Qualquer funcionário da sua organização pode instalar um software que lê todas as páginas visitadas, coleta os cookies de sessão e troca o provedor de busca quando quiser. E isso nem é a pior parte.
Estou falando das extensões de navegador, uma ameaça séria para as organizações. Na maioria das empresas, os funcionários instalam essas extensões sem precisar de aprovação. Pior: a TI nem sabe que elas existem e, por isso, não tem como controlar, gerenciar ou proteger nada disso.
Extensões de navegador: o básico
Extensões de navegador são ferramentas integradas aos navegadores que ampliam a funcionalidade dos seus aplicativos favoritos. Todo mundo tem pelo menos uma, e a maioria dos usuários tem mais de 10. Alguns exemplos: gerenciadores de senhas, bloqueadores de anúncios, ferramentas de captura de tela, VPN, Photoshop, anotações, CRM e muito mais.
Segundo o Chrome Stats, hoje existem quase 300.000 extensões só na Chrome Web Store!
Revele os riscos ocultos do navegador
As extensões são a “nova” TI invisível
Tenho certa resistência em chamar as extensões de navegador de “nova” TI invisível, porque elas já existem há bastante tempo. Na verdade, são quase tão antigas quanto os próprios navegadores. As extensões surgiram em 1999, quando a Microsoft lançou o Internet Explorer 4, que trouxe as “Explorer Bars” (barras de ferramentas especializadas) e alterações no menu de contexto.
Mas as extensões como as conhecemos hoje — e, principalmente, os riscos associados a elas — são relativamente recentes.
As extensões de navegador começaram a ser usadas para fins maliciosos, como keylogging e rastreamento de atividade, entre 2013 e 2014. Entre os primeiros casos estão o HoverZoom (2013), que coletava as teclas digitadas, e o BBC News Reader (2014), que espionava os dados de navegação dos usuários.
Riscos das extensões maliciosas do Chrome
Para quem não conhece o assunto, as extensões de navegador parecem inofensivas. Mas espero que, ao terminar esta seção, você tenha um retrato claro dos riscos reais. Vou descrever os riscos mais urgentes e, em seguida, dar detalhes específicos e apontar incidentes em que esses riscos foram de fato explorados.
Existem quatro grandes categorias de extensões maliciosas do Chrome.
- Roubo de dados e vigilância: furto de cookies, credenciais, códigos de MFA, e-mails, histórico de navegação, capturas de tela e mais.
- Sequestro de contas e do navegador: uso de sessões autenticadas para se passar por usuários, executar ações não autorizadas, alterar configurações ou iniciar transações.
- Manipulação de conteúdo e tráfego: alteração de páginas, substituição de links, injeção de avisos falsos ou anúncios, redirecionamento de tráfego e modificação de resultados de busca.
- Comprometimento da cadeia de suprimentos de extensões: transformação de extensões antes confiáveis em armas, por meio de contas de desenvolvedores comprometidas, transferências de propriedade ou atualizações maliciosas silenciosas.
Essa generalização não faz jus ao tema. Se você ler blogs como os de John Tuckner (criador do Secure Annex, hoje da Socket), que provavelmente dedicou mais tempo a pesquisar esses problemas do que quase qualquer outra pessoa, vai ver esses temas aparecerem repetidamente.
Para manter este artigo em um tamanho razoável, escolhi três riscos para discutir com mais profundidade. São riscos que, na minha visão, atingem a maioria das organizações.
Extensões confiáveis que se tornam maliciosas
Esse é provavelmente o risco mais difícil de tratar. Ele acontece quando uma extensão até então confiável e “reconhecidamente boa” é comprometida de alguma forma. Às vezes, isso ocorre porque um desenvolvedor teve a conta do GitHub comprometida em um ataque de phishing, o que dá ao invasor acesso para alterar a extensão.
Em outros casos, o problema surge quando o dono de uma extensão a vende (por diversos motivos legítimos). Aí quem tem má intenção compra a extensão, especialmente se houver uma grande base de usuários instalada, e publica uma atualização com código ou funcionalidades maliciosas.
Exemplos reais:
- Em dezembro de 2024, um invasor aplicou phishing em um funcionário da Cyberheaven, obteve acesso de publicação na Chrome Web Store (da extensão de DLP da empresa) e enviou uma versão maliciosa aos clientes — cerca de 400.000 deles. A atualização conseguia coletar dados de páginas, cookies e informações de sessões autenticadas. Secure Annex e Sekoia publicaram relatórios detalhados sobre o caso, se quiser se aprofundar.
- Outro exemplo dessa categoria é o comprometimento do Quicklens, em fevereiro de 2026. O Quicklens é uma extensão do Chrome para o Google Lens. Tinha cerca de 7.000 usuários e o selo Featured do Google. Depois de ser vendida, recebeu uma atualização maliciosa que removia cabeçalhos de segurança do navegador e executava JavaScript fornecido remotamente dentro das páginas. De novo, o Secure Annex (hoje da Socket) tem um excelente relatório sobre isso.
Roubo de dados de sessão e de SaaS
É comum que as extensões de navegador trabalhem com ferramentas SaaS como Microsoft 365, Google Workspace, sistemas de CRM e outras. Infelizmente, é justamente isso que torna o problema tão perigoso. Você já está logado e autenticado — ou seja, a extensão também está.
Roubar esses dados de sessão pode valer mais do que roubar senhas, porque o invasor herda uma sessão já autenticada e pula o processo normal de login, incluindo as solicitações de autenticação multifator.
Exemplos reais:
- Ainda no comprometimento da Cyberheaven citado acima, a versão alterada da extensão mirava cookies de sessão, chaves de API e tokens de autenticação ligados ao Facebook Business e ao ChatGPT.
- Em 2022, a Volexity documentou um grupo ligado à Coreia do Norte usando uma extensão maliciosa para exfiltrar e-mails diretamente de sessões autenticadas do Gmail e do AOL. Sim, você leu certo: AOL. Nesse caso, foram os próprios agentes de ameaça que implantaram a extensão maliciosa, diferente da primeira categoria, em que o usuário baixa primeiro uma extensão legítima.
- Lá em 2021, a Cisco Talos encontrou uma campanha ativa de extensões maliciosas (MagnatExtension) que usava keylogging, captura de formulários, capturas de tela, roubo de cookies e coleta do histórico de navegação. É o que chamamos de “ladrão de informações”.
Manipulação de sites
Algumas extensões maliciosas do Chrome também são criadas para alterar um site depois que a página legítima é carregada. Os agentes de ameaça fazem isso para injetar telas falsas de login, trocar links, mudar dados de pagamento ou enviar ações usando a sessão autenticada do usuário.
O complicado aqui é que as alterações acontecem localmente, então a barra de endereços continua mostrando o site e o domínio legítimos. Para o usuário, infelizmente, é fácil que isso passe despercebido.
Exemplos reais:
- Em 2023, uma campanha de malware ladrão de informações apelidada de Rilide (disfarçada de Google Drive legítimo) injetou scripts maliciosos em corretoras de criptomoedas, exibiu caixas de diálogo falsas de MFA e tentou automatizar saques de criptomoedas em segundo plano.
- Mais uma vez, nas campanhas do QuickLens e do MagnatExtension, observou-se que as extensões executavam JavaScript remotamente e substituíam o conteúdo dos sites para dar suporte a phishing, roubo de dados e entrega de novos malwares.
Estratégias de mitigação de risco e governança
As extensões de navegador devem ser tratadas como qualquer outro software. As organizações precisam de um processo bem definido para o uso e a instalação dessas extensões. Como mostrei acima, esses problemas claramente não vão desaparecer. Por isso, é importante que as equipes de TI e segurança assumam o controle da situação agora. Sem gerenciamento, as extensões de navegador carregam um risco enorme.
Abaixo estão cinco medidas que dá para começar a adotar hoje mesmo para reduzir o risco das extensões de navegador e colocá-las sob controle na sua organização.
Retome o controle do navegador
Saiba o que está instalado
Mantenha um inventário de extensões de navegador. Registre nome, versão e editor. Assim como faz com sistemas de usuários finais parados, remova as extensões que não estão mais em uso. Além disso, identifique as extensões instaladas fora das lojas oficiais.
Restrinja os direitos de instalação
Como no controle de aplicativos nos sistemas dos usuários finais, bloqueie as extensões por padrão e mantenha uma lista de permissões com o que foi aprovado. Crie um processo documentado para que os funcionários solicitem novas extensões. Libere cada extensão só para os usuários ou grupos que realmente precisam dela.
Avalie as extensões antes de aprovar
Avalie as permissões, a propriedade, as práticas de coleta de dados e o comportamento de cada extensão antes de aprová-la. É mais fácil falar do que fazer, claro, mas isso pode evitar muita dor de cabeça depois. E o mais importante: não confie apenas na aprovação da loja, nas avaliações, no número de instalações ou nos selos Featured.
Monitore atividades suspeitas
Monitore continuamente as extensões aprovadas e instaladas em busca de mudanças de propriedade, novas permissões, atualizações suspeitas e conexões com novos domínios externos. Esses são os sinais de alerta típicos de que algo malicioso está acontecendo com a extensão. Exija uma nova revisão de segurança sempre que o acesso ou o comportamento de uma extensão mudar de forma relevante.
Prepare-se para um comprometimento
Assim como na resposta a um possível incidente de segurança em um sistema de usuário final, prepare a capacidade de desativar remotamente extensões comprometidas e identificar todos os usuários, dispositivos e versões afetados. Investigue quais sites e aplicativos os funcionários afetados acessaram enquanto a extensão esteve ativa. Revogue sessões e tokens expostos, troque credenciais e revise as contas envolvidas em busca de atividade não autorizada. Recomendo muito incluir isso nos seus planos de resposta a incidentes e nos exercícios de simulação.
Para fechar
Extensões de navegador não são personalizações inofensivas. São softwares de terceiros rodando dentro do mesmo navegador que seus funcionários usam para acessar e-mail, sistemas financeiros, CRM, plataformas na nuvem e dados sensíveis da empresa.
Não dá para proteger o que não se enxerga. Comece montando um inventário, restrinja a instalação às extensões confiáveis e traga as extensões para os mesmos fluxos de aprovação e monitoramento que já usa hoje. Monitore atividades suspeitas e inclua as extensões de navegador nos seus processos de resposta a incidentes.
Se hoje você não consegue identificar quais extensões estão instaladas na sua organização, existe uma falha de segurança. E é exatamente onde há falhas que os invasores atacam. Não dê essa chance a eles.
