크롬 확장 프로그램 통한 개인정보 유출 위험 증가

숨겨진 크롬 확장 프로그램, 개인정보 탈취 가능성…보안 경고 - 디지털투데이 (DigitalToday)

 

Majority of Browser Extensions Can Access Sensitive Enterprise Data, New Report Finds

 

• 최근 발견된 비공개 크롬 확장 프로그램
  • 시큐어 애넥스(Secure Annex)는 크롬 확장 프로그램 중 최소 30여 개 이상이 비공개로 설치되어 있는 것을 확인
  • 사용자 약 400만 명 이상이 해당 확장 프로그램을 설치했으며, 이로 인해 민감한 개인정보가 유출될 수 있는 위험이 발생
• 주요 보안 위협 요소
  • 과도한 권한 요청: 일부 확장 프로그램은 쿠키, 웹 트래픽, 탭 접근 권한 등 과도한 권한을 요청
  • 원격 제어 가능성: 시스템 내 악성코드 형태로 동작할 수 있으며, 로그인 정보나 결제 데이터 등 민감 정보에 접근 가능
  • 비정상적 활동 탐지 어려움: 해당 확장 프로그램들이 정식 스토어 심사를 우회하거나, 최근 1년 이상 업데이트되지 않은 채 방치됨
• 기업 환경에서의 위험성
  • LayerX 보고서에 따르면 기업 사용자의 99%가 확장 프로그램을 사용하고 있으며, 이 중 52%는 10개 이상 설치
  • 53%의 확장 프로그램이 비밀번호, 쿠키, 웹페이지 내용 등 민감 정보에 접근 가능
  • 54% 이상이 Gmail 기반의 익명 개발자에 의해 게시되었고, 26%는 사이드로딩을 통해 설치되어 심사 우회
• GenAI 확장 프로그램과 추가 리스크
  • 전체 사용자 중 20% 이상이 생성형 AI(GenAI) 기반 확장 프로그램 사용
  • 이 중 58%는 고위험 권한 범위를 포함하고 있어 기업 데이터 유출 가능성 상존
• 보안 권고
  • 확장 프로그램 전수 감사: 모든 확장 프로그램 사용 현황을 파악하고, 비인가 확장 차단
  • 확장 프로그램 분류 및 권한 나열: 확장 프로그램의 유형별로 위험도를 분류하고 권한 범위를 명시
  • 리스크 평가 및 통합 점수화: 평판, 게시자 신뢰도, 설치 방식, 권한 범위를 고려해 위험 점수 산정
  • 적응형 정책 적용: 사용자 또는 부서별 위험도 기반으로 확장 프로그램 사용 정책 차등 적용
  • 비정기적 모니터링과 경고 시스템 구축: 탐지 회피 기술 및 무기화 가능성에 대한 지속적 대응 필요
• 결론
  • 브라우저 확장 프로그램은 사용자 편의 도구이자, 기업 데이터 유출의 은밀한 공격 벡터
  • IT 관리자 및 CISO는 단순한 화이트리스트 관리에서 나아가 리스크 기반 브라우저 보안 정책을 마련해야 함
  • 특히 GenAI 기반 확장 프로그램은 새롭게 부상하는 고위험군으로, 별도의 관리체계 수립이 요구됨
  • 보안 통제 수단으로 EDR, DLP와 함께 브라우저 확장 모니터링 솔루션 도입 고려 필요