보안 업체 소켓의 연구원 존 터크너가 검색 엔진 설정을 몰래 바꿔 사용자의 검색을 가로채는 크롬 확장 프로그램 무리를 찾아냈다. 보도에 따르면 이번에 새로 확인된 확장 264개, 사용자 약 870만 명에 지난 2025년 4월 보고된 57개, 약 600만 명을 합치면 총 319개, 설치 1,340만 건이다.
크게 두 갈래가 확인됐다. '빙 서치' 계열은 확장 37개, 사용자 220만 명 규모로 광고를 통해 퍼졌다. '시큐리브라우즈' 계열은 확장 58개, 사용자 490만 명이며 보안 도구처럼 보이는 다른 확장을 홍보했다. PDF 변환기, 설명서 검색기, 안전 검색, 인공지능 검색 도구 등으로 위장했다.
이들은 크롬의 검색 설정 덮어쓰기 기능을 이용해 기본 검색 엔진을 바꾸고, 검색어를 운영자가 통제하는 프록시와 추적 서버를 거쳐 빙이나 야후로 보냈다. 운영자는 제휴 파트너 ID로 추천 수수료를 챙겼다. 어떤 확장은 설정 파일과 아이콘만 있고 스크립트나 권한 요청이 없을 정도로 단순했다.
확장은 크롬 웹 스토어에 비공개 상태로 올라 스토어 검색에는 보이지 않았고, 수상한 사이트의 광고로 설치를 유도했다. 대부분은 보고서 공개 시점에 삭제됐으나 새 확장이 계속 나온다고 한다.
위험은 수수료 수익에 그치지 않는다. 확장을 갱신하지 않고도 검색 결과가 도착하는 곳을 서버에서 바꿀 수 있어 피싱 사이트나 악성 파일 내려받기로 연결될 수 있다. 한 확장은 같은 검색어 6개를 서로 다른 목적지 4곳으로 보냈다. 구글은 논평 요청에 답하지 않았다. 매체는 목록에 있는 확장을 지우고 전체 백신 검사를 하며 출처가 불분명한 확장은 설치하지 말라고 권했다.
원문: BleepingComputer
이 글은 원문에 담긴 사실을 바탕으로 Raon Community가 새로 작성한 기사입니다. 원문의 저작권은 원저작자에게 있으며, 자세한 내용은 원문에서 확인해 주세요.