Ponad milion internautów szpiegowanych przez jedno przydatne rozszerzenie do Chrome

Zaciętość, z jaką Google wzięło się ostatnio za walkę zeszkodliwymi rozszerzeniami Chrome nie wzięła się znikąd. Ujawnionaprzez badaczy z firmy ScrapeSentry afera związana z dodatkiem WebpageScreenshot pokazuje bowiem, że dotychczasowy model bezpieczeństwadodatków do przeglądarek był niewiele wart, a skala, na jaką działajątwórcy uzłośliwionych rozszerzeń jest większa, niż sądzono.

Kto by nie chciał zainstalować w swoim Chrome pożytecznegorozszerzenia, służącego do robienia zrzutów stron WWW i oferującegonarzędzia do umieszczania na nich przypisów i grafik? Na sięgnięciepo taki właśnie dodatek o nazwie Webpage Screenshot zdecydowało sięponad 1,2 mln internautów. Najwyraźniej byli bardzo zadowoleni zeswej decyzji, gdyż średnia ocen dla dodatku w sklepie Chromeprzekroczyła 4,5.

Powodów do podejrzeń testerzy Google również nie mieli.Rozszerzenie przez pierwszy tydzień od instalacji niczego„niegrzecznego” nie robiło. Dopiero po tym pobierałododatkowy kod, uaktywniając swój szpiegowski komponent. Służył on dogromadzenia licznych wrażliwych danych z przeglądarki, w tym historiiprzeglądanych stron. Jak zauważają badacze, wielu użytkownikówwebmaili mogło w ten sposób ujawnić swoją tożsamość, gdyż działającew przeglądarce klienty pocztowe często w tytule strony umieszczająnazwę konta.

Zgromadzone dane były wysyłane na jeden adres IP w USA. Pousunięciu rozszerzenia z oficjalnego katalogu Google, rzecznikproducenta stwierdził jedynie, że w gromadzeniu w ten sposób danychnie było nic złego – zebrane informacje miały posłużyć lepszemuzrozumieniu tego, kim są jego użytkownicy i gdzie się znajdują, bypomóc w dalszym rozwoju Webpage Screenshota. Nie odniósł się jednak wżaden sposób do tego, dlaczego wykorzystano przemyślne rozwiązanie,mające ukryć zachowanie dodatku przed testerami Google'a.

Usunięcie podczas ostatniej akcji ponad190 rozszerzeń z Chrome Web Store, które miały narazić nawet 14milionów użytkowników na pewno ratuje wizerunek Google, ale nie jestżadnym strukturalnym rozwiązaniem problemu. Cristian Mariolini,analityk z zespołu odpowiedzialnego za zdemaskowanie działalnościWebpage Screenshota zauważył, że reperkusje działania takichrozszerzeń mogą być całkiem poważne dla poszkodowanych. Wyjaśnienia, że dane były potrzebne dla dalszego rozwoju dodatkubrzmią raczej niepoważnie. W tej sytuacji eksperci ze ScrapeSentry zakładają, że rzeczywisteintencje autorów były znacznie bardziej złośliwe.

By zapobiec powtórce z takich rozrywek potrzebne są nam raczej zmiany w samym Chrome,pozwalające izolować dane użytkowników przed rozszerzeniami, a przynajmniej umożliwić granularną kontrolę ich uprawnień. W końcu do czego bowiem rozszerzeniu do robienia obrazkowych zrzutów stron WWW potrzebny jest dostęp do historii przeglądania czy możliwość komunikowania się ze zdalnym serwerem?