마이크로소프트 엣지, 허락 없이 크롬 탭을 가져온다는 보고

• Windows용 Microsoft Edge가 사용자의 허용 없이, 또는 설정을 꺼둔 상태에서도 Chrome의 열린 탭과 브라우저 데이터를 가져온다는 보고가 이어짐
• Edge에는 실행할 때마다 Chrome에서 즐겨찾기·저장 암호를 넘어 거의 모든 브라우저 데이터를 가져올 수 있는 기능이 있으며, 최소 2022년 중반부터 존재함
• The Verge의 Tom Warren은 재부팅 뒤 Edge가 이전 Chrome 상태와 같은 탭으로 열렸고, 가져오기를 허용한 적도 없으며 설정도 꺼져 있었다고 밝힘
• 최근 사례는 2024년 1월 23일 배포된 Windows 11 업데이트 KB5034204 이후 늘어난 것으로 보이며, 설치 화면에는 Edge가 다른 브라우저 데이터를 정기적으로 가져온다는 문구가 포함됨
• Microsoft는 공식 코멘트를 거부했지만, 내부 사정을 아는 인물은 다른 기기에서 선택한 continuous import 상태가 기기 간 잘못 동기화됐을 수 있고 다음 Edge Stable 릴리스에서 수정 중이라고 전함

---

Edge의 Chrome 데이터 자동 가져오기 논란

• Windows 사용자들은 Edge가 Chrome의 열린 탭과 다른 데이터를 허락 없이 가져온다고 보고하고 있음
• 핵심 문제는 관련 설정이 꺼져 있어도 같은 동작이 발생한다는 점임
• Edge의 가져오기 기능은 단순한 1회성 즐겨찾기·암호 이전을 넘어, 실행 시마다 Chrome 데이터를 가져올 수 있음
• Microsoft 계정으로 로그인한 경우 가져온 데이터가 클라우드에 동기화될 수 있어, Chrome과 Edge 환경을 분리하려던 사용자에게 부담이 됨

이전부터 이어진 사용자 보고

• Windows 사용자들은 2023년부터 Edge의 가져오기 기능에서 예기치 않은 동작을 겪어 왔음
• 일부 매체는 edge://settings/profiles/importBrowsingData에서 설정을 끄는 방법을 안내했지만, 독자 반응과 사용자 보고에 따르면 설정을 꺼도 가져오기가 계속됨
• Microsoft 지원 포럼의 여러 스레드와 Reddit 게시물도 Edge가 Chrome 데이터를 예기치 않게 가져오며, 설정이 꺼져 있어도 동일하다고 주장함
• Microsoft 직원과 독립 어드바이저들은 ImportBrowsingData 설정 확인과 Group Policy 레지스트리 키 추가로 자동 가져오기를 수동 비활성화하는 방법을 제안했지만, 사용자 반응은 효과가 없다는 쪽에 가까움

Tom Warren 사례와 확산

• The Verge의 Tom Warren은 재부팅 뒤 Edge가 Chrome 재시작 전 상태와 같은 탭으로 열리는 현상을 겪음
• Warren은 Chrome 데이터를 Edge로 가져오거나 Chrome의 열린 탭 가져오기를 허용한 적이 없고, 확인 당시 해당 설정도 꺼져 있었다고 밝힘
• 온라인 보고를 보면 이 현상은 여러 사용자에게 발생하고 있으나, 모든 사용자에게 보편적으로 나타나는 것은 아님

KB5034204 업데이트 이후 두드러진 변화

• Chrome 탭이 채워진 상태로 Edge가 시작되는 사례는 2024년 1월 23일 배포된 Windows 11 업데이트 KB5034204 이후 두드러진 것으로 보임
• KB5034204 설치 과정의 화면에는 Edge가 “Windows 기기에서 사용 가능한 다른 브라우저의 데이터를 정기적으로 가져온다”는 문구가 포함됨
• 보안 연구자 Zach Edwards는 이 설치 화면 때문에 Microsoft가 이번에는 해명할 여지가 있을 수 있다고 X/Twitter에서 봄
• 다만 Edge의 Chrome 데이터 가져오기 문제 자체는 새롭지 않고, 포럼 게시물과 도움 요청에서 이미 문서화돼 있음

Microsoft의 반응과 남은 쟁점

• KB5034204는 Edge 문제 외에도 여러 Windows 11 사용자에게 설치 실패와 부팅 문제를 일으킨 것으로 보고됨
• 다른 사이트들은 앱 손상, 파일 탐색기 문제, 작업 표시줄 문제 등도 보고함
• Microsoft는 해당 문제에 대한 질문에 공식 답변을 내놓지 않았고, Edge 문제에 대해서도 공식 코멘트를 거부함
• 내부 사정을 아는 인물은 사용자가 다른 기기의 Edge 첫 실행 경험에서 continuous import를 선택한 경우, 그 상태가 기기 간 잘못 동기화됐을 가능성이 있다고 전함
  • 이 인물은 해당 동작이 의도한 기능 경험이 아니라고 봄
  • Microsoft는 다음 Edge Stable 릴리스에서 이를 처리 중인 것으로 전해짐

[GN⁺]

Hacker News 의견들

• 중복 글이라 이전 토론을 보면 됨: https://news.ycombinator.com/item?id=39179929

• 어제 올라온 토론: https://news.ycombinator.com/item?id=39179929

• Firefox도 일반적으로는 보호해주지 못한다고 봄
  엄마에게 스크린샷이나 링크를 더 쉽게 공유하라고 web.whatsapp.com에서 Whatsapp을 쓰는 법을 알려줬는데, 로그인 후 몇 초 뒤 앱스토어에서 Whatsapp이 설치됐다는 알림이 떴고 실제로 Desktop 앱이 사용자 조작 없이 설치돼 있었음
  어떻게 시작됐는지는 모르겠지만, 기본적으로 DoH가 비활성화된 것과 관련이 있을 수 있다고 봤음
  다만 많은 댓글처럼 기억이 틀렸을 가능성이 높고, Firefox에서 whatsapp.com 기록을 지우고 앱을 제거한 뒤 재현해보니 실패했음. 별도의 “앱 설치” 버튼 3개는 봤지만 모두 앱스토어의 추가 설치 확인창을 띄웠음
  https://developer.mozilla.org/en-US/docs/Web/Progressive_web...에 따르면 Firefox는 확장 없이 PWA를 지원하지 않으니 그것도 아니었음

  • 점진적 웹 앱(PWA)처럼 들리고, 아마 설치 명령을 누르도록 유도했을 가능성이 있음
  • DNS는 이 일과 전혀 관련 없다고 봄
    다른 IP를 돌려줘도 TLS 검증을 통과해야 하고, 브라우저가 할 수 있는 동작 자체가 바뀌지는 않음. 그게 가능하다면 거대한 취약점임. DoH는 보안보다는 개인정보 보호 기능에 가까움
    자세한 정보 없이는 이상하고 이해하기 어렵지만, 다른 답글처럼 PWA였을 수 있음
  • 그런 일은 일어나지 않았을 것 같음
  • “사용자 조작 없이 Desktop 앱이 설치됐다”는 건 매우 가능성이 낮음
    이런 일이 진짜라면 뉴스가 도배됐을 것이고, 기술 타블로이드들이 이런 FUD로 클릭 장사를 신나게 했을 것임
    분명 설치를 승인하거나 트리거하는 무언가를 눌렀고, 그걸 기억하지 못하는 쪽이 더 그럴듯함
  • 그 주소에서는 “Whatsapp에 로그인”할 수 없고, 앱을 다운로드해 설치하는 것만 가능하며 사이트도 그 점을 아주 명확히 보여줌

• 어느 시점부터 이런 게 다크 패턴을 넘어 불법이 되는 걸까?
  사용자가 비밀번호를 Microsoft에 업로드하는 데 동의했다고 주장할 수는 있겠지만, 피싱 사이트가 약관에 “이 가짜 은행 사이트에 비밀번호를 입력하면 ShadyFooCorp에 업로드된다”고 써둔다고 해서 기소를 피할 수 있는 건 아님

  • 이런 전술 중 상당수는 이미 불법일 것 같음. 하지만 이쯤 되면 벌금은 그냥 마케팅 비용임
    어떤 벌금이 나오든, 이 전략으로 Edge로 전환시킨 사용자 수와 비교하면 아무것도 아닐 것이라고 봄
  • ShadyFooCorp는 정부와 수많은 계약을 맺고 있지 않고, 정부 컴퓨터들이 그들의 운영체제에서 돌아가지도 않음
    그나마 진지하게 가능한 주장은 사용자 편의와 이익을 고려했고, 수집한 비밀번호를 노골적으로 오용하지 않는다는 정도일 듯함

• Debian Linux를 계속 쓰는 입장에서 Windows를 쓰는 건 거의 직장뿐임
  Windows 내부 설정은 인프라 팀에 맡기고, 사용자 설정이나 업데이트 같은 건 내 관심사가 아님. 업무용 노트북은 일할 때만 씀
  가끔 장모님 새 노트북처럼 최신 Windows를 직접 설치하고 설정해야 할 때가 있는데, 새로 해야 하는 온갖 잡다한 작업에 질리게 됨. 지난번엔 계정 생성부터 작업 표시줄의 뉴스·날씨, Microsoft Edge까지 온갖 게 끼어 있었음
  Debian 사용자라는 게 자랑스럽고, 완벽하지도 최신 게임을 다 할 수도 없지만 내게 필요한 최소한은 전부 제공함
  더 많은 사람이 Windows를 떠났으면 좋겠음. 게이머들은 지원되지 않는 게임을 포기해야 할 수도 있지만, 게임 개발사를 포함한 회사들은 돈이 있는 곳으로 감
  컴퓨터가 더 좋아지고 편리해질수록 잃는 자유도 더 커지는데, 사람들은 신경 쓰지 않음

• Microsoft가 초기 웹 1.0과 2.0 흐름을 완전히 놓친 뒤 내놓은 대응은, Meta·Google·TikTok·Apple·Amazon을 합친 것보다 더 신뢰하기 어려운 회사가 되려는 것처럼 보임
  개별 변화만 보면 다른 SaaS 업체들도 할 법한 일처럼 보일 수 있지만, 합쳐서 보면 클라우드/SaaS 시장의 대형 업체 중 Microsoft가 가장 절제력이 없어 보임

• 이건 새 일이 아님. 2개월 전에 HN에서 같은 동작을 보고했고, 새 EU DMA 업데이트로 Edge를 제거해 어떤 브라우저의 기록이든 Microsoft로 전송될 가능성을 막았다고 썼음
  https://news.ycombinator.com/item?id=38430102

• Microsoft Edge는 독특한 종류의 장난성 악성 소프트웨어임. 개발 책임자는 적어도 배정 변경이라도 받아야 하고, 이렇게까지 사용자 적대적인 데는 변명의 여지가 없음

  • Microsoft Edge가 실망스러운 건 훌륭한 브라우저였고 지금도 그럴 수 있기 때문임
    최근 저사양 컴퓨터(Celeron 6305, RAM 4GB, Windows 11)를 써야 했는데 Firefox는 제대로 돌아가지 않았음. Edge로 바꾸니 웹페이지가 훨씬 빨리 열리고 RAM과 CPU도 훨씬 덜 썼음
    문제는 설정에 들어가 쇼핑 도우미, Copilot, 사이드바 등 최소 10가지를 꺼야 했다는 것임. 평균 사용자는 이런 “기능”을 끄는 방법을 모르거나 꺼도 되는지 불안해할 것이고, 결국 광고성 요소를 계속 보여주고 Microsoft로 많은 데이터를 보내는 브라우저를 쓰게 됨
    요약하면, 저사양 컴퓨터에서 Edge는 잘 돌아가지만 Microsoft가 온갖 쓰레기를 주입해놨음
  • 이상한 건 시장 점유율을 쌓기도 전에 철저히 망가뜨렸다는 점임. 이제는 요청하지 않은 쿠폰과 대출 장치 때문에 Chrome보다도 더 나쁨
  • 변호사들 때문일 것임

• 두 가지가 궁금함

  1. Edge를 실제로 사용해야만 이런 일이 일어나는지, 아니면 Edge 창을 한 번도 열지 않아도 백그라운드에서 자동으로 일어나는지?
  2. 그렇게 수집된 데이터가 익명화 여부와 상관없이 Windows 원격 측정으로 흘러 들어가는지?
     Edge 제거도 “허용”되지 않고 원격 측정 완전 비활성화도 “허용”되지 않는 상황에서, Edge가 가져온 것이든 아니든 브라우저 기록을 Microsoft 서버로 보낼 가능성이 있다는 말이 나옴
  • MS Windows는 제거할 수 있음
  • EEA(EU)에서는 몇 주 안에 나올 업데이트로 Edge를 쉽게 제거할 수 있게 됨: https://blogs.windows.com/windows-insider/2023/11/16/preview...
    EEA 밖에서도 그렇게 하기 어렵지는 않을 것 같음
  • 1번에 대한 답을 정말 보고 싶음

• 이런 통합 작업에는 분명 엔지니어들이 참여했을 것임. 그중 일부는 지금 여기 글도 읽고 있을 수 있음
  이런 기능 구현을 정당화하려고 내부에서는 어떤 서사를 만들고 있을지 궁금함

  • 아마 “MS Edge 사용자로서, MS Edge를 열었을 때 Chromium 탭을 바로 사용할 수 있어야 하며, 그래야 MS Edge에서 끊김 없이 작업을 계속할 수 있다” 같은 사용자 이야기일 듯함
  • 프로그래밍을 할 줄 아는 것과 윤리 의식이나 공감 능력은 상관관계가 없음
    이익을 위해 사용자를 짓밟고 싶어 하는 욕망은 광고 임원들만의 전유물이 아님
  • Google이나 Meta 직원들이 전 세계를 대상으로 광고 추적과 감시망을 만들고, 청소년을 우울과 자기혐오로 몰아가는 조작까지 정당화할 때 쓰는 서사와 비슷하지 않을까
    아마 윤리를 생각하지 않아도 될 만큼 돈을 많이 버는 것일 듯함. 모두에게는 가격표가 있고, 특히 자기 이름으로 된 자산이 없는 사람은 더 그렇다고 봄
  • 달러 단위의 서사임. 돈이 들어오면 윤리는 나감
    광고, 추적, 침습적 프로파일링, 개인정보 집계 같은 명백히 반인간적인 기술로 개발자 월급을 주는 하이테크 회사들 대부분이 비슷함. 사례를 멀리서 찾을 필요도 없음
  • 1단계: Edge 사용자의 비율이나 Edge로 전환한 사용자 수 같은 KPI를 정의함
    2단계: 분기별 KPI 목표를 정함
    3단계: 목표 달성을 위한 기능과 변경 사항의 사용자 이야기를 만듦
    4단계: 구현하고 배포한 뒤 KPI 증가를 측정함
    5단계: 성공적으로 KPI 선이 올라갔다는 발표를 함