Twoje rozszerzenia przeglądarki mogą zobaczyć każde hasło, które wpisujesz

Rozszerzenia przeglądarki zwiększają funkcjonalność przeglądarki, a większość z nas ma zainstalowane przynajmniej jedno rozszerzenie firm trzecich. Zawsze mam zainstalowanych kilka rozszerzeń Chrome, które zwiększają moją produktywność, a niektórych z nich po prostu nie potrafię używać bez nich przeglądarki. Blokery reklam, narzędzia do robienia zrzutów ekranu całych stron, porównywarki cen — wszystkie wydają się na pozór nieszkodliwe.

Jednak niektóre z tych rozszerzeń, w tym te z tysiącami pięciogwiazdkowych opinii, mogą widzieć twoje hasła w momencie, gdy wpisujesz je na stronach internetowych. Luka w sposobie, w jaki przeglądarki udostępniają dane stron rozszerzeniom, daje im nieograniczony dostęp do wszystkiego, co znajduje się na stronie internetowej, a niektóre z nich zostały przyłapane na wyciekaniu wrażliwych danych użytkowników z tego powodu.

Luka w DOM, która ujawnia Twoje hasło

Jak rozszerzenia odczytują to, co wpisujesz w zwykłym tekście

Badacze z Uniwersytetu Wisconsin-Madison odkryli, że rozszerzenia przeglądarki mogą uzyskiwać dostęp do haseł wpisywanych na stronach internetowych, nawet jeśli spełniają one najnowsze standardy bezpieczeństwa Manifestu V3 w Chrome. Zespół przeanalizował ponad 7 000 stron internetowych i odkrył, że około 15% z nich przechowywało wrażliwe informacje, takie jak hasła, numery kart kredytowych i numery Social Security, bezpośrednio w kodzie HTML strony w postaci zwykłego tekstu.

Dzieje się tak z powodu sposobu, w jaki przeglądarki obsługują DOM (Document Object Model), który jest strukturą reprezentującą wszystko na stronie internetowej. Gdy wpisujesz hasło, przeglądarka przechowuje tę wartość w elemencie DOM, który każda wtyczka z odpowiednimi uprawnieniami może odczytać. Wtyczki mogą to wykorzystywać na trzy główne sposoby: rejestrowanie klawiszy, aby wychwycić każdy naciśnięty klawisz w momencie jego wciśnięcia, bezpośredni dostęp do kodu źródłowego HTML w celu pobrania zapisanych wartości oraz nadużywanie API DOM, aby wydobywać wartości z pól wprowadzania w trakcie ich wpisywania. To ostatnie podejście jest szczególnie niepokojące, ponieważ omija wszelkie wizualne maskowanie, takie jak kropki czy gwiazdki, które ukrywają hasło tylko przed ekranem, a nie przed kodem działającym w tle.

Ironią jest to, że przeglądarki są skonfigurowane w ten sposób celowo. Legalne menedżery haseł muszą odczytywać i wypełniać te pola, aby działać prawidłowo. Jednak ten sam dostęp tworzy lukę dla złośliwych rozszerzeń. Nawet najnowszy standard Chrome Manifest V3, który został zaprojektowany w celu poprawy bezpieczeństwa rozszerzeń, nie tworzy granicy bezpieczeństwa między rozszerzeniami a zawartością stron internetowych. Naukowcy stworzyli rozszerzenie typu proof-of-concept podszywające się pod asystenta AI, zgłosili je do Chrome Web Store i zostało ono zatwierdzone, udowadniając, jak łatwo szkodliwe rozszerzenie może się przedostać.

Pułapka pozwolenia

Zaufane rozszerzenia, które w jedną noc stały się złośliwe

Większość z nas instaluje rozszerzenia, które zostały sprawdzone przez oficjalne sklepy przeglądarek, co sprawia, że łatwo im zaufać. Klikamy przez monity o pozwolenie bez zastanowienia, w tym ten, który mówi Odczytuj i zmieniaj wszystkie dane na odwiedzanych stronach. To pojedyncze pozwolenie wystarczy, aby rozszerzenie miało dostęp do wszystkiego, co wpisujesz, w tym haseł.

Co pogarsza sytuację, to fakt, że niektóre rozszerzenia działają w dobrej wierze przez wiele lat, zanim staną się wrogie. Kampania ShadyPanda, która trwa od 2018 roku, skompromitowała około 4,3 miliona użytkowników Chrome i Edge, poprzez wprowadzanie złośliwych aktualizacji do wcześniej legalnych rozszerzeń. Niektóre z tych dodatków działały bez zarzutu przez siedem lat, zanim otrzymały swój pierwszy złośliwy ładunek. WeTab, rozszerzenie nowej karty dla Microsoft Edge z ponad trzema milionami instalacji i tysiącami pozytywnych opinii, zostało wykryte wstrzykujące złośliwe linki i wysyłające dane przeglądania na serwery w Chinach, podczas gdy użytkownicy nie mieli pojęcia, że cokolwiek się zmieniło.

Rozszerzenie MEGA.nz dla Chrome zostało naruszone w 2018 roku, co spowodowało wyciek nazw użytkowników, haseł i kluczy kryptowalut od szacunkowo 1,6 miliona użytkowników przez cztery godziny, zanim ktokolwiek to zauważył. W 2024 roku rozszerzenie przeglądarki CyberHaven zostało przejęte za pomocą ataku phishingowego OAuth i użyte do wykradzenia ciasteczek, tokenów sesji oraz danych kont reklam na Facebooku od ponad 400 000 użytkowników. Rozszerzenie przeglądarki Trust Wallet doznało podobnego naruszenia, które doprowadziło do kradzieży kryptowalut o wartości około 7 milionów dolarów.

Jak mogłeś już zauważyć, nie są to nieznane rozszerzenia od nieznanych twórców. Były popularne, dobrze oceniane i zaufane przez miliony, dopóki nie przestały takie być.

Co możesz zrobić, aby się chronić

Zmniejszanie powierzchni ataku we wszystkich przeglądarkach

Jeśli myślisz, że przejście z Chrome na Firefox rozwiąże ten problem, to nieprawda. Kampania złośliwych rozszerzeń DarkSpectre niedawno uderzyła w Firefoxa operacją GhostPoster, w której atakujący ukrywali złośliwy kod JavaScript wewnątrz plików PNG przy użyciu steganografii. Dotknięte rozszerzenia miały ponad 840 000 pobrań w różnych przeglądarkach, a niektóre były aktywne nawet przez pięć lat, zanim badacze je ujawnili.

Mozilla od tego czasu usunęła dotknięte dodatki i wyłączyła je w przeglądarkach użytkowników, ale użytkownicy Chrome i Edge z tymi samymi zagrożonymi rozszerzeniami wciąż muszą je ręcznie odinstalować. To dowodzi, że nie jest to problem wyłącznie Chrome, lecz problem całego ekosystemu rozszerzeń przeglądarki, więc przejście na inną przeglądarkę nie jest rozwiązaniem.

Najlepszym sposobem, aby się chronić, jest utrzymywanie jak najmniejszej liczby rozszerzeń. Regularnie sprawdzaj zainstalowane rozszerzenia i usuń te, których nie używałeś od jakiegoś czasu. Niedawno przeglądałem swoje stare rozszerzenia w Chrome i zdałem sobie sprawę, że miałem dodatki, których nie dotykałem od miesięcy. Zanim zainstalujesz coś nowego, sprawdź kwalifikacje twórcy, przeczytaj ostatnie recenzje pod kątem podejrzanych działań i zastanów się nad każdym rozszerzeniem, które prosi o szerokie uprawnienia, których ewidentnie nie potrzebuje.

Twój przeglądarka prawdopodobnie już ma wbudowane funkcje, które zastępują popularne rozszerzenia. Chrome, na przykład, ma teraz wbudowany menedżer haseł, tłumaczenie stron, listę do przeczytania i narzędzia do robienia zrzutów ekranu, co sprawia, że wiele popularnych rozszerzeń staje się zbędnych. Mniej rozszerzeń oznacza mniej potencjalnych punktów wejścia dla atakujących.

Dla swoich kont, wymień hasła na klucze dostępu tam, gdzie tylko możesz, i włącz weryfikację dwuetapową wszędzie tam, gdzie jest to możliwe. Kluczy dostępu nie da się przechwycić przez dostęp do DOM, ponieważ nie ma nic do wpisania. Aktualizuj swoją przeglądarkę i zwracaj uwagę na podejrzane zachowania, takie jak automatyczne otwieranie się kart prowadzących do stron hazardowych, dla dorosłych lub afiliacyjnych — to często znak, że jakaś rozszerzenie zaczęło działać nieprawidłowo. Naukowcy z Wisconsin zalecają również, aby strony internetowe zmieniły sposób obsługi wrażliwych pól wejściowych, tak aby hasła nie były ujawniane w HTML, ale to zadanie dla deweloperów do naprawienia, a nie coś, czym możesz zarządzać samodzielnie.

Powinniśmy zwrócić trochę uwagi na to, co instalujemy

Najniebezpieczniejsze rozszerzenia to nie te, które od samego początku zostały stworzone w złych intencjach, lecz te popularne i dobrze utrzymywane, które zostają wykupione przez cyberprzestępcę lub przejęte w wyniku ataku na łańcuch dostaw, a użytkownicy nawet o tym nie wiedzą. Pewnego dnia blokują reklamy lub zarządzają kartami, a następnego cicho zbierają twoje dane logowania przez aktualizację, której nigdy nie zauważyłeś.

Nie ma jednej uniwersalnej metody na to. Sklepy z przeglądarkami robią, co w ich mocy, stosując automatyczne przeglądy i ręczne kontrole, ale ukryte kampanie pokazały, że mogą pozostać niezauważone przez lata. Najlepsze, co możesz zrobić, to utrzymywać krótką listę rozszerzeń, być sceptycznym wobec uprawnień oraz korzystać z kluczy dostępu i uwierzytelniania dwuskładnikowego jako zabezpieczenia, gdy coś nieuchronnie się prześlizgnie.