Qualquer funcion\u00e1rio da sua organiza\u00e7\u00e3o pode instalar um software que l\u00ea todas as p\u00e1ginas visitadas, coleta os cookies de sess\u00e3o e troca o provedor de busca quando quiser. E isso nem \u00e9 a pior parte.<\/p>\n
Estou falando das extens\u00f5es de navegador, uma amea\u00e7a s\u00e9ria para as organiza\u00e7\u00f5es. Na maioria das empresas, os funcion\u00e1rios instalam essas extens\u00f5es sem precisar de aprova\u00e7\u00e3o. Pior: a TI nem sabe que elas existem e, por isso, n\u00e3o tem como controlar, gerenciar ou proteger nada disso.<\/p>\n
Extens\u00f5es de navegador s\u00e3o ferramentas integradas aos navegadores que ampliam a funcionalidade dos seus aplicativos favoritos. Todo mundo tem pelo menos uma, e a maioria dos usu\u00e1rios tem mais de 10. Alguns exemplos: gerenciadores de senhas, bloqueadores de an\u00fancios, ferramentas de captura de tela, VPN, Photoshop, anota\u00e7\u00f5es, CRM e muito mais.<\/p>\n
Segundo o Chrome Stats, hoje existem quase 300.000 extens\u00f5es<\/a> s\u00f3 na Chrome Web Store! <\/p><\/div> Tenho certa resist\u00eancia em chamar as extens\u00f5es de navegador de \u201cnova\u201d TI invis\u00edvel, porque elas j\u00e1 existem h\u00e1 bastante tempo. Na verdade, s\u00e3o quase t\u00e3o antigas quanto os pr\u00f3prios navegadores. As extens\u00f5es surgiram em 1999<\/a>, quando a Microsoft lan\u00e7ou o Internet Explorer 4, que trouxe as “Explorer Bars” (barras de ferramentas especializadas) e altera\u00e7\u00f5es no menu de contexto.<\/p>\n Mas as extens\u00f5es como as conhecemos hoje \u2014 e, principalmente, os riscos associados a elas \u2014 s\u00e3o relativamente recentes.<\/p>\n As extens\u00f5es de navegador come\u00e7aram a ser usadas para fins maliciosos<\/a>, como keylogging e rastreamento de atividade, entre 2013 e 2014. Entre os primeiros casos est\u00e3o o HoverZoom (2013), que coletava as teclas digitadas, e o BBC News Reader (2014), que espionava os dados de navega\u00e7\u00e3o dos usu\u00e1rios.<\/p>\n Para quem n\u00e3o conhece o assunto, as extens\u00f5es de navegador parecem inofensivas. Mas espero que, ao terminar esta se\u00e7\u00e3o, voc\u00ea tenha um retrato claro dos riscos reais. Vou descrever os riscos mais urgentes e, em seguida, dar detalhes espec\u00edficos e apontar incidentes em que esses riscos foram de fato explorados.<\/p>\n Existem quatro grandes categorias de extens\u00f5es maliciosas do Chrome.<\/p>\n Essa generaliza\u00e7\u00e3o n\u00e3o faz jus ao tema. Se voc\u00ea ler blogs como os de John Tuckner<\/a> (criador do Secure Annex<\/a>, hoje da Socket<\/a>), que provavelmente dedicou mais tempo a pesquisar esses problemas do que quase qualquer outra pessoa, vai ver esses temas aparecerem repetidamente.<\/p>\n Para manter este artigo em um tamanho razo\u00e1vel, escolhi tr\u00eas riscos para discutir com mais profundidade. S\u00e3o riscos que, na minha vis\u00e3o, atingem a maioria das organiza\u00e7\u00f5es.<\/p>\n Esse \u00e9 provavelmente o risco mais dif\u00edcil de tratar. Ele acontece quando uma extens\u00e3o at\u00e9 ent\u00e3o confi\u00e1vel e \u201creconhecidamente boa\u201d \u00e9 comprometida de alguma forma. \u00c0s vezes, isso ocorre porque um desenvolvedor teve a conta do GitHub comprometida em um ataque de phishing, o que d\u00e1 ao invasor acesso para alterar a extens\u00e3o.<\/p>\n Em outros casos, o problema surge quando o dono de uma extens\u00e3o a vende (por diversos motivos leg\u00edtimos). A\u00ed quem tem m\u00e1 inten\u00e7\u00e3o compra a extens\u00e3o, especialmente se houver uma grande base de usu\u00e1rios instalada, e publica uma atualiza\u00e7\u00e3o com c\u00f3digo ou funcionalidades maliciosas.<\/p>\n Exemplos reais:<\/strong><\/p>\n \u00c9 comum que as extens\u00f5es de navegador trabalhem com ferramentas SaaS como Microsoft 365, Google Workspace, sistemas de CRM e outras. Infelizmente, \u00e9 justamente isso que torna o problema t\u00e3o perigoso. Voc\u00ea j\u00e1 est\u00e1 logado e autenticado \u2014 ou seja, a extens\u00e3o tamb\u00e9m est\u00e1.<\/p>\n Roubar esses dados de sess\u00e3o pode valer mais do que roubar senhas, porque o invasor herda uma sess\u00e3o j\u00e1 autenticada e pula o processo normal de login, incluindo as solicita\u00e7\u00f5es de autentica\u00e7\u00e3o multifator.<\/p>\n Exemplos reais:<\/strong><\/p>\n Algumas extens\u00f5es maliciosas do Chrome tamb\u00e9m s\u00e3o criadas para alterar um site depois que a p\u00e1gina leg\u00edtima \u00e9 carregada. Os agentes de amea\u00e7a fazem isso para injetar telas falsas de login, trocar links, mudar dados de pagamento ou enviar a\u00e7\u00f5es usando a sess\u00e3o autenticada do usu\u00e1rio.<\/p>\n O complicado aqui \u00e9 que as altera\u00e7\u00f5es acontecem localmente, ent\u00e3o a barra de endere\u00e7os continua mostrando o site e o dom\u00ednio leg\u00edtimos. Para o usu\u00e1rio, infelizmente, \u00e9 f\u00e1cil que isso passe despercebido.<\/p>\n Exemplos reais:<\/strong><\/p>\n
\nRevele os riscos ocultos do navegador<\/h2>
As extens\u00f5es s\u00e3o a \u201cnova\u201d TI invis\u00edvel<\/h2>\n
Riscos das extens\u00f5es maliciosas do Chrome<\/h2>\n
\n
Extens\u00f5es confi\u00e1veis que se tornam maliciosas<\/h2>\n
\n
Roubo de dados de sess\u00e3o e de SaaS<\/h2>\n
\n
Manipula\u00e7\u00e3o de sites<\/h2>\n