Bezpečnostní rizika rozšíření prohlížeče: jak doplňky mohou ukrást vaše data

Rozšíření prohlížeče usnadňují každodenní život. Blokátory reklam, správci hesel, kontrola gramatiky, hledače slevových kupónů. Většina lidí si jich pár nainstaluje bez dlouhého přemýšlení. Každé přidané rozšíření je ale kus softwaru, který běží uvnitř vašeho prohlížeče a má různě velký přístup ke všemu, co online děláte.

Problém je, že ne všechna rozšíření vznikají s dobrými úmysly. Některá jsou od začátku navržena ke sběru dat. Jiná začínají poctivě, ale pak je koupí pochybné firmy, které do nich pošlou škodlivé aktualizace. A schvalovací procesy v Chrome Web Store, Firefox Add-ons a dalších obchodech mají k dokonalosti daleko.

Jak rozšíření prohlížeče přistupují k vašim datům

Když rozšíření nainstalujete, udělíte mu oprávnění. Ta určují, co rozšíření vidí a co smí dělat. Tady je přehled, co jednotlivé úrovně oprávnění umožňují:

• Číst a měnit všechna vaše data na všech webech: rozšíření vidí každou stránku, kterou navštívíte, každý formulář, který vyplníte, a každé heslo, které zadáte
• Číst historii procházení: plný přístup ke každé URL adrese, kterou jste navštívili
• Spravovat stahování: může spouštět stahování nebo číst historii stahování
• Upravovat data, která kopírujete a vkládáte: může zachytit obsah schránky včetně zkopírovaných hesel
• Komunikovat se spolupracujícími nativními aplikacemi: může komunikovat se softwarem mimo prohlížeč

Většina uživatelů klikne na „Přidat do Chromu“, aniž by si seznam oprávnění přečetla. Jediné kliknutí přitom může neznámému vývojáři zpřístupnit vaše bankovní relace, e-mailové účty a každé heslo, které zadáte.

Skutečné případy škodlivých rozšíření

Nejde o hypotetické scénáře. Jde o zdokumentované případy rozšíření prohlížeče, která byla přistižena při krádeži uživatelských dat.

The Great Suspender (2021)

Toto populární rozšíření pro Chrome s více než 2 miliony uživatelů bylo prodáno neznámému subjektu. Nový vlastník vydal aktualizaci se škodlivým kódem, který sledoval procházení uživatelů a vkládal reklamy. Google ho nakonec z Chrome Web Store odstranil.

DataSpii (2019)

Bezpečnostní výzkumníci zjistili, že několik populárních rozšíření, například Hover Zoom a SpeakIt, sbíralo URL adresy, které uživatelé navštívili, a tato data o prohlížení se pak prodávala předplatitelům analytické služby. Mezi nasbíranými daty byla daňová přiznání, informace o pacientech, cestovní itineráře a další soukromé dokumenty otevírané přes URL adresy.

Web Developer for Chrome (2017)

Přes napadený vývojářský účet byla více než 1 milionu uživatelů tohoto rozšíření doručena škodlivá aktualizace. Kompromitovaná verze vkládala reklamy do každé webové stránky, kterou uživatel navštívil.

CopyFish a Web Paint (2017)

Phishingové útoky na vývojáře rozšíření umožnily útočníkům tato rozšíření převzít a vydat aktualizace, které vkládaly reklamy a přesměrovávaly uživatele na škodlivé weby.

Nano Adblocker a Nano Defender (2020)

Po prodeji novým vývojářům dostaly tyto populární blokátory reklam aktualizaci s kódem, který sbíral data o procházení a manipuloval s účty na sociálních sítích. Zasaženo bylo přes 300 000 uživatelů.

Varovná oprávnění

Ne každé oprávnění je nebezpečné, ale u některých byste si instalaci měli dvakrát rozmyslet.

Oprávnění	Míra rizika	Proč na tom záleží
Číst a měnit všechna vaše data na všech webech	Vysoká	Plný přístup ke všemu ve vašem prohlížeči
Číst historii procházení	Vysoká	Úplný záznam všech navštívených webů
Spravovat stahování	Střední	Může spouštět nechtěná stahování
Upravovat data, která kopírujete a vkládáte	Vysoká	Může ukrást zkopírovaná hesla a citlivý text
Číst a měnit záložky	Nízká	Omezený dopad na soukromí
Zobrazovat oznámení	Nízká	Může obtěžovat, ale není nebezpečné
Spravovat aplikace, rozšíření a motivy	Vysoká	Může instalovat nebo upravovat jiná rozšíření

Základní pravidlo: Pokud jednoduchý nástroj (třeba výběr barev nebo nástroj na snímky obrazovky) žádá o oprávnění číst všechna vaše data na všech webech, něco je špatně. Oprávnění by měla odpovídat funkcím.

Jak zkontrolovat svá rozšíření

Chrome

1. Otevřete chrome://extensions/
2. Projděte jednotlivá rozšíření a kliknutím na „Podrobnosti“ zkontrolujte oprávnění
3. Odstraňte vše, co nepoznáváte nebo už nepoužíváte
4. U každého zbývajícího rozšíření ověřte: Pochází od známého a renomovaného vývojáře? Kdy bylo naposledy aktualizováno? Odpovídá seznam oprávnění jeho funkcím?

Firefox

1. Otevřete about:addons
2. Klikněte na jednotlivá rozšíření a projděte jejich oprávnění
3. Firefox při instalaci zobrazuje podrobný rozpis oprávnění. Pokud jste ho přehlédli, podívejte se na stránku rozšíření na addons.mozilla.org

Edge

1. Otevřete edge://extensions/
2. Postup je stejný jako v Chromu. Edge používá stejný formát rozšíření, takže systém oprávnění je totožný

Safari

1. Otevřete Safari > Nastavení > Rozšíření
2. U každého rozšíření je vidět, k jakým webům má přístup
3. Safari omezuje rozšíření přísněji než Chrome, přesto zkontrolujte, co máte nainstalované

Tuto kontrolu provádějte každé 3 měsíce. Rozšíření mohou kdykoli změnit vlastníka a vydat škodlivou aktualizaci.

Osvědčené postupy pro bezpečnost rozšíření

1. Držte počet rozšíření na minimu: Instalujte jen to, co opravdu používáte. Každé rozšíření je další prostor pro útok
2. Pokud to jde, používejte známá open source rozšíření: Rozšíření jako uBlock Origin mají veřejný kód, který mohou bezpečnostní výzkumníci prověřit
3. Prověřte vývojáře: Podívejte se, kdo rozšíření vytvořil. Firma s webem a dobrou pověstí je bezpečnější volba než anonymní vývojář
4. Čtěte nedávné recenze: Náhlý příval negativních recenzí často signalizuje škodlivou aktualizaci nebo změnu vlastníka
5. Před instalací zkontrolujte oprávnění: Pokud rozšíření na slevové kupóny chce číst všechna vaše data o procházení, najděte si jiné
6. Aktualizujte prohlížeč: Aktualizace prohlížeče často obsahují bezpečnostní záplaty, které omezují, co rozšíření smějí dělat
7. Používejte oddělené profily prohlížeče: Pro bankovnictví a citlivé úkony mějte čistý profil bez jediného rozšíření
8. Sledujte změny vlastníka: Pokud dostanete upozornění, že se změnily zásady ochrany soukromí některého rozšíření, okamžitě to prověřte

Citlivé informace si zaslouží lepší ochranu

Rozšíření prohlížeče jsou jen jednou z mnoha cest, kudy mohou být vaše data kompromitována. Pokud přes prohlížeč pravidelně sdílíte hesla, přístupové kódy nebo důvěrné poznámky, riziko se násobí.

Místo abyste citlivý text vkládali do WhatsAppu, kde zůstane v historii chatu navždy (a kde by ho mohlo zachytit škodlivé rozšíření), zvažte specializovaný nástroj. LOCK.PUB vám umožní vytvořit pro jakýkoli text odkaz chráněný heslem s dobou platnosti (Pro). Příjemce otevře odkaz, zadá heslo a obsah si přečte. Žádné rozšíření prohlížeče ho nemůže vytáhnout z historie chatu, protože se v ní nikdy neocitl.

Převezměte kontrolu nad bezpečností prohlížeče

Prohlížeč je bránou k vašim nejcitlivějším účtům. Každé nainstalované rozšíření přidává další možné slabé místo. Zkontrolujte svá rozšíření ještě dnes, odstraňte, co nepotřebujete, a buďte opatrní s tím, co přidáte v budoucnu.

Pro sdílení čehokoli citlivého přes prohlížeč používejte důvěryhodné nástroje vytvořené přímo pro tento účel, jako je LOCK.PUB, místo abyste spoléhali na bezpečnost rozšíření, která zrovna náhodou běží.

Vytvořit tajný odkaz -->