Une nouvelle étude de LayerX Security révèle l'existence de plusieurs réseaux d'extensions de navigateur qui collectent des données utilisateur pour les revendre à des fins lucratives, et ce, en toute légalité. Contrairement aux extensions malveillantes qui se font passer pour des extensions légitimes et agissent en secret, ces extensions indiquent clairement aux utilisateurs qu'elles vont collecter et vendre leurs données. C'est inscrit en toutes lettres dans la politique de confidentialité ; sauf que personne ne la lit.
LayerX a analysé les politiques de confidentialité de milliers d'extensions et a découvert plus de 80 extensions différentes qui collectent et vendent des données clients. Parmi ces extensions, on trouve :
Bien que les extensions de navigateur puissent paraître inoffensives, ces résultats mettent en lumière les risques d'atteinte à la vie privée liés à une utilisation non réglementée de ces extensions.
Politiques de confidentialité. Les lire, c'est d'un ennui mortel. Pour la plupart des utilisateurs, c'est pire que de lire les petites lignes de leur contrat de prêt immobilier ; c'est dire !
Sauf que nous l'avons fait.
Les chercheurs en sécurité Dar Kahllon et Guy Erez de LayerX Security ont analysé les politiques de confidentialité de milliers d'extensions de navigateur disponibles sur les plateformes officielles. Ils recherchaient une chose précise : si l'éditeur s'était explicitement réservé le droit de… vendre les données des utilisateurs.
Et nous les avons trouvées. Notre analyse a révélé au moins 80 extensions de ce type, certaines fonctionnant de concert, et développées par le même développeur. Elles comprennent des bloqueurs de publicités, des outils de streaming, des assistants de candidature, des extensions pour nouvel onglet et des plateformes d'aide à la vente B2B.
La plupart de ces politiques ne disent pas « nous vendons vos données », mais « nous pouvons les vendre ». C'est une protection juridique, mais cela signifie que vos données peuvent être vendues à tout moment, et vous y avez déjà consenti. Voici comment cela se traduit concrètement :
« Nous pouvons vendre ou partager vos informations personnelles avec des tiers. »
« Ces informations peuvent être vendues à des partenaires commerciaux ou partagées avec eux. »
Bon, pour être honnête, la plupart ne le font pas.
Figure 1. Transparence de la politique de confidentialité
Selon LayerX Rapport sur la sécurité des extensions de navigateur d'entreprise 202671 % des extensions disponibles sur le Chrome Web Store ne publient même pas de politique de confidentialité.
Par conséquent, plus de 73 % des utilisateurs ont au moins une extension installée sans politique de confidentialité, sans aucune transparence quant au traitement de leurs données. De ce fait, notre analyse n'a pu se baser que sur les 29 % d'extensions disposant d'une politique de confidentialité.
Et si l'on part du principe que certaines de ces extensions sans aucune politique de confidentialité revendent également vos données – et rien ne permet de supposer qu'elles sont meilleures –, le nombre réel d'extensions susceptibles de vendre vos données sur le Chrome Web Store se situe dans… des dizaines de milliers.
Nous avons mis en place un système d'analyse des politiques de confidentialité associées aux extensions de navigateur dans les boutiques officielles, combinant classification automatisée et vérification manuelle.
À partir d'environ 9 000 extensions avec des URL de politique de confidentialité dans notre base de données, nous avons réussi à récupérer et à analyser 6 666 politiques.
Le pipeline comportait trois étapes :
L'ensemble de données final ne comprend que les extensions dont les politiques de confidentialité indiquent une véritable vente commerciale de données utilisateur à des tiers.
Ces chiffres peuvent paraître faibles, mais il faut garder à l'esprit qu'ils ne concernent que les extensions dotées d'une politique de confidentialité (moins d'un tiers des extensions) et celles qui indiquent clairement l'utilisation de vos données. Le nombre réel est très certainement plus élevé.
Voici quelques-unes de nos principales conclusions :
Lors de l'examen des vendeurs confirmés, une tendance s'est dégagée à plusieurs reprises. Des extensions différentes, des plateformes de streaming différentes, mais le même préfixe de trois lettres : QVI – abréviation de « Quality Viewership Initiative ».
Ce qui semblait être des outils sans lien apparent s'est avéré être une seule et même opération : 24 extensions de navigateur – 21 actuellement actives, 3 supprimées – couvrant la quasi-totalité des principaux services de streaming.
Tous publiés par HideApp LLC, enregistrée au 1021 East Lincolnway, Cheyenne, Wyoming – une adresse partagée par des centaines d’autres SARL par le biais d’un service d’agent enregistré – et opérant sous la marque «application de chien. »
Les plus grandes extensions du réseau :
Sur l'ensemble des 21 extensions actives, le réseau couvre près de 800,000 utilisateurs.
Figure 2. Page de l'extension « Image de profil personnalisée pour Netflix [QVI] » dans le Chrome Web Store
Mais leur politique de confidentialité mentionne un point que les fiches produits ne précisent pas. Ces extensions collectent de nombreuses informations, notamment :
Ils collectent également l'âge et le sexe – et si vous ne fournissez pas de données démographiques, ils comparent votre adresse e-mail à des bases de données démographiques tierces pour combler les lacunes.
Figure 3. Données déclarées comme collectées par la politique de confidentialité de l'extension « Photo de profil personnalisée pour Netflix [QVI] ».
Cette politique décrit la vente de rapports aux créateurs de contenu et aux studios, aux plateformes de streaming, aux sociétés d'études de marché et aux agences de marketing, ainsi qu'aux « organisations qui achètent des données de visionnage anonymisées ».
En résumé, il s'agit d'un système de mesure d'audience distribué, fonctionnant directement dans les navigateurs des utilisateurs. Un éditeur anonyme collecte les données de visionnage sur toutes les principales plateformes de streaming, ce qui lui permet de recueillir des informations sur ce que regardent près de 800 000 personnes, quand et comment elles interagissent avec le contenu. Aucun de ces utilisateurs n'a donné son accord. Juridiquement, ils ont accepté les conditions d'utilisation en cliquant sur « Ajouter à Chrome ». En pratique, personne ne les a lues.
Nous avons confirmé huit bloqueurs de publicité qui se réservent le droit de vendre ou de partager les informations des utilisateurs avec des tiers. Des outils que les gens installent pour empêcher le suivi – qui vendent en revanche les données de suivi. Ensemble, ils concernent plus de 5.5 millions d'utilisateurs.
Si votre bloqueur de publicités possède une politique de confidentialité de plus de deux paragraphes, lisez-la.
Figure 4. Bloqueur de publicités mis en avant dans le Chrome Web Store
Ce ne sont pas les extensions les plus importantes de la liste, mais elles montrent à quel point le modèle de vente de données est répandu.
Parmi les 82 vendeurs confirmés, 29 sont des outils d'aide à la vente B2B. Leur activité is Ces données étant déjà connues, leur divulgation n'est pas surprenante. Nous ne les prenons pas en compte avec les extensions destinées aux consommateurs.
Mais ces éléments ont toute leur place dans cette discussion. Ces extensions sont installées sur les ordinateurs de l'entreprise. Cela signifie que les activités de navigation des employés, comme les URL internes, les tableaux de bord SaaS et les recherches effectuées, sont intégrées à des bases de données commerciales que vos concurrents peuvent acquérir. Le risque ne réside pas dans la tromperie des utilisateurs, mais dans la fuite de données de l'entreprise par un canal non surveillé.
La plupart des évaluations de sécurité des extensions se concentrent sur les autorisations ou les indicateurs de menaces connus : elles signalent les extensions qui demandent un accès excessif ou qui correspondent aux informations sur les menaces. Cela permet de détecter les logiciels malveillants, mais pas une extension qui se réserve ouvertement le droit de vendre vos données de navigation.
Une extension de contrat incluant une clause de vente de données ne représente pas un risque hypothétique. Il s'agit d'une pratique commerciale établie, consignée dans un document que vos employés ont accepté sans le lire.
Trois questions qu'il convient de se poser :
La plupart des navigateurs prennent déjà en charge la gestion centralisée des extensions via des politiques d'entreprise : ExtensionSettings pour Chrome, les stratégies de groupe pour Edge et les configurations d'entreprise pour Firefox. Si vous n'avez pas de politique de gouvernance des extensions, c'est la première étape. Si vous en avez une, ajoutez l'examen de la politique de confidentialité aux critères d'évaluation. Les autorisations seules ne suffisent pas.
À cette fin, LayerX a ajouté un nouveau filtre pour détecter et filtrer (et bloquer, si souhaité) les extensions qui n'ont aucune politique de confidentialité ou qui se réservent le droit de vendre des données personnelles.
Envisagez de bloquer les extensions qui révèlent vendre des données utilisateur ou qui ne publient aucune politique de confidentialité.
Figure 5. Filtre de confidentialité des données de l'extension LayerX
Les extensions de navigateur figurent parmi les outils les plus puissants et les moins surveillés du web. Si l'attention se porte souvent sur les extensions malveillantes qui volent activement des données d'utilisateurs et d'entreprises, les atteintes à la vie privée, bien que paraissant anodines, peuvent également s'avérer risquées.
Lire et analyser la politique de confidentialité de chaque extension utilisée par chaque utilisateur de votre organisation peut représenter des centaines, voire des milliers d'extensions individuelles ; il est clair que ce n'est pas faisable.
Les organisations doivent donc commencer à déployer des outils automatisés capables de restreindre les extensions suspectes et de prendre en compte les paramètres de confidentialité.
Il ne s'agit pas d'une histoire de logiciel malveillant. Personne ne vous a piraté. Personne n'a rien volé. Les extensions que vous utilisez actuellement vendent peut-être vos données de navigation, et elles vous l'ont indiqué. C'est clairement indiqué dans la politique de confidentialité. Page 4, paragraphe 7. Celui que personne ne lit.
