Ny forskning fra LayerX Security avdekker flere nettverk av nettleserutvidelser som samler inn brukerdata og videreselger dem for profitt – og alt er helt lovlig. For i motsetning til ondsinnede utvidelser som kamuflerer seg som legitime utvidelser og gjør sitt i mørket, forteller disse utvidelsene brukerne eksplisitt at de skal samle inn og selge dataene sine. Det står rett der i personvernerklæringen, bortsett fra at ingen leser den.
LayerX analyserte personvernreglene til tusenvis av utvidelser og avdekket over 80 forskjellige utvidelser som samler inn og selger kundedata. Noen av disse utvidelsene inkluderer:
Selv om nettleserutvidelser kan virke uskyldige, fremhever disse funnene personvernrisikoen som kan oppstå ved uregulert bruk av utvidelser.
Personvernregler. Å lese dem er som å se maling tørke. For de fleste brukere er det verre enn å lese den lille skriften i boliglånsavtalene sine; og det sier litt om det.
Bortsett fra at vi gjorde det.
LayerX Security-forskerne Dar Kahllon og Guy Erez analyserte personvernreglene til tusenvis av nettleserutvidelser som er tilgjengelige i offisielle butikker. De lette etter én ting: om utgiveren eksplisitt forbeholdt seg retten til å selge brukerdata.
Og vi fant dem. Analysen vår viste minst 80 slike utvidelser, noen av dem jobbet i samarbeid, og utviklet av samme utvikler på tvers av alle utvidelsene. De spenner fra annonseblokkering og strømmeverktøy til jobbsøknadshjelpere, nye faneutvidelser og B2B-salgsinformasjonsplattformer.
De fleste av disse retningslinjene sier ikke «vi selger dataene dine». De sier «vi kan selge». Det er en juridisk sikring – men det betyr at dataene dine kan selges når som helst, og at du allerede har samtykket til det. Slik ser det ut i praksis:
«Vi kan selge eller dele din personlige informasjon med tredjeparter.»
«Denne informasjonen kan bli solgt til eller delt med forretningspartnere.»
Vel, for å være rettferdig, gjør de fleste ikke det.
Figur 1. Åpenhet i personvernerklæringen
Ifølge LayerXs Enterprise Browser Extension Security Report 202671 % av alle utvidelser i Chrome Nettmarked publiserer ikke engang en personvernerklæring.
Som et resultat har mer enn 73 % av brukerne minst én utvidelse installert uten en personvernerklæring, uten åpenhet om hvordan dataene deres håndteres. Dette betyr at analysen vår bare kunne basere seg på de 29 % som har en personvernerklæring.
Og hvis vi antar at noen av disse utvidelsene uten noen personvernpolicy i det hele tatt også vil videreselge dataene dine – og det er ingen grunn til å anta at de er bedre – er det reelle antallet utvidelser som kan selge dataene dine på tvers av Chrome Nettmarked i ti av tusen.
Vi bygde en prosess for å analysere personvernregler knyttet til nettleserutvidelser i offisielle butikker, og kombinerte automatisert klassifisering med manuell verifisering.
Med utgangspunkt i omtrent 9,000 utvidelser med URL-er for personvernregler i databasen vår, hentet og analyserte vi 6,666 regler.
Rørledningen gikk i tre trinn:
Det endelige datasettet inkluderer kun utvidelser med personvernregler som indikerer ekte kommersielt salg av brukerdata til tredjeparter
Selv om disse tallene kan virke lave, må du huske på at disse tallene bare gjelder for utvidelser med personvernregler til å begynne med (mindre enn en tredjedel av alle utvidelser), og de utvidelsene som faktisk forteller deg hva de gjør med dataene dine. Det sanne tallet er nesten helt sikkert høyere.
Her er noen av våre viktigste funn:
Mens man gjennomgikk bekreftede selgere, dukket et mønster stadig opp. Ulike utvidelser, forskjellige strømmeplattformer, men det samme prefikset på tre bokstaver: QVI – forkortelse for «Initiativ for kvalitetsseere».
Det som så ut som urelaterte verktøy viste seg å være én enkelt operasjon: 24 nettleserutvidelser – 21 er for øyeblikket aktive, 3 er fjernet – som dekker nesten alle større strømmetjenester.
Alt publisert av HideApp LLC, registrert på 1021 East Lincolnway, Cheyenne, Wyoming – en adresse som deles av hundrevis av andre LLC-er gjennom en registrert agenttjeneste – og opererer under merkevaren «dogooodapp».
De største utvidelsene i nettverket:
På tvers av alle 21 direktelinjelinjer når nettverket nesten 800,000 brukere.
Figur 2. Utvidelsesside i Chrome Store for utvidelsen «Tilpasset profilbilde for Netflix [QVI]»
Men personvernreglene deres sier noe som butikkoppføringene ikke gjør. Disse utvidelsene samler inn omfattende informasjon, inkludert:
De samler også inn alder og kjønn – og hvis du ikke oppgir demografiske opplysninger, sammenligner de e-postadressen din med tredjeparts demografiske databaser for å fylle ut hullene.
Figur 3. Data deklarert som samlet inn av personvernerklæringen for utvidelsen «Tilpasset profilbilde for Netflix [QVI]»
Retningslinjene beskriver salg av rapporter til innholdsskapere og -studioer, strømmeplattformer, medieanalysefirmaer og markedsføringsbyråer – i tillegg til «organisasjoner som kjøper anonymiserte seerdata».
Sett alt sammen, og du ser på et distribuert målesystem for publikum som kjører i brukernes nettlesere. Én anonym utgiver samler inn seeratferd på tvers av alle større strømmeplattformer og bygger informasjon om hva nesten 800 000 mennesker ser på, når og hvordan de engasjerer seg med innhold. Ingen av disse brukerne registrerte seg for det. Juridisk sett godtok de vilkårene da de klikket på «Legg til i Chrome». Praktisk talt leste ingen dem.
Vi bekreftet åtte annonseblokkere som forbeholder seg retten til å selge eller dele brukerinformasjon med tredjeparter. Verktøy folk installerer for å stoppe sporing – selger sporingsdata i stedet. Kombinert når de ut over 5.5 million brukere.
Hvis annonseblokkeringen din har en personvernerklæring som er lengre enn to avsnitt, bør du lese den.
Figur 4. Fremhevet annonseblokkering i Chrome Store
Dette er ikke de største utvidelsene på listen, men de viser hvor langt datasalgsmodellen når.
Av de 82 bekreftede selgerne er 29 av dem B2B-salgsintelligensverktøy. Virksomheten deres is data, så selve avsløringen er ikke overraskende. Vi teller dem ikke sammen med utvidelsene rettet mot forbrukere.
Men de hører hjemme i denne samtalen. Disse utvidelsene sitter på bedriftens maskiner. Dette betyr at ansattes nettleseratferd, som interne URL-er, SaaS-dashboards og forskningsaktivitet, flyter inn i kommersielle databaser som konkurrentene dine kan kjøpe. Risikoen handler ikke om at brukerne blir lurt. Det handler om at bedriftsdata forsvinner gjennom en kanal ingen ser på.
De fleste sikkerhetsevalueringer av utvidelser fokuserer på tillatelser eller kjente indikatorer for skadelig programvare – de flagger utvidelser som ber om overdreven tilgang eller samsvarer med trusselinformasjon. Dette fanger opp skadelig programvare. Det fanger ikke opp en utvidelse som åpent forbeholder seg retten til å selge nettleserdataene dine.
En utvidelse med en avsløring om salg av data er ikke en hypotetisk risiko. Det er en uttalt forretningspraksis, som ligger i et dokument dine ansatte har akseptert uten å lese.
Tre spørsmål som er verdt å stille seg:
De fleste nettlesere støtter allerede sentralisert utvidelsesadministrasjon gjennom bedriftspolicyer – Chromes ExtensionSettings, Edges gruppepolicyer og Firefox sine bedriftskonfigurasjoner. Hvis du ikke har en policy for utvidelsesstyring, er det første trinn. Hvis du har en, legg til gjennomgang av personvernpolicyer i evalueringskriteriene. Tillatelser alene sier ikke nok.
For det formålet la LayerX til et nytt filter for å oppdage og filtrere (og blokkere, om ønskelig) utvidelser som enten ikke har en personvernerklæring i det hele tatt, eller forbeholder seg retten til å selge personopplysninger.
Vurder å blokkere utvidelser som enten opplyser om salg av brukerdata eller ikke publiserer en personvernerklæring i det hele tatt.
Figur 5. LayerX Extension-personvernfilter
Nettleserutvidelser er blant nettets kraftigste og minst granskede verktøy. Selv om mye av fokuset er på ondsinnede programmer som aktivt stjeler bruker- og bedriftsdata, kan brudd på personvernet høres banale ut, men de kan også være risikable.
Å gå gjennom og lese personvernerklæringen for hver utvidelse som hver bruker har i organisasjonen din kan føre til hundrevis eller tusenvis av individuelle utvidelser; det er åpenbart ikke mulig.
I stedet må organisasjoner begynne å distribuere automatiserte verktøy som kan begrense mistenkelige utvidelser og ta hensyn til personverninnstillinger.
Dette er ikke en historie om skadelig programvare. Ingen hacket deg. Ingen stjal noe. Utvidelsene du kjører akkurat nå selger kanskje nettleserdataene dine – og de sa at de ville gjøre det. Det står rett der i personvernerklæringen. Side 4. Avsnitt 7. Den ingen leser.
