크롬 확장 프로그램이 애드웨어로 변하는 구조적 보안 위협, JSON Formatter 사례로 본다

2026년 4월, 수백만 명의 개발자가 매일 쓰는 크롬 확장 프로그램이 조용히 스파이웨어가 되고 있어요.

JSON Formatter. 개발자라면 다 알죠. JSON 데이터를 보기 좋게 펼쳐주는 작은 도구예요. 근데 이 도구가 어느 날 광고를 심고, 사용자 데이터를 수집하고, 브라우저 트래픽을 가로채는 애드웨어로 변해버린 사례가 2024년 말부터 지금까지 반복해서 보고되고 있어요. Chrome Web Store에 올라온 JSON 관련 확장 프로그램만 수십 개—그중 몇 개가 언제 나쁜 코드를 품을지, 사용자는 알 방법이 없어요.

단순한 보안 뉴스가 아닌 이유가 있어요. 이 공격 방식은 구조적으로 막기 어렵거든요. 자동 업데이트, 제3자 인수, 난독화된 코드—세 가지만 갖추면 수백만 대의 기기에 악성 코드를 배포할 수 있어요. 완전히 합법적인 경로로요.

핵심 요약

• 2024~2026년 사이, JSON Formatter를 포함한 크롬 확장 프로그램 다수가 소유권 이전 후 애드웨어로 변환된 사례가 보안 커뮤니티에서 반복 보고됐어요.
• 크롬 확장 프로그램의 자동 업데이트 구조는 기존에 안전하던 도구가 악성 코드를 포함한 버전으로 조용히 교체될 수 있게 해요.
• 애드웨어로 변환된 확장 프로그램은 단순 광고 삽입에 그치지 않고 HTTP 요청 가로채기, 쿠키 탈취, 자격증명 수집까지 수행해요.
• JSON Alexander 같은 오픈소스 대안은 코드 투명성을 제공하지만, 대부분의 사용자는 여전히 기존 확장 프로그램을 그대로 써요.
• 이 위협은 개인 사용자보다 개발자 환경(API 키, JWT 토큰, 사내 데이터)을 노리는 방향으로 진화하고 있어요.

어떻게 시작됐나: 신뢰받던 도구의 배신

크롬 확장 프로그램 생태계의 구조적 문제는 오래됐어요. 그런데 2023년 이후 “확장 프로그램 인수” 방식이 하나의 공격 패턴으로 자리잡았어요.

방식은 단순해요. 수십만 명이 쓰는 작은 확장 프로그램의 원 개발자에게 접근해서 프로그램을 구입해요. 수천 달러면 충분한 경우도 많아요. 개발자 입장에선 더 이상 유지보수하지 않는 도구를 팔아 수익을 얻는 거니까 거절할 이유가 없죠.

인수 후엔 조용히 업데이트를 배포해요. 기능은 그대로, 코드 안에 악성 스크립트만 추가해서요. Chrome의 자동 업데이트 시스템은 사용자 동의 없이 이 버전을 배포해요. 리뷰 숫자도, 별점도, 설치 수도 그대로예요. 사용자 입장에서 뭔가 바뀐 걸 알아채기가 거의 불가능해요.

2023년 Chrome Extension Manifest V3 전환 이후 Google은 보안 강화를 이유로 여러 제한을 뒀어요. 그런데 이 제한은 주로 광고 차단기 같은 도구에 영향을 미쳤고, 데이터 수집형 악성 코드는 오히려 새로운 우회 방법을 찾았어요. Google의 Chrome Web Store 팀은 악성 확장 프로그램 제거 요청에 평균 수일에서 수 주가 걸린다는 게 보안 연구자들의 공통된 지적이에요.

JSON Formatter 계열은 특히 개발자 트래픽이 집중돼요. API 응답, 인증 토큰, 내부 서비스 데이터—전부 JSON으로 흘러요. 그래서 이 도구를 감염 타깃으로 삼으면 피해 규모가 일반 사용자 대상 애드웨어와는 차원이 달라요.

데이터로 보는 피해 규모와 공격 메커니즘

숫자로 본 실태

보안 연구 그룹 Palant’s Info(Adblock Plus 전 개발자 Wladimir Palant)와 Extension Monitor 같은 커뮤니티 기반 추적 서비스가 공개한 분석에 따르면, Chrome Web Store에서 주기적으로 제거되는 악성 확장 프로그램 수는 연간 수백 개 수준이에요. 이 중 개발자 도구 카테고리—JSON 뷰어, XML 포매터, API 테스터—는 2024년 기준 전체 악성 확장 프로그램 보고의 약 15~20%를 차지한다고 추정해요.

Wladimir Palant의 2024년 블로그 분석에 따르면, 인수된 확장 프로그램이 악성 업데이트를 배포한 뒤 Chrome Web Store에서 제거되기까지 평균 14일이 걸렸어요. 그 14일 동안 자동 업데이트가 진행된 설치 기기 수는 수십만 대에 달할 수 있어요.

실제 동작 방식

감염된 JSON Formatter 유형의 확장 프로그램이 수행하는 악성 행동을 분류하면 이렇게 돼요.

1. 광고 삽입 (Adware): 방문한 웹사이트에 원래 없던 광고 스크립트를 주입해요. 수익은 공격자에게 돌아가죠.
2. HTTP 요청 가로채기: webRequest API를 통해 브라우저가 보내는 모든 요청을 감시하거나 수정해요. API 키가 포함된 헤더도 예외가 없어요.
3. 쿠키 및 세션 탈취: 로그인된 서비스의 세션 쿠키를 외부 서버로 전송해요.
4. 원격 코드 실행: 외부 서버에서 추가 스크립트를 받아 실행하는 구조를 숨겨요. 이걸로 초기 심사를 통과한 뒤 나중에 기능을 바꿀 수 있어요.

대안 도구 비교

개발자들이 선택할 수 있는 JSON 뷰어 도구를 보안 관점에서 비교해봤어요.

JSON Alexander는 Laravel News가 2025년 소개한 오픈소스 프로젝트예요. 코드를 직접 볼 수 있고, 불필요한 네트워크 권한을 요구하지 않아요. 다만 폐쇄형 도구 대비 기능이 제한적이고, 커뮤니티 기반이라 업데이트 주기가 불규칙해요.

트레이드오프는 명확해요. 편의성 vs 투명성. 폐쇄형 도구는 기능이 좋지만 코드를 볼 수 없고 언제 인수될지 알 수 없어요. 오픈소스는 투명하지만 기능 격차가 있고 장기 유지보수가 불확실해요. 어느 쪽도 완벽한 답은 아니에요.

Firefox 내장 JSON 뷰어는 보안성 면에서 가장 안전해요. 그런데 Chrome 기반 작업 환경에서 Firefox로 전환하는 건 현실적으로 전환 비용이 높죠.

개발자와 팀이 지금 당장 할 수 있는 것들

이 위협의 핵심은 여기에 있어요. 크롬 확장 프로그램 보안 위협은 처음 설치 시점이 아니라 업데이트 이후에 발생해요. 신뢰는 한 번 얻으면 계속 유지된다는 착각이 이 공격 방식을 효과적으로 만들어요.

시나리오 1: 개인 개발자 지금 쓰는 JSON Formatter의 Chrome Web Store 페이지에서 “개발자 정보"를 확인해요. 개발자 이름이나 웹사이트가 최근 바뀌었다면 주의 신호예요. 확장 프로그램이 요구하는 권한 목록도 다시 확인해요. JSON 뷰어가 All URLs나 webRequest 권한을 요구한다면, 이유를 설명하지 못하는 이상 지우는 게 나아요.

시나리오 2: 개발팀 혹은 기업 환경 팀 전체가 같은 확장 프로그램을 쓴다면, Google Workspace Admin이나 MDM 도구를 통해 허용 목록(allowlist)을 관리하는 방식이 필요해요. 무작위 확장 프로그램 설치를 막고, 검토된 도구만 배포하는 거예요. 설치된 확장 프로그램 목록은 최소 분기 1회 재검토하는 루틴이 필요해요.

시나리오 3: 보안에 민감한 환경 (금융, 의료, B2B SaaS) JSON 데이터를 다루는 환경에서는 브라우저 확장 프로그램 자체를 제한하고, 내부 JSON 뷰어 도구를 별도로 개발하거나 검토된 오픈소스 도구를 고정 버전으로 배포하는 방식이 맞아요. 자동 업데이트를 비활성화하고 수동 검토 후 업데이트를 적용하는 정책도 고려해볼 만해요.

지금 당장 확인할 신호들:

• 브라우저에서 평소에 없던 광고가 보인다
• API 요청 헤더가 예상치 못한 도메인으로 나간다 (DevTools Network 탭 확인)
• 확장 프로그램 개발자 정보가 최근 변경됐다
• Chrome Web Store 리뷰 섹션에 “업데이트 후 이상하다"는 최근 댓글이 있다

앞으로: 이 문제가 더 커질 이유

자, 정리해볼게요.

• 크롬 확장 프로그램 인수-애드웨어 변환 패턴은 2024~2026년 사이 반복 확인된 실제 공격 방식이에요.
• JSON Formatter 계열 도구는 개발자 트래픽의 민감도 때문에 특별한 위협이 돼요.
• 자동 업데이트 구조는 한 번 심사를 통과한 도구가 나중에 악성 코드를 받을 수 있게 해요.
• 오픈소스 대안이 있지만, 기능 격차와 유지보수 불확실성이 현실적 장벽이에요.

앞으로 6~12개월을 보면, Google의 Manifest V3 정책이 강화되겠지만 이미 심사를 통과한 도구의 사후 변조는 막지 못해요. AI 코드 생성이 확산되면서 난독화 코드를 만드는 비용이 낮아져, 이런 공격이 더 정교해질 가능성이 높아요.

Google이 Chrome Web Store에 확장 프로그램 소유권 변경 공시 의무나 사후 행동 분석 심사를 도입하는지—이게 이 문제의 진짜 분기점이 될 거예요.

지금 당신의 브라우저에 설치된 확장 프로그램 목록을 한 번 열어보세요. 마지막으로 확인한 게 언제였나요?

참고자료

1. JSON Alexander Gives Developers a Simpler, More Trustworthy Way to View JSON in the Browser - Larave
2. 크롬 브라우저 확장 프로그램에서 북마크 동기화 안되는건 언제 고치나요 - Samsung Members
3. 확장자/목록 - 나무위키

Photo by NASA on Unsplash