이건 악성코드에 관한 이야기가 아닙니다. 아무도 당신을 해킹하지 않았고, 아무도 당신의 정보를 훔치지 않았습니다. 지금 실행 중인 확장 프로그램이 당신의 인터넷 사용 기록을 판매하고 있을 가능성이 있는데, 제작사 측에서도 이 사실을 미리 고지했습니다. 개인정보 처리방침에 명시되어 있습니다. 4페이지 7번째 문단에 말이죠. 아무도 읽지 않는 바로 그 부분입니다.
LayerX Security의 새로운 연구에 따르면 사용자 데이터를 수집하고 이를 되팔아 이익을 취하는 여러 브라우저 확장 프로그램 네트워크가 발견되었는데, 놀랍게도 이 모든 것이 완전히 합법적입니다. 악성 확장 프로그램처럼 위장하여 몰래 데이터를 수집하고 판매하는 것과는 달리, 이러한 확장 프로그램은 사용자의 데이터를 수집하고 판매할 것이라고 명시적으로 알리기 때문입니다. 개인정보처리방침에 분명히 명시되어 있지만, 아무도 읽지 않습니다.
LayerX는 수천 개의 확장 프로그램 개인정보 보호정책을 분석한 결과, 고객 데이터를 수집하고 판매하는 80개 이상의 확장 프로그램을 발견했습니다. 이러한 확장 프로그램에는 다음이 포함됩니다.
브라우저 확장 프로그램은 무해해 보일 수 있지만, 이러한 조사 결과는 확장 프로그램의 무분별한 사용으로 인해 발생할 수 있는 개인정보 유출 위험을 강조합니다.
개인정보 보호정책. 읽는 건 마치 페인트가 마르는 걸 지켜보는 것처럼 지루합니다. 대부분의 사용자에게는 주택담보대출 계약서의 세부 조항을 읽는 것보다 더 고통스러울 정도죠. 정말 심각한 문제입니다.
하지만 우리는 그렇게 했죠.
LayerX Security의 연구원인 Dar Kahllon과 Guy Erez는 공식 스토어에서 제공되는 수천 개의 브라우저 확장 프로그램의 개인정보 보호정책을 분석했습니다. 그들이 찾고자 했던 것은 단 하나, 게시자가 명시적으로 다음 권리를 보유하는지 여부였습니다. 사용자 데이터 판매.
그리고 우리는 그것들을 찾아냈습니다. 분석 결과 최소 80개의 유사 확장 프로그램이 발견되었으며, 일부는 서로 공모하여 개발되었고, 모든 확장 프로그램은 동일한 개발자가 제작한 것으로 나타났습니다. 이러한 확장 프로그램은 광고 차단기, 스트리밍 도구, 구직 지원 도우미, 새 탭 확장 프로그램, B2B 영업 인텔리전스 플랫폼 등 다양합니다.
대부분의 정책은 "우리는 당신의 데이터를 판매합니다"라고 명시적으로 말하지 않습니다. 대신 "판매할 수도 있습니다"라고 말합니다. 이는 법적인 안전장치이지만, 당신의 데이터가 언제든 판매될 수 있으며, 당신은 이미 이에 동의한 셈입니다. 실제로 어떻게 적용되는지 살펴보겠습니다.
"당사는 귀하의 개인 정보를 제3자에게 판매하거나 공유할 수 있습니다."
“이 정보는 비즈니스 파트너에게 판매되거나 공유될 수 있습니다.”
솔직히 말하면, 대부분은 그렇지 않아요.
그림 1. 개인정보 보호정책 투명성
LayerX에 따르면 엔터프라이즈 브라우저 확장 프로그램 보안 보고서 2026크롬 웹 스토어에 있는 모든 확장 프로그램 중 71%는 개인정보 보호정책을 게시하지도 않습니다.
결과적으로, 사용자 중 73% 이상이 개인정보 처리방침이 없는 확장 프로그램을 하나 이상 설치했으며, 데이터 처리 방식에 대한 투명성이 부족합니다. 따라서 저희 분석은 개인정보 처리방침이 있는 29%의 확장 프로그램만을 기반으로 할 수밖에 없었습니다.
그리고 개인정보 보호정책이 전혀 없는 확장 프로그램 중 일부도 사용자의 데이터를 재판매할 것이라고 가정한다면(그리고 그런 확장 프로그램들이 더 나을 것이라고 가정할 이유도 없습니다), 크롬 웹 스토어에서 사용자의 데이터를 판매할 가능성이 있는 확장 프로그램의 실제 수는 다음과 같습니다. 수만.
우리는 자동 분류와 수동 검증을 결합하여 공식 스토어의 브라우저 확장 프로그램과 관련된 개인정보 보호정책을 분석하는 파이프라인을 구축했습니다.
데이터베이스에 개인정보 보호정책 URL이 있는 약 9,000개의 확장 프로그램 중에서 6,666개의 정책을 성공적으로 가져와 분석했습니다.
해당 파이프라인은 세 단계로 진행되었습니다.
최종 데이터 세트에는 개인정보 보호 정책에서 사용자 데이터를 제3자에게 실제로 상업적으로 판매한다고 명시한 확장 프로그램만 포함됩니다.
이 수치가 낮아 보일 수 있지만, 이 수치는 애초에 개인정보 보호정책을 갖춘 확장 프로그램(전체 확장 프로그램의 3분의 1 미만)과 사용자의 데이터를 어떻게 처리하는지 명확히 밝히는 확장 프로그램만을 대상으로 한 것이라는 점을 유념해야 합니다. 실제 수치는 훨씬 더 높을 가능성이 큽니다.
주요 결과 몇 가지를 소개합니다.
확인된 판매자들을 검토하는 동안, 공통적인 패턴이 계속해서 눈에 띄었습니다. 확장자도 다르고 스트리밍 플랫폼도 다르지만, 세 글자로 된 접두사는 모두 동일했습니다. QVI – “Quality Viewership Initiative”의 약자입니다.
서로 관련 없어 보였던 도구들이 사실은 하나의 프로젝트였다는 것이 밝혀졌습니다. 거의 모든 주요 스트리밍 서비스를 지원하는 24개의 브라우저 확장 프로그램(현재 21개는 활성화되어 있고 3개는 삭제됨)이 포함된 프로젝트였습니다.
모두 다음에서 발행되었습니다. 하이드앱 LLC와이오밍주 샤이엔의 이스트 링컨웨이 1021번지에 등록되어 있으며, 이 주소는 등록 대리인 서비스를 통해 수백 개의 다른 LLC와 공유되고 있습니다. 또한 "도구드앱. "
네트워크에서 가장 큰 확장 기능:
21개의 활성 확장 회선을 모두 합치면 네트워크는 거의 도달합니다. 800,000 사용자.
그림 2. 크롬 스토어의 "넷플릭스용 맞춤 프로필 사진 [QVI]" 확장 프로그램 페이지
하지만 해당 업체의 개인정보 보호정책에는 스토어 상품 설명에는 나와 있지 않은 내용이 있습니다. 이러한 확장 프로그램은 다음과 같은 광범위한 정보를 수집합니다.
또한 나이와 성별 정보도 수집하며, 사용자가 인구 통계 정보를 제공하지 않을 경우 제3자 인구 통계 데이터베이스와 이메일 주소를 대조하여 부족한 정보를 채웁니다.
그림 3. "넷플릭스용 맞춤 프로필 사진[QVI]" 확장 프로그램의 개인정보 보호정책에 따라 수집된 것으로 명시된 데이터
이 정책은 콘텐츠 제작자 및 스튜디오, 스트리밍 플랫폼, 미디어 조사 회사, 마케팅 대행사, 그리고 "익명화된 시청 데이터를 구매하는 조직"에 보고서를 판매하는 것에 대해 설명합니다.
이 모든 것을 종합해 보면, 사용자 브라우저 내에서 실행되는 분산형 시청률 측정 시스템이 되는 것입니다. 익명의 퍼블리셔 하나가 모든 주요 스트리밍 플랫폼의 시청 행태를 수집하여 약 800,000만 명의 사람들이 무엇을 언제 어떻게 시청하는지에 대한 정보를 구축하는 것이죠. 이 사용자들 중 누구도 이에 동의한 적이 없습니다. 법적으로는 "크롬에 추가"를 클릭하는 순간 약관에 동의한 것이지만, 실제로는 아무도 약관을 읽어보지 않았을 겁니다.
우리는 확인했습니다 8개의 광고 차단기 제3자에게 사용자 정보를 판매하거나 공유할 권리를 보유하는 업체들. 추적을 막기 위해 설치하는 도구들(이러한 도구들은 추적 데이터를 판매하는 경우가 많습니다). 이들을 모두 합치면 그 규모는 100만 건이 넘습니다. 5.5 만명.
사용하는 광고 차단 프로그램의 개인정보 보호정책이 두 단락 이상이라면 꼭 읽어보세요.
그림 4. 크롬 스토어의 추천 광고 차단 앱
이것들은 목록에서 가장 큰 확장 기능은 아니지만, 데이터 판매 모델이 얼마나 광범위하게 퍼져 있는지를 보여줍니다.
확인된 판매자 82명 중 29명은 B2B 영업 인텔리전스 도구 업체입니다. is 데이터이기 때문에 공개 자체는 놀라운 일이 아닙니다. 우리는 이를 소비자 대상 확장 기능과 함께 계산하지 않습니다.
하지만 이러한 확장 프로그램들은 이 논의에 반드시 포함되어야 합니다. 이러한 확장 프로그램들은 회사 컴퓨터에 설치됩니다. 즉, 직원들의 인터넷 검색 활동(내부 URL, SaaS 대시보드, 검색 활동 등)이 경쟁업체가 구매할 수 있는 상업용 데이터베이스로 유입된다는 뜻입니다. 문제는 사용자가 속는 것이 아니라, 아무도 감시하지 않는 경로를 통해 기업 데이터가 유출되는 것입니다.
대부분의 확장 프로그램 보안 평가는 권한이나 알려진 악성 징후에 초점을 맞춰 과도한 접근 권한을 요청하거나 위협 인텔리전스와 일치하는 확장 프로그램을 표시합니다. 이는 악성 프로그램을 탐지하는 데는 효과적이지만, 사용자의 검색 데이터를 판매할 권리를 공공연히 주장하는 확장 프로그램은 탐지하지 못합니다.
데이터 판매 고지 조항이 포함된 계약 연장은 가상의 위험이 아닙니다. 이는 직원들이 읽지도 않고 수락한 문서에 명시된 공식적인 사업 관행입니다.
꼭 물어볼 만한 세 가지 질문:
대부분의 브라우저는 이미 기업 정책을 통해 중앙 집중식 확장 프로그램 관리를 지원합니다. Chrome의 ExtensionSettings, Edge의 그룹 정책, Firefox의 기업 구성 등이 그 예입니다. 확장 프로그램 관리 정책이 없다면, 먼저 정책을 수립해야 합니다. 이미 정책이 있다면, 평가 기준에 개인정보 보호 정책 검토를 추가하세요. 권한만으로는 충분한 정보를 얻을 수 없습니다.
이를 위해 LayerX는 개인정보 보호정책이 전혀 없거나 개인 데이터 판매 권리를 보유하는 확장 프로그램을 감지하고 필터링(원하는 경우 차단 포함)하는 새로운 필터를 추가했습니다.
사용자 데이터 판매 사실을 공개하거나 개인정보 처리방침을 전혀 게시하지 않는 확장 프로그램은 차단하는 것을 고려해 보세요.
그림 5. LayerX 확장 데이터 개인 정보 보호 필터
브라우저 확장 프로그램은 웹에서 가장 강력하면서도 가장 감시가 덜 되는 도구 중 하나입니다. 대부분의 관심은 사용자와 기업의 데이터를 적극적으로 탈취하는 악성 프로그램에 집중되어 있지만, 개인정보 침해는 사소해 보일 수 있어도 위험할 수 있습니다.
조직 내 모든 사용자가 설치한 모든 확장 프로그램의 개인정보 보호정책을 일일이 검토하는 것은 수백, 수천 개의 확장 프로그램에 달할 수 있으며, 이는 현실적으로 불가능합니다.
대신, 조직은 의심스러운 확장 프로그램을 제한하고 개인 정보 보호 설정을 고려할 수 있는 자동화 도구를 배포하기 시작해야 합니다.
이건 악성코드에 관한 이야기가 아닙니다. 아무도 당신을 해킹하지 않았고, 아무도 당신의 정보를 훔치지 않았습니다. 지금 실행 중인 확장 프로그램이 당신의 인터넷 사용 기록을 판매하고 있을 가능성이 있는데, 제작사 측에서도 이 사실을 미리 고지했습니다. 개인정보 처리방침에 명시되어 있습니다. 4페이지 7번째 문단에 말이죠. 아무도 읽지 않는 바로 그 부분입니다.
