Rozšíření do prohlížeče, známé jako „extensions“, obvykle najdeme v oficiálním Chrome Web Store. Jenže některá z nich se tam už neobjeví. Vývojáři totiž mohou své doplňky „odregistrovat“ nebo nastavit jako nezveřejněné (unlisted). Důvod? Někdy se tím chtějí vyhnout zpětné vazbě, jindy testují nové funkce. Ale jak upozorňuje Tuckner, tenhle trik si rychle osvojili i útočníci.

Skrytá rozšíření se totiž dají snadno distribuovat mimo dohled Googlu. Běžný uživatel na ně nenarazí ve vyhledávání, ale pokud dostane přímý odkaz, může si je nainstalovat. A tím se začíná odvíjet scénář, který může končit zneužitím dat, sledováním pohybu na webu nebo narušením soukromí.

Co všechno ta rozšíření chtějí?

Některé z odhalených doplňků, například „Fire Shield Extension Protection“, požadují podezřele široký přístup. Nejde jen o běžná oprávnění – rozšíření chtějí vidět weby, které navštěvujeme, přistupovat ke cookies, spravovat záložky a dokonce spouštět vlastní skripty. V praxi to znamená, že mohou analyzovat každé tvoje kliknutí, každou adresu URL i obsah stránky.

Ačkoli Tuckner dodává, že zatím nenašel přímé důkazy o krádeži hesel nebo platebních údajů, kombinace oprávnění a fakt, že jde o software ovladatelný na dálku, je zásadním bezpečnostním rizikem. Pokud někdo převezme kontrolu nad takovým doplňkem, může z něj udělat nástroj pro špehování nebo krádeže dat – bez jakéhokoli varování.

Zdroj: Shutterstock

Proč jsou skryté doplňky nebezpečnější než ty veřejné?

Veřejná rozšíření procházejí určitými kontrolami – alespoň základními. U těch nezveřejněných ale žádná reálná kontrola neexistuje. Nevidíme recenze, historii aktualizací a pokud se s doplňkem něco stane, není snadné zjistit proč.

Tuckner ve svém reportu zdůrazňuje, že právě tahle míra „neviditelnosti“ je největší problém. Bezpečnostní týmy nedokážou takové doplňky snadno odhalit ani sledovat, což z nich dělá ideální nástroj pro útočníky, kteří chtějí zůstat mimo radar.

A co víc – běžný uživatel, který si podobný doplněk nainstaluje, často netuší, že právě otevřel vrátka do svého prohlížeče. Dokud se něco opravdu nestane, všechno na první pohled funguje.