크롬 웹스토어서 악성 브라우저 확장 프로그램 737개 유포

핵심 요약

크롬 웹스토어를 통해 737개의 악성 브라우저 확장 프로그램이 유포되어 7만 5천 회 이상 다운로드되었으며, 이는 사용자 트래픽을 공격자 서버로 우회시켜 민감 정보를 탈취할 수 있는 심각한 보안 사고입니다. 공격자들은 노드VPN 등 유명 서비스를 사칭하여 사용자를 속였으며, 설치된 확장 프로그램은 브라우저의 모든 트래픽을 특정 서버로 리다이렉션하여 TLS SNI 값, IP 주소, 암호화되지 않은 HTTP 요청 본문 등 광범위한 데이터를 노출시켰습니다. 이는 MITRE ATT&CK의 T1176.001 (Browser Extensions) 전술을 활용하여 지속적인 접근(Persistence)을 확보하고 정보를 수집(Collection)하는 전형적인 수법입니다. IT 감사인은 조직 내 임직원들의 브라우저 확장 프로그램 사용 현황을 점검하고, 승인되지 않은 확장 프로그램 설치를 통제하며, 웹 트래픽 모니터링 강화를 통해 유사한 위협으로부터의 데이터 유출 및 컴플라이언스 위반 리스크를 조기에 식별하고 완화해야 합니다.

💡 개선 권고안

• ✔기술적 조치업무용 웹 브라우저의 확장 프로그램 설치를 화이트리스트 기반으로 통제하고, 승인된 확장 프로그램만 설치 및 운영되도록 MDM(Mobile Device Management) 또는 그룹 정책을 통해 강제 적용해야 함을 권고함.
• ✔기술적 조치네트워크 경계에서 웹 프록시 또는 차세대 방화벽(NGFW)을 활용하여 비정상적인 웹 트래픽, 특히 알려지지 않은 IP 주소나 도메인으로의 트래픽 우회 시도를 탐지하고 차단하는 정책을 강화할 것을 권고함.
• ✔기술적 조치EDR(Endpoint Detection and Response) 솔루션을 통해 임직원 PC의 브라우저 프로세스에서 발생하는 비정상적인 네트워크 연결 및 파일 접근 행위를 지속적으로 모니터링하고, 악성 확장 프로그램으로 인한 위협을 즉시 탐지 및 격리할 수 있도록 탐지 규칙을 고도화해야 함을 권고함.
• ✔관리적 조치임직원을 대상으로 악성 브라우저 확장 프로그램의 위험성, 공식 웹스토어 및 신뢰할 수 있는 개발자 확인의 중요성, 의심스러운 확장 프로그램 신고 절차 등에 대한 정보보호 교육을 정기적으로 실시하고, 보안 인식 수준을 강화할 것을 권고함.
• ✔관리적 조치브라우저 확장 프로그램 관리 정책을 수립하고, 주기적으로 설치된 확장 프로그램 목록을 점검하여 승인되지 않거나 불필요한 확장 프로그램은 제거하는 절차를 수립 및 시행할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문