Abbiamo scritto su come le estensioni del tuo browser ti stanno spiando in passato, ma questo problema non è migliorato. C'è ancora un flusso costante di estensioni che vanno male.
Perché le estensioni del browser sono così pericolose
Le estensioni del browser vengono eseguite nel browser Web e spesso richiedono la possibilità di leggere o modificare qualsiasi cosa sulle pagine Web visitate.
Se un'estensione ha accesso a tutte le pagine Web visitate, può fare praticamente qualsiasi cosa. Potrebbe funzionare come keylogger per acquisire password e dettagli della carta di credito, inserire pubblicità nelle pagine visualizzate, reindirizzare il traffico di ricerca altrove, tenere traccia di tutto ciò che fai online o tutte queste cose. Se un'estensione ha bisogno di scansionare le tue ricevute o altre piccole cose, probabilmente ha il permesso di scansionare la tua email perqualunque cosa-Che è estremamente pericoloso
Ciò non significa che ogni estensioneè facendo queste cose, ma loropuò- e questo dovrebbe renderti molto, molto diffidente.
I moderni browser Web come Google Chrome e Microsoft Edge dispongono di un sistema di autorizzazione per le estensioni, ma molte estensioni richiedono l'accesso a tutto per poter funzionare correttamente. Tuttavia, anche un'estensione che richiede solo l'accesso a un sito Web potrebbe essere pericolosa. Ad esempio, un'estensione che modifica Google.com in qualche modo richiederà l'accesso a tutto su Google.com e quindi avrà accesso al tuo account Google, inclusa la tua email.
Questi non sono solo piccoli e innocui strumenti. Sono piccoli programmi con un enorme livello di accesso al tuo browser web e questo li rende pericolosi. Anche un'estensione che fa solo una cosa secondaria alle pagine web visitate può richiedere l'accesso a tutto ciò che fai nel tuo browser web.
Come le estensioni sicure possono trasformarsi in malware
Nell'agosto 2017, l'estensione per sviluppatori Web molto popolare e ampiamente consigliata per Chrome è stata dirottata. Lo sviluppatore è caduto per un attacco di phishing e l'autore dell'attacco ha caricato una nuova versione dell'estensione che ha inserito più pubblicità in pagine web. Più di un milione di persone che si sono fidate dello sviluppatore di questa estensione popolare hanno finito per ottenere l'estensione infetta. Poiché si tratta di un'estensione per gli sviluppatori web, l'attacco potrebbe essere molto peggiore: non sembra che l'estensione infetta abbia funzionato come keylogger, ad esempio.
In molte altre situazioni, qualcuno sviluppa un'estensione che guadagna una grande quantità di utenti, ma non necessariamente guadagna soldi. Lo sviluppatore viene contattato da una società che pagherà una grande quantità di denaro per acquistare l'estensione. Se lo sviluppatore accetta l'acquisto, la nuova società modifica l'estensione per inserire pubblicità e tracciamento, caricandola sul Chrome Web Store come aggiornamento e tutti gli utenti esistenti utilizzano ora l'estensione della nuova società, senza preavviso.
Questo è successo a Particle for YouTube, un'estensione popolare per la personalizzazione di YouTube, a luglio 2017. La stessa cosa è successa a molte altre estensioni in passato. Gli sviluppatori di estensioni di Chrome hanno affermato di ricevere costantemente offerte per acquistare le loro estensioni. Gli sviluppatori dell'estensione Honey con oltre 700.000 utenti hanno pubblicato una volta "Ask Me Anything" su Reddit, specificando il tipo di offerte che ricevono spesso.
Oltre al dirottamento e alla vendita di estensioni, è anche possibile che un'estensione sia solo una cattiva notizia e ti rintraccia segretamente quando la installi in primo luogo.
Chrome è stato attaccato a causa della sua popolarità, ma questo problema riguarda tutti i browser. Firefox è probabilmente ancora più a rischio, dal momento che non utilizza un sistema di autorizzazione a tutti, ogni estensione che si installa ha pieno accesso a tutto.
Come minimizzare il rischio
È anche importante utilizzare solo le estensioni delle aziende di cui ti fidi. Ad esempio, un'estensione per personalizzare YouTube creata da una persona casuale di cui non hai mai sentito parlare è un candidato ideale per diventare malware. Tuttavia, il Gmail Notifier ufficiale creato da Google, la nota OneNote che prende l'estensione creata da Microsoft o l'estensione del gestore di password LastPass creata da LastPass quasi certamente non saranno vendute a una società losca per qualche migliaio di dollari.
Dovresti anche prestare attenzione alle estensioni delle autorizzazioni, quando possibile.Ad esempio, un'estensione che pretende solo di modificare un sito Web dovrebbe solo avere accesso a quel sito web. Tuttavia, molte estensioni richiedono l'accesso a tutto o l'accesso a un sito Web molto sensibile che si desidera proteggere (come la tua e-mail). Le autorizzazioni sono una buona idea, ma non sono troppo utili quando la maggior parte delle cose ha bisogno di accedere a tutto.
Ovviamente è una bella strada da percorrere. In passato, potremmo aver detto che l'estensione per gli sviluppatori Web era sicura perché era legittima. Tuttavia, lo sviluppatore è caduto per un attacco di phishing e l'estensione è diventata dannosa. È un buon promemoria che, anche se ti fidi di qualcuno che non venderà la loro estensione a una società losca, ti affidi a quella persona per la tua sicurezza. Se quella persona scivola fuori e permette che il suo account venga dirottato, finirai per affrontare le conseguenze e potrebbero essere molto peggiori di quello che è successo con l'estensione per sviluppatori Web.
