Ogni dipendente della tua organizzazione può installare software in grado di leggere ogni pagina che visita, raccogliere i cookie di sessione e cambiare a piacimento il motore di ricerca. E non è nemmeno questa la parte peggiore.
Sto parlando, naturalmente, delle estensioni del browser, una minaccia seria per le organizzazioni. Nella maggior parte delle aziende i dipendenti possono installarle senza alcuna approvazione. Il problema è che l’IT non sa nemmeno che esistono e, di conseguenza, non ha alcun modo di controllarle, gestirle o metterle in sicurezza.
Estensioni del browser: le basi
Le estensioni del browser sono strumenti integrati nei browser web che ampliano le funzionalità delle applicazioni che usi ogni giorno. Tutti ne hanno almeno una e la maggior parte degli utenti ne ha più di 10. Qualche esempio: password manager, ad blocker, strumenti per gli screenshot, VPN, Photoshop, app per prendere appunti, CRM e molto altro ancora.
Secondo Chrome Stats, oggi esistono quasi 300.000 estensioni solo nel Chrome Web Store!
Scopri i rischi nascosti del browser
Le estensioni sono il “nuovo” shadow IT
Esito un po’ a definire le estensioni del browser il “nuovo” shadow IT, perché sono in circolazione da parecchio tempo. In realtà le estensioni sono vecchie quasi quanto i browser stessi: sono comparse per la prima volta nel 1999, quando Microsoft rilasciò Internet Explorer 4, che introdusse le “Explorer Bar” (barre degli strumenti specializzate) e le modifiche ai menu contestuali.
Ma le estensioni del browser così come le conosciamo oggi – e di sicuro i rischi che comportano – sono una realtà relativamente recente.
Le estensioni del browser hanno iniziato a essere sfruttate per scopi dannosi, come il keylogging e il tracciamento delle attività, tra il 2013 e il 2014. Tra i primi casi ci sono HoverZoom (2013), che raccoglieva i tasti digitati, e BBC News Reader (2014), che spiava i dati di navigazione degli utenti.
I rischi delle estensioni Chrome dannose
A chi non conosce il tema, le estensioni del browser sembrano innocue. Dopo aver letto questa sezione, però, spero che tu abbia un quadro chiaro di quali siano i rischi reali. Descriverò i rischi più urgenti, per poi entrare nel dettaglio e citare incidenti in cui queste tecniche sono state effettivamente sfruttate.
Le estensioni Chrome dannose rientrano in quattro grandi categorie.
- Furto di dati e sorveglianza: sottrazione di cookie, credenziali, codici MFA, email, cronologia di navigazione, screenshot e altro ancora.
- Dirottamento di account e browser: uso di sessioni autenticate per impersonare gli utenti, compiere azioni non autorizzate, modificare impostazioni o avviare transazioni.
- Manipolazione di contenuti e traffico: alterazione delle pagine web, sostituzione dei link, inserimento di finestre o annunci fasulli, reindirizzamento del traffico e modifica dei risultati di ricerca.
- Compromissione della supply chain delle estensioni: trasformazione di estensioni finora affidabili in strumenti di attacco tramite account di sviluppatori compromessi, passaggi di proprietà o aggiornamenti dannosi silenziosi.
Questa panoramica generale non rende giustizia all’argomento. Se leggi blog come quello di John Tuckner (creatore di Secure Annex, oggi di proprietà di Socket), che probabilmente ha dedicato più tempo di chiunque altro a studiare questi problemi, vedrai ricorrere continuamente gli stessi schemi.
Per mantenere questo articolo di una lunghezza leggibile, ho scelto tre rischi da approfondire: quelli che, a mio parere, riguardano la maggior parte delle organizzazioni.
Estensioni affidabili che diventano dannose
Questo è probabilmente il rischio più difficile da gestire. Si verifica quando un’estensione fino a quel momento affidabile e considerata “sicura” viene compromessa in qualche modo. A volte accade perché l’account GitHub di uno sviluppatore viene compromesso con un attacco di phishing, dando così all’attaccante la possibilità di modificare l’estensione.
Altre volte il problema nasce dalla vendita dell’estensione da parte del proprietario (per i motivi legittimi più diversi). A quel punto può capitare che a comprarla siano soggetti malintenzionati, soprattutto se la base utenti installata è ampia, che poi distribuiscono un aggiornamento con codice o funzionalità dannose.
Casi reali:
- A dicembre 2024 un attaccante ha colpito con il phishing un dipendente di Cyberheaven, ottenendo l’accesso alla pubblicazione sul Chrome Web Store (per la loro estensione Chrome di DLP) e distribuendo ai clienti una versione dannosa: circa 400.000 persone. L’aggiornamento era in grado di raccogliere dati delle pagine web, cookie e informazioni sulle sessioni autenticate. Secure Annex e Sekoia hanno pubblicato report dettagliati sulla vicenda, se vuoi approfondire.
- Un altro esempio di questa categoria è la compromissione di Quicklens a febbraio 2026. Quicklens è un’estensione Chrome per Google Lens. Contava circa 7.000 utenti e aveva il badge Featured di Google. Dopo essere stata venduta, ha ricevuto un aggiornamento dannoso che rimuoveva le intestazioni di sicurezza del browser ed eseguiva all’interno delle pagine web codice JavaScript fornito da remoto. Anche in questo caso, Secure Annex (oggi di proprietà di Socket) ha pubblicato un ottimo report.
Furto di dati di sessione e SaaS
È normale che le estensioni del browser interagiscano con strumenti SaaS come Microsoft 365, Google Workspace, sistemi CRM e altro ancora. Purtroppo è proprio questo a rendere il problema particolarmente pericoloso. Tu hai già effettuato l’accesso e sei autenticato, il che significa che lo è anche l’estensione del browser.
Rubare questi dati di sessione può essere più redditizio che rubare le password, perché l’attaccante può ereditare una sessione già autenticata ed evitare di ripetere la normale procedura di accesso, comprese le richieste di autenticazione a più fattori.
Casi reali:
- Sempre nella compromissione di Cyberheaven di cui abbiamo parlato sopra, la versione compromessa dell’estensione prendeva di mira cookie di sessione, chiavi API e token di autenticazione associati a Facebook Business e ChatGPT.
- Nel 2022 Volexity ha documentato un gruppo collegato alla Corea del Nord che usava un’estensione dannosa per esfiltrare email direttamente da sessioni autenticate di Gmail e AOL. Sì, hai letto bene: AOL. In questo caso sono stati i threat actor stessi a installare l’estensione dannosa, a differenza della prima categoria di cui abbiamo parlato, in cui è l’utente a scaricare inizialmente un’estensione legittima.
- Nel 2021 Cisco Talos ha individuato una campagna attiva basata su estensioni dannose (MagnatExtension) che usava keylogging, form grabbing, screenshot, furto di cookie e raccolta della cronologia di navigazione. È ciò che viene comunemente definito un “information stealer”.
Manipolazione dei siti web
A volte le estensioni Chrome dannose vengono create per modificare un sito web dopo che la pagina legittima è stata caricata. I threat actor lo fanno per inserire finte richieste di accesso, sostituire link, cambiare i dati di pagamento o inviare azioni sfruttando la sessione autenticata dell’utente.
L’aspetto insidioso è che le modifiche avvengono in locale, quindi la barra degli indirizzi può continuare a mostrare il sito e il dominio legittimi. Per l’utente, purtroppo, è facilissimo non accorgersi di nulla.
Casi reali:
- Nel 2023 una campagna di malware per il furto di informazioni chiamata Rilide (camuffata da estensione legittima di Google Drive) inseriva script dannosi nei siti degli exchange di criptovalute, mostrava finestre MFA contraffatte e tentava di automatizzare i prelievi di criptovaluta in background.
- Anche nelle campagne QuickLens e MagnatExtension si è osservato che le estensioni eseguivano codice JavaScript da remoto e sostituivano i contenuti dei siti web per favorire phishing, furto di dati e distribuzione di ulteriore malware.
Strategie di riduzione del rischio e governance
Le estensioni del browser andrebbero trattate come qualsiasi altro software. Le organizzazioni dovrebbero definire con chiarezza un processo che disciplini l’uso e l’installazione di queste estensioni. Come ho mostrato sopra, è evidente che il problema non sparirà da solo. Per questo è importante che i team IT e di sicurezza inizino subito a gestirlo. Lasciate senza controllo, le estensioni del browser comportano un rischio enorme.
Ecco cinque azioni che puoi iniziare a mettere in pratica da oggi per ridurre il rischio legato alle estensioni del browser e iniziare a tenerle sotto controllo nella tua organizzazione.
Riprendi il controllo del browser
Sapere cosa è installato
Mantieni un inventario delle estensioni del browser. Tieni traccia di nome, versione ed editore. Esattamente come fai con i sistemi degli utenti finali non utilizzati, rimuovi le estensioni che non servono più. Individua inoltre le estensioni installate al di fuori degli store ufficiali.
Limitare i diritti di installazione
Come faresti con il controllo delle applicazioni sui sistemi degli utenti finali, blocca le estensioni per impostazione predefinita e mantieni una lista di quelle approvate. Definisci un processo documentato per i dipendenti che richiedono nuove estensioni. Consenti le estensioni solo agli utenti o ai gruppi che ne hanno davvero bisogno.
Valutare le estensioni prima di approvarle
Prima di approvare un’estensione, valutane i permessi, la proprietà, le pratiche di raccolta dati e il comportamento. È più facile a dirsi che a farsi, naturalmente, ma può evitarti molti grattacapi in seguito. E soprattutto, non affidarti solo all’approvazione dello store, alle valutazioni, al numero di installazioni o ai badge Featured.
Monitorare le attività sospette
Monitora in modo continuo le estensioni approvate e quelle attualmente installate, per individuare cambi di proprietà, nuovi permessi, aggiornamenti sospetti e connessioni verso nuovi domini esterni. Sono i tipici segnali d’allarme che qualcosa di dannoso sta accadendo in quell’estensione. Quando gli accessi o il comportamento di un’estensione cambiano in modo sostanziale, richiedi una nuova revisione di sicurezza.
Prepararsi a una compromissione
Come quando rispondi a un potenziale incidente di sicurezza su un sistema di un utente finale, predisponi la capacità di disattivare da remoto le estensioni compromesse e di identificare tutti gli utenti, i dispositivi e le versioni delle estensioni coinvolti. Verifica a quali siti web e applicazioni hanno avuto accesso i dipendenti interessati mentre l’estensione era attiva. Revoca le sessioni e i token esposti, ruota le credenziali e controlla gli account rilevanti alla ricerca di attività non autorizzate. Ti consiglio vivamente di integrare tutto questo nei tuoi piani di incident response e nelle esercitazioni tabletop.
Conclusione
Le estensioni del browser non sono innocue personalizzazioni. Sono software di terze parti che gira nello stesso browser con cui i tuoi dipendenti accedono a email, sistemi finanziari, CRM, piattaforme cloud e dati aziendali sensibili.
Non puoi proteggere ciò che non vedi. Inizia costruendo un inventario, limita le installazioni alle estensioni affidabili e porta poi le estensioni all’interno degli stessi flussi di lavoro di approvazione e monitoraggio che già usi oggi. Monitora le attività sospette e integra le estensioni del browser nei tuoi processi di incident response.
Se oggi non sei in grado di dire quali estensioni sono installate nella tua organizzazione, hai una lacuna di sicurezza. Ed è proprio dove ci sono lacune di sicurezza che gli attaccanti colpiscono. Non dare loro questa possibilità.
