이 글은 위 자료를 바탕으로 직접 작성한 해설이며, 특정 기사·이미지를 복제하지 않았습니다.