浏览器扩展的安全隐患：插件如何窃取你的数据
了解恶意浏览器扩展如何窃取密码、注入广告、追踪浏览记录。Chrome网上应用店的真实案例、权限红旗信号以及如何审查已安装的扩展。
浏览器扩展的安全隐患：插件如何窃取你的数据
广告拦截、密码管理、语法检查、优惠券搜索。大多数人安装浏览器扩展时根本不会多想，因为它们让日常使用更方便。但每一个扩展都是运行在浏览器内部的软件，根据你授予的权限，它可能可以访问你在网上做的一切。
并非所有扩展都是善意开发的。有些从一开始就是为了收集数据而创建的，有些原本是正规扩展，但被卖给第三方后推送了恶意更新。Chrome网上应用店的审核流程远非完美。
扩展如何访问你的数据
安装扩展时，你会授予它一系列权限。这些权限决定了扩展能看到什么、能做什么。
- 读取和更改你在所有网站上的数据：可以看到你访问的每个页面、填写的每个表单、输入的每个密码
- 读取浏览历史记录：完全访问你访问过的所有URL
- 管理下载内容：可以触发下载或读取你的下载记录
- 修改你复制和粘贴的数据：可以拦截剪贴板中复制的密码等内容
- 与本地应用程序通信：可以与浏览器外的软件进行交互
大多数用户不看权限列表就点击"添加至Chrome"。这一次点击，就可能把网银会话、邮箱账户和所有密码的访问权交给一个陌生的开发者。
恶意扩展的真实案例
这些不是假设的场景，而是被记录在案的真实事件。
The Great Suspender（2021年）
这款拥有超过200万用户的热门Chrome扩展被卖给了一个身份不明的实体。新的所有者推送了包含恶意代码的更新，用于追踪用户浏览行为并注入广告。Google最终将其从Chrome网上应用店下架。
DataSpii（2019年）
安全研究人员发现，包括Hover Zoom和SpeakIt在内的多款热门扩展正在收集用户访问的每一个URL，并将数据出售给分析公司。被收集的数据包括纳税申报表、患者信息、旅行行程等通过URL访问的私人文件。
Web Developer for Chrome（2017年）
开发者账户被劫持，向100多万用户推送了恶意更新。被篡改的版本在用户访问的每个网页中注入广告。
Nano Adblocker和Nano Defender（2020年）
这两款热门广告拦截扩展被出售给新开发者后，更新中加入了收集浏览数据和操纵社交媒体账户的代码，影响了30多万用户。
权限红旗信号
并非所有权限都是危险的，但有些权限应该让你在安装前三思。
| 权限 | 风险等级 | 原因 |
|---|---|---|
| 读取和更改所有网站上的数据 | 高 | 可访问浏览器中的一切 |
| 读取浏览历史记录 | 高 | 可查看所有访问过的网站记录 |
| 管理下载内容 | 中 | 可能触发不需要的下载 |
| 修改复制和粘贴的数据 | 高 | 可窃取复制的密码和敏感文本 |
| 读取和更改书签 | 低 | 对隐私的影响有限 |
| 显示通知 | 低 | 可能烦人但不危险 |
| 管理应用、扩展和主题 | 高 | 可以安装或修改其他扩展 |
判断标准：如果一个简单的工具（比如取色器或截图工具）要求读取你在所有网站上的数据，那就有问题了。权限应该与功能相匹配。
如何审查已安装的扩展
Chrome
- 在地址栏输入
chrome://extensions/ - 查看每个扩展，点击"详细信息"检查权限
- 删除不认识的或不再使用的扩展
- 对保留的扩展逐一确认：是否来自知名开发者？最后更新时间是什么时候？权限是否与功能匹配？
Firefox
- 在地址栏输入
about:addons - 点击每个扩展查看其权限
- 在addons.mozilla.org的扩展页面可以查看详细的权限说明
Edge
- 在地址栏输入
edge://extensions/ - 与Chrome相同的流程。Edge使用相同的扩展格式，权限系统也是一样的
Safari
- 前往Safari > 设置 > 扩展
- 查看每个扩展可以访问哪些网站
- Safari对扩展的限制比Chrome严格，但仍然要检查已安装的扩展
每3个月做一次这样的审查。 扩展可能随时更换所有权并推送恶意更新。
扩展安全使用的最佳实践
- 保持最少安装量：只安装真正在用的。每个扩展都是一个潜在的攻击面
- 优先使用开源扩展：像uBlock Origin这样代码公开的扩展，安全研究人员可以审查
- 查看开发者信息：有网站和声誉的公司比匿名开发者更可靠
- 查看近期评价：突然出现大量差评通常意味着恶意更新或所有权变更
- 安装前检查权限：如果优惠券扩展要求读取所有浏览数据，换一个用
- 更新浏览器：浏览器更新通常包含限制扩展行为的安全补丁
- 使用独立的浏览器配置文件：在没有安装任何扩展的配置文件中进行网银等敏感操作
- 关注所有权变更：收到扩展隐私政策变更通知时，立即调查
敏感信息需要更安全的保护
浏览器扩展只是数据可能泄露的途径之一。如果你经常通过浏览器分享密码、访问码或机密笔记，风险会成倍增加。
把密码直接发到微信里，聊天记录会永久保留，恶意扩展也可能拦截到这些内容。使用LOCK.PUB，你可以创建一个有密码保护的链接来传递敏感文本，并设置过期时间。时间到了之后，访问就会被阻断。聊天记录中不会留下原文，扩展自然也无法截取。
现在就检查你的扩展
浏览器是通往你最敏感账户的入口。每一个安装的扩展都可能成为安全漏洞。今天就整理你的扩展，删除不需要的，以后安装时要更加谨慎。分享敏感信息时，请使用LOCK.PUB这样值得信赖的专用工具。