크롬 확장 프로그램 무료 VPN은 로그인·결제·AI 채팅 같은 민감한 작업에는 쓰지 않는 쪽이 안전하고, 쓰더라도 운영사가 분명한 곳의 확장만 골라야 합니다. VPN을 켰는지 껐는지보다, 그 확장이 어떤 권한을 쥐고 있는지가 정보가 새는 지점을 가릅니다.
이 글은 2026년 10월 기준으로 확인한 사례와 서비스 이름을 바탕으로, 정보가 새는 구조 4가지와 쓰면 안 되는 상황, 조건별로 고를 수 있는 확장을 차례로 짚어 볼게요.
• 로그인·결제·AI 채팅·업무 계정을 쓰는 크롬이라면 무료 VPN 확장은 설치하지 않는 편이 낫습니다.
• 정보는 VPN 터널이 아니라 확장이 가진 '모든 사이트 접근 권한'과 자동 업데이트로 새는 경우가 많아요.
• 꼭 써야 한다면 로그인 없는 별도 크롬 프로필에서, 운영사와 유료 플랜이 분명한 확장 하나만 쓰세요.
로그인 없이 해외 뉴스나 영상만 열어 보는 분이라면 선택지가 넓어요. 반대로 같은 크롬에서 네이버·구글·증권사에 로그인해 둔 채 쓰는 분이라면, 무료 VPN 확장은 얻는 것보다 걸리는 게 훨씬 큽니다. 어느 쪽인지에 따라 아래 내용의 무게가 달라져요.
VPN을 켜도 정보가 새는 이유는 터널이 아니라 확장 권한에 있습니다
크롬 확장 VPN에서 정보가 새는 길은 크게 4가지이고, 그중 가장 큰 건 VPN 연결과 상관없이 돌아가는 '사이트 접근 권한'입니다. 확장 VPN은 기술적으로 크롬 안에서만 작동하는 프록시(중계 서버)라서, 크롬 밖의 프로그램은 원래 인터넷 경로를 그대로 씁니다.
① 확장이 모든 사이트의 화면을 읽을 수 있는 권한
확장의 사이트 접근이 '모든 사이트'로 되어 있으면, 확장은 열려 있는 페이지에 코드를 심어 입력창에 적은 내용과 화면 내용을 읽을 수 있어요. 네이버 로그인 창이나 ChatGPT 입력창도 예외가 아닙니다. 이건 VPN 스위치를 껐을 때도 그대로 유지되는 권한이에요.
HTTPS 암호화도 여기서는 소용이 없습니다. 브라우저가 이미 풀어서 화면에 그린 내용을 확장이 보는 구조라서요.
② 중계 서버 운영자가 보는 접속 기록
HTTPS 사이트라면 비밀번호 같은 내용은 암호화되어 있지만, 어느 도메인에 언제 접속했는지는 중계 서버를 운영하는 쪽에서 볼 수 있습니다. Chrome 웹 스토어 상세 페이지에 '로그 없음'이라고 적혀 있어도 검증할 방법이 없으면 말뿐이에요.
서버 비용과 트래픽 비용이 매달 나가는데 무료로 계속 돌아간다면, 비용이 다른 데서 메워지고 있다는 뜻입니다. 저라면 설치 전에 이 질문부터 확인해요.
③ 설치 뒤에 바뀌는 서버 목록과 설정
일부 확장은 어느 서버로 트래픽을 보낼지를 설치 뒤에 내려받습니다. 이렇게 되면 Chrome 웹 스토어 심사를 통과한 시점과 실제로 동작하는 모습이 달라질 수 있어요. 업데이트 없이도 운영자가 경로를 바꿀 수 있기 때문입니다.
④ 자동 업데이트로 나중에 붙는 기능
크롬 확장은 기본적으로 자동 업데이트됩니다. 처음엔 멀쩡하던 확장이 몇 달 뒤 버전에서 수집 기능을 추가해도 사용자는 알림 하나 받지 못해요. Urban VPN Proxy가 2025년 7월 9일 5.5.0 버전에서 바로 그랬습니다.
실제로 확인된 사례 3가지 (2026년 10월 기준)
공개된 보안 연구 기준으로 보면, 무료 VPN 확장에서 문제가 된 지점은 모두 위 4가지 구조 안에 있었습니다. 세 사례의 공통점은 VPN 기능 자체는 멀쩡히 작동했다는 점이에요.
Urban VPN Proxy — 600만 명이 쓰던 'Featured' 확장
보안 업체 Koi Security의 분석에 따르면, 사용자 약 600만 명에 구글 'Featured' 배지까지 달린 Urban VPN Proxy가 2025년 7월 9일 배포된 5.5.0 버전부터 AI 채팅 내용을 수집하는 스크립트를 넣었습니다. ChatGPT, Claude, Gemini 등에 입력한 질문과 받은 답변이 대상이었어요.
이 수집은 VPN을 켰는지와 관계없이 작동했고, 설정으로 끌 수 없어 확장을 지워야만 멈춘다고 보고됐습니다. 같은 게시자의 확장 4개(1ClickVPN Proxy, Urban Browser Guard, Urban Ad Blocker 포함)가 합산 800만 건 이상 설치되어 있었고, 2025년 12월 18일 크롬 웹 스토어에서 모두 내려갔습니다. 수집된 데이터가 광고주에게 팔린다는 보도도 함께 나왔어요.
프록시 서버 목록이 원격으로 바뀌는 확장 31개
2026년 9월 연구 기관 RiskyPlugins가 공개한 31개 VPN 확장은, 프록시 서버 목록을 설치 뒤에 내려받는 구조였습니다. 합산 사용자는 약 35만 6천 명이고, 설정값은 base64와 간단한 문자 이동으로 가려져 있었어요.
운영자가 업데이트 없이 트래픽 경로를 바꿀 수 있는 구조라는 점이 문제였습니다.
VPN Go — 복사한 비밀번호가 따로 새던 사례
보안 업체 Socket이 2026년 6월 30일 보고한 'VPN Go: Free VPN'은, 2026년 5월 31일 1.1 버전에서 클립보드를 0.5초마다 읽어 서버로 보내는 기능이 추가됐습니다. 복사한 비밀번호, 인증 코드, API 키, 암호화폐 복구 문구가 대상이었고 프록시 기능은 정상으로 작동했어요.
크롬 쪽 사용자는 146명으로 규모가 작지만, 이 사례의 요점은 숫자가 아니라 패턴입니다. VPN이 잘 되니까 사용자가 이상을 못 느껴요.
Urban VPN Proxy는 'Featured' 배지와 600만 사용자를 갖고 있었습니다. 배지는 심사 시점의 평가일 뿐, 이후 업데이트까지 보장하지 않아요.
크롬 확장 프로그램 무료 VPN을 쓰면 안 되는 경우
쓰면 안 되는 경우는 확장이 읽을 수 있는 화면에 비밀번호·결제 정보·업무 내용·AI 대화가 올라오는 상황입니다. 반대로 로그인 없이 공개된 페이지만 보는 상황은 위험이 훨씬 낮아요.
표를 한 줄로 줄이면, 로그인 상태가 걸려 있으면 쓰지 않고 로그인이 없으면 조건부로 쓴다는 기준이에요. 공용 와이파이가 불안해서 VPN을 깔려는 분이 많은데, 이 경우엔 무료 확장이 안전을 더하기보다 믿어야 할 대상을 하나 더 만드는 쪽에 가깝습니다.
안전하게 고르는 기준 7가지
무료 VPN 확장을 고를 때는 이름이 유명한지보다 운영사, 권한, 수집 항목, 수익 구조 4가지를 순서대로 확인하는 게 빠릅니다. 아래 7가지 중 하나라도 걸리면 저라면 설치하지 않아요.
- 운영사 실체: 회사 이름, 소재지, 개인정보 처리방침이 공개돼 있는지 봅니다. 게시자 이름이 개인 계정이거나 연락처가 없으면 제외하세요.
- 유료 플랜 유무: 유료 플랜이 있는 서비스의 무료 버전은 맛보기 구조라 설명이 됩니다. 무료인데 데이터 한도도 없고 유료도 없다면 수익원이 어디인지 의심해야 해요.
- 스토어 상세의 수집 항목: 크롬 웹 스토어 상세 페이지의 '개인정보 보호 관행'에 웹 기록, 웹사이트 콘텐츠, 위치가 적혀 있으면 VPN에 필요한 범위를 넘는지 따져 보세요.
- 사이트 접근 권한: 주소창에 chrome://extensions 를 입력하고 해당 확장의 '세부정보'에서 '사이트 액세스'를 확인합니다. '모든 사이트'라면 '클릭 시'로 바꿔 보세요. 그렇게 했는데 VPN 연결이 안 된다면, 그 확장은 모든 페이지 접근이 꼭 필요한 구조라는 뜻이니 지우는 쪽을 권합니다.
- 로그 정책의 검증 가능성: '로그 없음'이라는 문구보다 외부 감사 보고서가 공개돼 있는지가 더 중요해요.
- 업데이트 이력과 소유자 변경: 갑자기 업데이트가 잦아졌거나 게시자가 바뀌었다면 보류하세요.
- 별도 프로필: 크롬 우측 상단 프로필 아이콘에서 새 프로필을 만들고, 거기에만 설치하세요. 로그인 계정이 없는 프로필이면 확장이 마음먹어도 가져갈 게 줄어듭니다.
확장이 설치 직후 연결이 안 되거나 갑자기 꺼지는 경우는 확장이 갑자기 꺼질 때 원인을 순서대로 가려내는 방법을 먼저 확인해 보세요. 권한을 줄인 뒤 생기는 오류인지, 다른 확장과 충돌한 건지 갈리는 지점이 따로 있습니다.
조건별로 고르면 어떤 확장이 맞을까요
2026년 10월 기준으로 확인한 범위에서, 로그인 없이 가끔 쓰는 용도라면 Proton VPN, Windscribe, TunnelBear 확장이 후보입니다. 로그인·결제·업무가 걸린 용도라면 확장이 아니라 앱 형태의 유료 VPN으로 넘어가는 편이 낫습니다.
표의 세 무료 확장은 모두 같은 규칙 위에서만 씁니다. 로그인 없는 별도 프로필에 설치하고, 사이트 액세스를 필요한 만큼만 열어 두고, 쓰고 나면 끄는 겁니다. 이름이 알려진 곳이라는 사실은 첫 번째 조건일 뿐이에요.
이 기준에서 가장 많이 갈리는 건, 같은 크롬에서 로그인 상태로 쓰는지 여부입니다.
내 상황에 대입하면 이렇게 갈립니다
같은 확장을 깔아도 어떤 크롬에 깔았는지에 따라 노출되는 범위가 완전히 달라집니다. 로그인 없는 Chrome 프로필인지, 네이버·구글에 로그인된 프로필인지부터 아래 세 가지 상황으로 대입해 보세요.
조건 A: 로그인 없는 별도 프로필 + 해외 뉴스·영상만 시청 → 중계 서버 쪽에 접속 도메인 정도가 남습니다. 위험은 낮은 편입니다.
조건 B: 평소 쓰는 크롬 + 네이버·구글 로그인 상태 + AI 채팅 사용 + 사이트 액세스 '모든 사이트' → 확장이 마음먹으면 입력 내용과 대화 내용에 접근 가능한 구조예요. 이 조합이 가장 위험해요.
조건 C: 해외에서 국내 은행·회사 시스템에 접속해야 함 → 무료 확장 대신 유료 VPN 앱이나 회사가 제공하는 접속 방식을 확인하세요.
같은 확장이라도 조건 A와 B의 차이는 확장이 아니라 어느 크롬에 깔았느냐에서 갈립니다.
이미 설치했다면 오늘 확인할 순서
이미 무료 VPN 확장을 쓰고 있다면, 먼저 로그인 상태로 쓴 적이 있는지를 따져 보고 그다음 chrome://extensions 의 확장 목록과 계정 비밀번호를 정리하는 순서가 효율적입니다.
- chrome://extensions 에서 이름이 낯설거나 용도를 모르는 확장을 먼저 끕니다. 정리하다 보면 쓰지 않는 확장이 의외로 많아요.
- VPN 확장의 '세부정보'에서 사이트 액세스를 확인하고, 계속 쓸 게 아니라면 제거하세요.
- 그 확장을 깐 상태로 로그인했던 주요 계정(메일, 금융, 클라우드, 업무)은 비밀번호를 바꾸고 2단계 인증을 켜 두세요. 비밀번호를 복사해서 쓴 적이 있다면 더욱 필요합니다.
- AI 채팅에 민감한 내용을 넣었다면 해당 서비스에서 대화 기록을 정리하는 것도 방법이에요.
- 남은 확장 중 광고 팝업이 뜨거나 설치한 기억이 없는 것이 있으면 광고 팝업이 뜰 때 확장을 삭제하는 방법에서 순서대로 정리하세요.
자주 묻는 질문
Q. 크롬 확장 프로그램 무료 VPN을 써도 안전한가요?
A. 로그인이 없는 공개 페이지만 볼 때는 위험이 낮은 편이지만, 로그인·결제·AI 채팅이 걸린 크롬에서는 안전하다고 보기 어렵습니다. 무료 확장은 운영 비용을 메울 구조가 불분명한 경우가 많고, 자동 업데이트로 기능이 나중에 바뀔 수 있기 때문이에요. 쓴다면 운영사가 분명한 확장 하나를, 로그인 없는 별도 프로필에서 쓰세요.
Q. VPN 기능을 꺼두면 데이터 수집을 막을 수 있나요?
A. 확장에 따라 다르지만, 막지 못하는 사례가 보고됐습니다. Urban VPN Proxy의 수집 스크립트는 VPN 켜짐 여부와 무관하게 작동하고 설정으로 끌 수 없었다고 알려졌어요. 그래서 끄는 것보다 '사이트 액세스'를 줄이거나 확장을 제거하는 쪽이 확실합니다.
Q. 스토어에 Featured 배지가 있고 사용자가 수백만이면 믿어도 되나요?
A. 믿는 근거로는 약해요. Urban VPN Proxy가 Featured 배지와 600만 사용자를 갖고 있던 상태에서 문제가 됐습니다. 배지와 사용자 수는 참고용일 뿐이니, 운영사 실체와 권한을 먼저 보세요.
Q. VPN 확장 하나 설치하면 컴퓨터 전체가 보호되나요?
A. 아니요, 크롬 안의 트래픽만 해당됩니다. 카카오톡, 게임, 다른 브라우저, 운영체제 업데이트는 원래 경로를 그대로 써요. 컴퓨터 전체를 묶으려면 앱 형태의 VPN이 필요합니다.
Q. 스마트폰 크롬에도 설치할 수 있나요?
A. 모바일 크롬은 PC처럼 확장을 설치하는 방식이 기본으로 제공되지 않는다고 알려져 있습니다. 정확한 지원 현황은 Chrome 공식 도움말에서 확인하세요. 스마트폰에서 VPN을 쓰려면 확장이 아니라 별도 앱을 설치하는 방식이고, 앱 스토어의 앱도 운영사와 로그 정책을 같은 기준으로 확인해야 해요.
Q. 회사 컴퓨터에서 VPN 확장을 설치하면 안 되는 이유가 있나요?
A. 회사 보안 정책 위반이 될 수 있고, 사내 계정과 업무 내용이 외부 중계 서버를 거치게 되기 때문입니다. 설치가 막혀 있다면 보안 담당 부서의 정책이니 우회하지 말고, 해외 출장 등으로 필요하면 회사가 제공하는 접속 방식을 문의하세요.
Q. 시크릿 모드에서 쓰면 로그인 정보가 안전한가요?
A. 기본 설정에서는 시크릿 모드에서 확장이 꺼져 있어, 그 안에서는 확장의 접근이 막힙니다. 다만 확장 세부정보에서 '시크릿 모드에서 허용'을 켜 두면 똑같이 작동해요. VPN 확장은 이 옵션을 켜야 시크릿 창에서도 쓸 수 있으니, 로그인할 때는 허용 여부를 한 번 더 확인하는 편이 안전해요.
마무리: 지금 확인할 3가지
첫째, chrome://extensions 에서 VPN 확장의 사이트 액세스가 '모든 사이트'인지 확인해 보세요. 둘째, 그 확장을 설치한 크롬으로 로그인·결제·AI 채팅을 했는지 떠올려 보고, 해당되면 주요 계정 비밀번호부터 바꾸는 게 먼저예요. 셋째, 계속 쓸 거라면 로그인 없는 별도 프로필로 옮기거나 앱 형태의 VPN으로 바꾸는 쪽이 낫습니다.
확장 정리를 시작했다면 설치한 적 없는 확장이 광고를 띄울 때 지우는 순서까지 이어서 확인해 두면 한 번에 끝납니다.
'IT' 카테고리의 다른 글
| 코딩 몰라도 AI로 크롬 확장 프로그램 만들기, 내 크롬에만 설치해 테스트하는 방법 (0) | 2026.10.23 |
|---|---|
| 구글 무료 AI 툴 한도 정리 — 로그인만 되는 것과 유료 구독이 필요한 것 (2026년 10월 기준) (0) | 2026.10.23 |
| CATL 창안 전고체 배터리 주행거리·상용화 시기 정리 (2026년 10월 기준) (0) | 2026.10.21 |
| 폰봇 필요한 부품과 비용 정리, 2026년 10월 기준 400달러 내역 (0) | 2026.10.19 |
| 넥슨 N커넥트 시즌1 스트리머 참여 방법·혜택 (치지직·SOOP 2026년 10월 기준) (0) | 2026.10.19 |
