Novo istraživanje tvrtke LayerX Security otkriva više mreža proširenja preglednika koja prikupljaju korisničke podatke i preprodaju ih radi profita – i sve je to potpuno legalno. Za razliku od zlonamjernih proširenja koja se maskiraju kao legitimna proširenja i obavljaju svoje zadatke u mraku, ova proširenja izričito govore korisnicima da će prikupljati i prodavati njihove podatke. To je upravo tu u Pravilima o privatnosti; osim što ih nitko ne čita.
LayerX je analizirao pravila o privatnosti tisuća ekstenzija i otkrio preko 80 različitih ekstenzija koje prikupljaju i prodaju podatke o korisnicima. Neka od tih ekstenzija uključuju:
Iako se proširenja preglednika mogu činiti nevinim, ovi nalazi ističu izloženost privatnosti koja može nastati zbog nereguliranog korištenja proširenja.
Pravila o privatnosti. Čitanje istih je kao gledanje kako se boja suši. Za većinu korisnika to je gore od čitanja sitnog tiska u njihovim ugovorima o hipoteci; a to nešto znači.
Osim što jesmo.
Istraživači sigurnosti tvrtke LayerX, Dar Kahllon i Guy Erez, analizirali su pravila o privatnosti tisuća proširenja preglednika dostupnih u službenim trgovinama. Tražili su jednu stvar: je li izdavač izričito zadržao pravo prodati korisničke podatke.
I pronašli smo ih. Naša analiza pokazala je najmanje 80 takvih proširenja, od kojih neka rade u dosluhu, a razvio ih je isti programer u svim proširenjima. Raspon je od blokatora oglasa i alata za streaming do pomoćnika za prijave za posao, proširenja za nove kartice i B2B platformi za prodajnu inteligenciju.
Većina ovih pravila ne kaže „prodajemo vaše podatke“. Kažu „možemo prodati“. To je pravna zaštita – ali znači da se vaši podaci mogu prodati u bilo kojem trenutku, a vi ste već pristali na to. Evo kako to izgleda u praksi:
„Možemo prodati ili podijeliti vaše osobne podatke s trećim stranama.“
„Ove informacije mogu se prodati ili podijeliti s poslovnim partnerima.“
Pa, da budem pošten, većina ne.
Slika 1. Transparentnost Pravila o privatnosti
Prema LayerX-u Izvješće o sigurnosti proširenja preglednika za poduzeća 2026, 71% svih proširenja u Chrome web-trgovini čak ni ne objavljuje pravila o privatnosti.
Kao rezultat toga, više od 73% korisnika ima barem jedno instalirano proširenje bez pravila o privatnosti, bez transparentnosti u načinu na koji se njihovi podaci obrađuju. To znači da se naša analiza mogla osloniti samo na 29% korisnika koji imaju pravila o privatnosti.
A ako pretpostavimo da će neka od tih proširenja bez ikakvih pravila o privatnosti također preprodavati vaše podatke - a nema razloga pretpostaviti da su bolja - pravi broj proširenja koja mogu prodavati vaše podatke u Chrome web-trgovini je u na desetke tisuća.
Izgradili smo cjevovod za analizu pravila o privatnosti povezanih s proširenjima preglednika u službenim trgovinama, kombinirajući automatiziranu klasifikaciju s ručnom provjerom.
Počevši od otprilike 9,000 ekstenzija s URL-ovima pravila o privatnosti u našoj bazi podataka, uspješno smo dohvatili i analizirali 6,666 pravila.
Cjevovod je išao u tri faze:
Konačni skup podataka uključuje samo proširenja čija pravila o privatnosti ukazuju na stvarnu komercijalnu prodaju korisničkih podataka trećim stranama
Iako se ove brojke mogu činiti niskima, imajte na umu da se te brojke odnose samo na proširenja koja uopće imaju pravila o privatnosti (manje od jedne trećine svih proširenja) i ona proširenja koja vam zapravo govore što rade s vašim podacima. Pravi broj je gotovo sigurno veći.
Evo nekoliko naših ključnih nalaza:
Tijekom pregleda potvrđenih prodavača, stalno se pojavljivao određeni obrazac. Različita proširenja, različite platforme za streaming, ali isti prefiks od tri slova: VI. kvartal – skraćenica za „Inicijativu za kvalitetnu gledanost“.
Ono što je izgledalo kao nepovezani alati pokazalo se kao jedna operacija: 24 proširenja preglednika – 21 trenutno aktivno, 3 uklonjena – pokrivaju gotovo sve glavne streaming usluge.
Sve objavio/la HideApp LLC, registriran na adresi 1021 East Lincolnway, Cheyenne, Wyoming – adresa koju dijele stotine drugih društava s ograničenom odgovornošću putem usluge registriranog agenta – i posluje pod robnom markom „dogooodapp".
Najveća proširenja u mreži:
U svih 21 aktivnih proširenja, mreža doseže gotovo 800,000 korisnici.
Slika 2. Stranica proširenja u Chrome trgovini za proširenje „Prilagođena profilna slika za Netflix [QVI]“
Ali njihova pravila o privatnosti kažu nešto što oglasi u trgovini ne kažu. Ova proširenja prikupljaju opsežne informacije, uključujući:
Također prikupljaju podatke o dobi i spolu – a ako ne navedete demografske podatke, uspoređuju vašu e-poštu s demografskim bazama podataka trećih strana kako bi popunili praznine.
Slika 3. Podaci deklarirani kao prikupljeni prema pravilima o privatnosti proširenja „Prilagođena profilna slika za Netflix [QVI]“
Politika opisuje prodaju izvješća kreatorima sadržaja i studijima, platformama za streaming, tvrtkama za istraživanje medija i marketinškim agencijama - zajedno s „organizacijama koje kupuju anonimizirane podatke o gledanju“.
Kada se sve to spoji, dobivate distribuirani sustav mjerenja publike koji radi unutar preglednika korisnika. Jedan anonimni izdavač prikuplja podatke o ponašanju gledatelja na svakoj većoj platformi za streaming, gradeći podatke o tome što gotovo 800 000 ljudi gleda, kada i kako komuniciraju sa sadržajem. Niti jedan od tih korisnika nije se prijavio za to. Pravno gledano, prihvatili su uvjete kada su kliknuli "Dodaj u Chrome". Praktički ih nitko nije pročitao.
Potvrdili smo osam blokatora oglasa koje zadržavaju pravo prodaje ili dijeljenja korisničkih podataka s trećim stranama. Alati koje ljudi instaliraju kako bi zaustavili praćenje – umjesto toga prodaju podatke o praćenju. Zajedno dosežu preko 5.5 milijuna korisnika.
Ako vaš blokator oglasa ima pravila o privatnosti dulja od dva odlomka, pročitajte ih.
Slika 4. Istaknuti blokator oglasa u Chrome trgovini
Ovo nisu najveća proširenja na popisu, ali pokazuju koliko daleko doseže model prodaje podataka.
Od 82 potvrđena prodavatelja, 29 njih su alati za prodajnu inteligenciju B2B. Njihovo poslovanje is podatke, tako da samo otkrivanje nije iznenađenje. Ne ubrajamo ih uz proširenja usmjerena na potrošače.
Ali oni pripadaju ovom razgovoru. Ta proširenja nalaze se na korporativnim računalima. To znači da se ponašanje zaposlenika prilikom pregledavanja, poput internih URL-ova, SaaS nadzornih ploča i istraživačkih aktivnosti, prenosi u komercijalne baze podataka koje vaši konkurenti mogu kupiti. Rizik nije u tome što su korisnici prevareni. Radi se o tome što korporativni podaci odlaze kroz kanal koji nitko ne prati.
Većina sigurnosnih procjena proširenja usredotočuje se na dopuštenja ili poznate pokazatelje zlonamjernosti – označavajući proširenja koja zahtijevaju prekomjeran pristup ili odgovaraju obavještajnim podacima o prijetnjama. To otkriva zlonamjerni softver. Ne otkriva proširenje koje otvoreno zadržava pravo prodaje vaših podataka o pregledavanju.
Proširenje s objavom o prodaji podataka nije hipotetski rizik. To je utvrđena poslovna praksa, koja se nalazi u dokumentu koji su vaši zaposlenici prihvatili bez čitanja.
Tri pitanja koja vrijedi postaviti:
Većina preglednika već podržava centralizirano upravljanje ekstenzijama putem poslovnih pravila – Chromeovih ExtensionSettings, Edgeovih grupnih pravila, Firefoxovih poslovnih konfiguracija. Ako nemate pravila upravljanja ekstenzijama, to je prvi korak. Ako ih imate, dodajte pregled pravila o privatnosti kriterijima za procjenu. Sama dopuštenja ne govore dovoljno.
U tu svrhu, LayerX je dodao novi filter za otkrivanje i filtriranje (i blokiranje, ako se to želi) ekstenzija koje uopće nemaju pravila o privatnosti ili zadržavaju pravo prodaje osobnih podataka.
Razmislite o blokiranju proširenja koja otkrivaju prodaju korisničkih podataka ili uopće ne objavljuju pravila o privatnosti.
Slika 5. Filtar privatnosti podataka proširenja LayerX
Proširenja preglednika spadaju među najmoćnije i najmanje provjerene alate na webu. Iako je veliki fokus na zlonamjernim programima koji aktivno kradu korisničke i korporativne podatke, kršenja privatnosti mogu zvučati obično, ali mogu biti i rizična.
Pregledavanje i čitanje Pravila o privatnosti svakog proširenja koje svaki korisnik ima u vašoj organizaciji može dovesti do stotina ili tisuća pojedinačnih proširenja; to očito nije izvedivo.
Umjesto toga, organizacije trebaju početi primjenjivati automatizirane alate koji mogu ograničiti sumnjiva proširenja i uzeti u obzir postavke privatnosti.
Ovo nije priča o zlonamjernom softveru. Nitko vas nije hakirao. Nitko ništa nije ukrao. Proširenja koja trenutno koristite možda prodaju vaše podatke o pregledavanju - a rekli su vam da hoće. To je upravo tu, u pravilima o privatnosti. Stranica 4. Odlomak 7. Onaj koji nitko ne čita.
