Le estensioni del browser sono un incubo per la privacy che smette di usarne molti

Le estensioni del browser sono molto più pericolose di quanto la maggior parte delle persone capisca. Questi piccoli strumenti hanno spesso accesso a tutto ciò che fai online, in modo che possano catturare le tue password, tenere traccia della tua navigazione sul web, inserire pubblicità nelle pagine web che visiti e altro ancora. Le estensioni dei browser più comuni vengono spesso vendute a società losche o dirottate e gli aggiornamenti automatici possono trasformarle in malware.

Abbiamo scritto su come le estensioni del tuo browser ti stanno spiando in passato, ma questo problema non è migliorato. C'è ancora un flusso costante di estensioni che vanno male.

Perché le estensioni del browser sono così pericolose

Le estensioni del browser vengono eseguite nel tuo browser web e spesso richiedono la possibilità di leggere o modificare tutto sulle pagine Web visitate.

Se un'estensione ha accesso a tutte le pagine Web visitate, può fare praticamente qualsiasi cosa. Potrebbe funzionare come un keylogger per acquisire le password e i dati della carta di credito, inserire pubblicità nelle pagine visualizzate, reindirizzare il traffico di ricerca altrove, tenere traccia di tutto ciò che fai online o tutte queste cose. Se un'estensione ha bisogno di scansionare le tue ricevute o altre piccole cose, probabilmente ha il permesso di scansionare la tua email per qualunque cosa-che è estremamente pericoloso.

Ciò non significa che ogni estensione è facendo queste cose, ma loro può-e questo dovrebbe renderti molto, molto diffidente.

I moderni browser Web come Google Chrome e Microsoft Edge dispongono di un sistema di autorizzazione per le estensioni, ma molte estensioni richiedono l'accesso a tutto per poter funzionare correttamente. Tuttavia, anche un'estensione che richiede solo l'accesso a un sito Web potrebbe essere pericolosa. Ad esempio, un'estensione che modifica Google.com in qualche modo richiederà l'accesso a tutto su Google.com e quindi avrà accesso al tuo account Google, inclusa la tua email.

Questi non sono solo piccoli e innocui strumenti. Sono piccoli programmi con un enorme livello di accesso al tuo browser web e questo li rende pericolosi. Anche un'estensione che fa solo una piccola cosa alle pagine web visitate può richiedere l'accesso a tutto ciò che fai nel tuo browser web.

Come le estensioni sicure possono trasformarsi in malware

I browser web moderni come Google Chrome aggiornano automaticamente le estensioni del browser installate. Se un'estensione richiede nuove autorizzazioni, verrà temporaneamente disattivata fino a quando non le consentirai. In caso contrario, la nuova versione dell'estensione verrà eseguita con tutte le stesse autorizzazioni della versione precedente. Questo porta a problemi.

Nell'agosto 2017, l'estensione per sviluppatori Web molto popolare e ampiamente consigliata per Chrome è stata dirottata. Lo sviluppatore è caduto per un attacco di phishing e l'autore dell'attacco ha caricato una nuova versione dell'estensione che ha inserito più pubblicità in pagine web. Più di un milione di persone che si fidano dello sviluppatore di questa estensione popolare hanno finito per ottenere l'estensione infetta. Poiché si tratta di un'estensione per gli sviluppatori web, l'attacco potrebbe essere molto peggiore: non sembra che l'estensione infetta abbia funzionato come keylogger, ad esempio.

In molte altre situazioni, qualcuno sviluppa un'estensione che guadagna una grande quantità di utenti, ma non necessariamente guadagna soldi. Lo sviluppatore viene contattato da una società che pagherà una grande quantità di denaro per acquistare l'estensione. Se lo sviluppatore accetta l'acquisto, la nuova società modifica l'estensione per inserire pubblicità e tracciamento, caricandola sul Chrome Web Store come aggiornamento e tutti gli utenti esistenti utilizzano ora l'estensione della nuova società, senza preavviso.

Questo è successo a Particle for YouTube, un'estensione popolare per la personalizzazione di YouTube, a luglio 2017. La stessa cosa è successa a molte altre estensioni in passato. Gli sviluppatori di estensioni di Chrome hanno affermato di ricevere costantemente offerte per acquistare le loro estensioni. Gli sviluppatori dell'estensione Honey con oltre 700.000 utenti hanno pubblicato una volta "Ask Me Anything" su Reddit, specificando il tipo di offerte che ricevono spesso.

Oltre al dirottamento e alla vendita di estensioni, è anche possibile che un'estensione sia solo una cattiva notizia e ti rintraccia segretamente quando la installi in primo luogo.

Chrome è stato attaccato a causa della sua popolarità, ma questo problema riguarda tutti i browser. Firefox è probabilmente ancora più a rischio, dal momento che non utilizza un sistema di permessi a tutti-ogni estensione che si installa ottiene pieno accesso a tutto.

Come minimizzare il rischio

Ecco come stare al sicuro: usa il minor numero possibile di estensioni. Se non si utilizza molto da un'estensione, disinstallarlo. Prova a ridimensionare l'elenco delle estensioni installate solo per l'essenziale per ridurre al minimo la possibilità che una delle estensioni installate vada male.

È anche importante utilizzare solo le estensioni delle aziende di cui ti fidi. Ad esempio, un'estensione per personalizzare YouTube creata da una persona casuale di cui non hai mai sentito parlare è un candidato ideale per diventare malware. Tuttavia, il Gmail Notifier ufficiale creato da Google, la nota OneNote che prende l'estensione creata da Microsoft o l'estensione del gestore di password LastPass creata da LastPass quasi certamente non saranno vendute ad una società losca per qualche migliaio di dollari.

Si dovrebbe anche prestare attenzione alle estensioni delle autorizzazioni richiedono, quando possibile. Ad esempio, un'estensione che pretende solo di modificare un sito Web dovrebbe solo avere accesso a quel sito web. Tuttavia, molte estensioni richiedono l'accesso a tutto o l'accesso a un sito Web molto sensibile che si desidera proteggere (come la tua e-mail). Le autorizzazioni sono una buona idea, ma non sono troppo utili quando la maggior parte delle cose ha bisogno di accedere a tutto.

Naturalmente, è una bella strada da percorrere. In passato, potremmo aver detto che l'estensione per gli sviluppatori Web era sicura perché era legittima. Tuttavia, lo sviluppatore è caduto per un attacco di phishing e l'estensione è diventata dannosa. È un buon promemoria che, anche se ti fidi di qualcuno che non venderà la loro estensione a una società losca, fai affidamento su quella persona per la tua sicurezza. Se quella persona scivola fuori e permette che il suo account venga dirottato, finirai per affrontare le conseguenze e potrebbero essere molto peggiori di quello che è successo con l'estensione per sviluppatori Web.