파이어폭스 인기 애드온 「Stylish」는 사용자의 인터넷 이력을 살짝 수집하고 있었다

파이어폭스 인기 애드온 「Stylish」는 사용자의 인터넷 이력을 살짝 수집하고 있었다

Firefox 애드온 기능인 「Stylish」는, 자신이 운영하는 사이트가 아니어도 CSS를 이용해서 자유롭게 사이트 디자인을 변경할 수 있는 확장 기능으로, 매일 브라우징을 쾌적하게 하는 확장 기능으로서 인기를 떨치고 있었습니다. 그런데, 그 뒤에서 사용자의 인터넷 이력을 수집하고 있었던 것이 밝혀지고, Firefox 애드온 목록에서 삭제된다라고 하는 사태에 발전했습니다.

보안 전문가인 Robert Heaton씨는 어느 날, Stylish의 의심스러운 거동을 알아차리고, 무엇을 실행하고 있는 것일지를 조사해 보았습니다. 그 결과, Stylish가 모든 브라우징 데이터를 수집해, 기업 데이터베이스에 송신한 것이 밝혀졌습니다.

Stylish는 2017년1월, 오리지널인 개발자에게서 이스라엘 사이트 분석 기업 SimilarWeb에 매각되어, 그 때에 새로운 이용 규약으로서 「Stylish 기능 개선을 위해서, 비개인 데이터만을 수집하고 있다」라고 하는 문언이 추가되었습니다. 그런데, Heaton씨에 의하면, Stylish가 수집해서 SimilarWeb에 송신한 것은 비개인적 데이터에 머물지 않고, 등록제 WEB사이트에 로그인가능한 토큰이 딸린 URL이나, 브라우저 Cookie 정보까지 포함되어 있었다고 합니다.

토큰이 딸린 URL이나 대단히 긴 특수한 URL은, 그 URL을 알고 있는 인간만이 액세스가능한 상황을 상정합니다만, 열람한 URL자체가 데이터로서 수집되어버리면, 누구나 URL로부터 비밀인 사이트에 액세스가능해져버립니다. Heaton씨는 SimilarWeb가 개인을 특정가능한 데이터를 판매하지 않아도, 보안 부족으로부터 SimilarWeb에 수집된 데이터가 외부에 유출될 가능성도 제로가 아니다고 경종을 울렸습니다.

Heaton씨가 Stylish 데이터 수집을 고발한 후, Firefox는 Stylish를 블록 리스트에 추가한 것을 밝혔습니다. 앞으로는 Firefox에서 애드온으로서 Stylish를 추가할 수는 없고, 현재 Stylish를 추가한 사용자도 자동으로 Stylish가 무효화되어, 이용할 수 없게 됩니다.