극도로 상세한 민감 정보 수집하고 있어...전문가들, 빨리 플러그인 삭제하라고 촉구
어베스트 측은 “사용자의 온라인 브라우징을 보호하기 위해 필요한 정보 수집했다”고 반박

[보안뉴스 문가용 기자] 모질라(Mozilla)가 파이어폭스 브라우저에서 몇 가지 플러그인을 삭제했다. 전부 보안 업체 어베스트(Avast)와 AVG에서 만든 것들이다. ‘보안 업체에서 개발한 것임에도 사용자의 정보를 수집하고 있었기 때문이다. 모질라가 이런 조치를 취하자 오페라(Opera)도 해당 플러그인들을 삭제했다.


[이미지 = iclickart]

삭제된 플러그인은 다음과 같다.
1) 어베스트 온라인 시큐리티(Avast Online Security)
2) 어베스트 세이프프라이스(Avast SafePrice)
3) AVG 온라인 시큐리티(AVG Online Security)
4) AVG 세이프프라이스(AVG SafePrice)

다수 외신에 따르면 어베스트 플러그인에서 수상한 점을 제일 먼저 발견한 건 애드블록 플러스(Adblock Plus)를 개발한 블리디미르 팔란트(Wladimir Palant)라는 사람이라고 한다. 팔란트는 조사를 통해 어베스트 플러그인이 데이터를 수집하고 있다는 걸 확인하고, 10월 말 “어베스트의 브라우저 플러그인은 스파이웨어”라는 내용의 글을 올렸다. 그 글에 따르면 “어베스트는 플러그인으로부터 익명화 처리된 데이터를 받는데, 이를 통해 사용자의 웹 브라우징 히스토리와 브라우징 습관을 재구성하는 게 가능하다”고 한다.

팔란트는 이 문제에 대하여 새로운 글을 이번 주 게시했다. 모질라와 오페라가 어베스트의 플러그인을 생태계에서 삭제했다는 내용이었다. 그러나 “아직 구글 크롬에서는 사용이 가능하다”고 한다. 팔란트는 “어베스트 시큐어 브라우저(Avast Secure Browser)도 조심해야 한다”고 경고했다. 이 브라우저에는 문제의 플러그인이 디폴트로 설치되어 있으며, 따라서 플러그인 목록에 나타나지도 않기 때문이다. “어베스트 시큐어 브라우저를 사용하고 있었다면, 그 동안 꾸준히 정보가 어베스트로 새나가고 있었다는 겁니다.”

어베스트는 2013년 점프샷(Jumpshot)이라는 회사를 인수했다. 수많은 사용자들과 관련된 상세 정보를 수집하게 해주는 ‘클릭스트림 데이터(clickstream data)’라는 개념을 개발한 업체였다. 팔란트는 “어베스트가 이 클릭스트림 데이터라는 기술을 그 때부터 활용해온 것으로 보인다”고 추측했다.

성난 여론이 어베스트 플러그인을 당장 삭제해야 한다고 목소리를 높이자 어베스트는 외신과의 인터뷰를 통해 “어베스트 온라인 시큐리티 플러그인은 보안 툴로서, 사용자들이 감염된 웹사이트에 접속하거나 피싱 공격에 걸려드는 걸 방지해주는 역할을 한다”고 설명했다. “하지만 그러려면 URL 히스토리 정보를 파악하고 있어야만 합니다. 저희는 소비자 보호만을 위해 정보를 수집했으며, 따라서 개인 식별이 불가능한 형태를 유지했습니다. 하지만 모질라로부터 요구된 추가 필수 사항을 다음 버전부터 반영할 예정입니다.”

하지만 팔란트는 “어베스트의 서버로 전송되는 데이터를 분석했더니, 사용자가 방문한 페이지의 전체 주소, 페이지 제목, 참조 페이지 주소, 윈도우 식별자, 탭 ID, 해당 페이지에 도달한 경로(즐겨찾기, 주소 직접 입력 등), 해당 페이지에 방문한 경험이 있는지 여부, 국가 코드, 고유 사용자 ID 한 쌍, 브라우저 유형, OS 유형과 버전 등이 나왔다”고 반박했다.

보안 전문가들은 어베스트 플러그인에 의존해 위험한 사이트를 피해왔던 사용자라면 삭제하라는 권고가 그리 달갑게 여겨지지 않을 것이라며 다음과 같은 대체 프로그램을 권장하고 있다.
1) 윈도우 디펜더 브라우저 프로텍션(Windows Defender Browser Protection)
2) 애플리케이션 가드 엑스텐션(Application Guard Extension)
3) 허니(Honey)

3줄 요약
1. 어베스트와 AVG의 브라우저 플러그인, 사용자 정보 무단 수집 중.
2. 파이어폭스와 오페라는 해당 플러그인 적발해 삭제한 상황.
3. 어베스트는 “보호하기 위해 꼭 있어야 했던 정보”라고 반박.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>