크롬 확장 프로그램 가짜 VPN 주의: 5만 명 피해, 내 정보도 위험할까?

무료 VPN 하나 잘못 깔았다가 개인정보 통째로 넘길 수 있습니다

해외 콘텐츠를 보거나 공공 와이파이에서 보안을 지키려고 VPN을 쓰는 분들 많으시죠? 그런데 크롬 웹스토어에 올라온 VPN 확장 프로그램 중 상당수가 실제로는 사용자 데이터를 빼가는 ‘가짜’라는 사실, 알고 계셨나요? 지금 쓰고 있는 VPN이 진짜 보안 도구인지, 아니면 해커의 도구인지 확인해 보세요.

무슨 일이 벌어지고 있나 — 핵심 사실 정리

보안 전문 리서치 기업 Socket이 2025년 8월 발표한 보고서에 따르면, 구글 크롬 웹스토어에 수백 개의 가짜 VPN 확장 프로그램이 퍼져 있으며, 현재까지 5만 명 이상의 크롬 사용자가 이 가짜 VPN을 설치한 것으로 확인됐습니다.

이 가짜 VPN들의 공통적인 수법은 다음과 같습니다.

• 실제 VPN 기능처럼 보이는 UI를 제공하면서 내부적으로는 브라우저 쿠키, 로그인 세션, 방문 기록 등을 수집
• 수집된 데이터를 외부 서버로 무단 전송
• 정상적인 VPN 앱의 이름과 아이콘을 교묘하게 모방해 사용자를 속임
• 설치 후 별다른 이상 징후가 없어 피해 사실을 인지하기 어려움

문제는 구글 웹스토어가 ‘검토된 앱’이라는 인식 때문에 사용자들이 별 의심 없이 설치한다는 점입니다. 실제로 웹스토어의 확장 프로그램 심사는 앱스토어나 플레이스토어에 비해 상대적으로 허술하다는 지적이 꾸준히 제기돼 왔습니다.

왜 VPN 확장 프로그램이 특히 위험한가 — 에디터 인사이트

단순히 ‘가짜 앱이 많다’는 경고를 넘어, 이번 사태가 특히 주목받는 이유가 있습니다. VPN은 구조적으로 사용자의 모든 트래픽이 통과하는 ‘관문’ 역할을 합니다. 즉, 가짜 VPN 하나가 설치되면 인터넷뱅킹 접속, 소셜미디어 로그인, 쇼핑몰 결제 등 브라우저에서 하는 모든 행동이 잠재적으로 노출됩니다.

비교해서 생각해보면 이렇습니다. 일반 악성코드는 특정 파일이나 계정을 노리지만, 가짜 VPN은 ‘보안 도구’라는 신뢰를 이용해 사용자가 자발적으로 광범위한 권한을 허용하게 만듭니다. 마치 집 열쇠를 가져가는 사람을 경비원으로 착각하는 것과 같습니다.

2023년에도 유사한 사례가 있었습니다. ‘Hola VPN’ 무료 서비스는 사용자의 대역폭을 몰래 다른 사용자에게 제공해 논란이 됐고, 여러 무료 VPN 앱들이 사용자 데이터를 광고 회사에 판매한다는 사실이 잇따라 밝혀진 바 있습니다. 이번 크롬 웹스토어 사태는 그 연장선상에 있습니다.

한국 사용자에게 어떤 의미인가

국내에서도 넷플릭스 우회, 해외 직구 결제, 재택근무 보안 등의 이유로 VPN 사용이 꾸준히 늘고 있습니다. 특히 크롬은 국내 PC 브라우저 점유율 1위(약 60% 이상)로, 크롬 확장 프로그램 문제는 사실상 한국 인터넷 사용자 대다수와 직결됩니다. ‘무료니까 한번 써볼까’ 하는 생각으로 설치한 확장 프로그램이 금융 정보나 업무 데이터를 새고 있을 수 있습니다.

지금 당장 할 수 있는 점검 체크리스트

• ✅ 크롬 주소창에 chrome://extensions 입력 → 설치된 VPN 확장 프로그램 목록 확인
• ✅ 출처가 불분명하거나 리뷰 수가 비정상적으로 적은 VPN은 즉시 삭제
• ✅ 확장 프로그램의 ‘개인정보 처리방침’ 링크가 없거나 깨진 경우 신뢰하지 말 것
• ✅ 설치 시 요구하는 권한이 과도하다면(예: 모든 사이트의 데이터 읽기·변경) 설치 취소
• ✅ 유료라도 검증된 VPN 서비스(NordVPN, ExpressVPN, Mullvad 등) 공식 홈페이지에서 직접 설치 권장
• ✅ 현재 설치된 확장 프로그램 전체를 주기적으로 점검하고, 사용하지 않는 것은 삭제

자주 묻는 질문 ① 크롬 웹스토어 앱은 구글이 검토하지 않나요?

구글이 일부 자동화된 보안 검사를 진행하지만, 앱스토어·플레이스토어처럼 엄격한 수동 심사를 거치지는 않습니다. 악성 확장 프로그램이 초기에는 정상으로 등록된 뒤 나중에 악성 코드를 업데이트로 추가하는 방식도 자주 쓰입니다. 신고 후 제거까지 상당한 시간이 걸리는 구조적 문제가 있습니다.

자주 묻는 질문 ② 무료 VPN은 무조건 위험한가요?

무료 VPN이라고 전부 위험한 것은 아닙니다. Proton VPN처럼 오픈소스 기반의 신뢰할 수 있는 무료 플랜도 있습니다. 다만 ‘완전 무료에 제한 없음’을 내세우는 낯선 VPN은 수익 모델이 사용자 데이터 판매일 가능성이 높으므로 주의해야 합니다.

자주 묻는 질문 ③ 이미 가짜 VPN을 썼다면 어떻게 해야 하나요?

즉시 해당 확장 프로그램을 삭제하고, 주요 계정(이메일, 인터넷뱅킹, 소셜미디어)의 비밀번호를 변경하세요. 가능하다면 2단계 인증(2FA)을 활성화하고, 브라우저 쿠키와 캐시도 전체 삭제하는 것이 좋습니다.

마무리 — 보안 불감증이 진짜 위험입니다

이번 사태는 단순한 ‘앱 주의’ 경고가 아닙니다. 보안 도구를 믿는 심리를 역이용하는 수법이 점점 정교해지고 있다는 신호입니다. 앞으로도 크롬 확장 프로그램을 통한 데이터 탈취 시도는 계속될 것으로 보입니다. 구글도 심사 절차 강화를 예고하고 있지만, 완벽한 차단은 어려운 게 현실입니다.

결국 가장 확실한 방어는 사용자 스스로의 점검 습관입니다. 지금 바로 크롬 확장 프로그램 목록을 열어보는 것부터 시작해 보세요. 혹시 수상한 VPN을 발견했거나, 추가로 궁금한 점이 있다면 댓글로 알려주세요!

출처: Lifehacker