Nova raziskava podjetja LayerX Security odkriva več omrežij razširitev brskalnika, ki zbirajo uporabniške podatke in jih preprodajajo za dobiček – in vse to je popolnoma legalno. Za razliko od zlonamernih razširitev, ki se prikrivajo kot legitimne razširitve in opravljajo svoje delo na skrivaj, te razširitve uporabnikom izrecno sporočajo, da bodo zbirale in prodajale njihove podatke. To je zapisano v pravilniku o zasebnosti, le da ga nihče ne prebere.
LayerX je analiziral pravilnike o zasebnosti tisočih razširitev in odkril več kot 80 različnih razširitev, ki zbirajo in prodajajo podatke o strankah. Nekatere od teh razširitev vključujejo:
Čeprav se razširitve brskalnika morda zdijo nedolžne, te ugotovitve poudarjajo izpostavljenost zasebnosti, ki lahko nastane zaradi neregulirane uporabe razširitev.
Pravilniki o zasebnosti. Branje le-teh je kot gledanje sušenja barve. Za večino uporabnikov je to slabše kot branje drobnega tiska v njihovih hipotekarnih pogodbah; in to že nekaj pove.
Razen tega, da smo to storili.
Raziskovalca varnosti pri LayerX, Dar Kahllon in Guy Erez, sta analizirala politike zasebnosti tisočih razširitev brskalnika, ki so na voljo v uradnih trgovinah. Iskala sta eno stvar: ali si je založnik izrecno pridržal pravico do prodaja uporabniških podatkov.
In našli smo jih. Naša analiza je pokazala vsaj 80 takšnih razširitev, nekatere od njih delujejo v tajnem dogovarjanju in jih je razvil isti razvijalec v vseh razširitvah. Segajo od blokatorjev oglasov in orodij za pretakanje do pomočnikov pri prijavah na delovna mesta, razširitev za nove zavihke in platform za prodajno inteligenco med podjetji.
Večina teh pravilnikov ne pravi »prodajamo vaše podatke«. Pravijo »lahko prodamo«. To je pravna zaščita – vendar pomeni, da se vaši podatki lahko prodajo kadar koli in da ste se s tem že strinjali. Takole to izgleda v praksi:
»Vaše osebne podatke lahko prodamo ali delimo s tretjimi osebami.«
"Te informacije se lahko prodajo ali delijo s poslovnimi partnerji."
No, če sem pošten, večina ne.
Slika 1. Preglednost politike zasebnosti
Po mnenju LayerX-a Poročilo o varnosti razširitve brskalnika Enterprise 2026, 71 % vseh razširitev v spletni trgovini Chrome sploh ne objavi pravilnika o zasebnosti.
Posledično ima več kot 73 % uporabnikov nameščeno vsaj eno razširitev brez pravilnika o zasebnosti, brez preglednosti glede ravnanja z njihovimi podatki. To pomeni, da se je naša analiza lahko zanesla le na 29 % uporabnikov, ki imajo pravilnik o zasebnosti.
In če predpostavimo, da bodo nekatere od teh razširitev brez kakršne koli politike zasebnosti tudi preprodajale vaše podatke – in ni razloga za domnevo, da so boljše – je dejansko število razširitev, ki lahko prodajajo vaše podatke v spletni trgovini Chrome, v več deset tisoč.
Zgradili smo cevovod za analizo politik zasebnosti, povezanih z razširitvami brskalnika v uradnih trgovinah, pri čemer smo združili avtomatizirano razvrščanje z ročnim preverjanjem.
Iz približno 9,000 razširitev z URL-ji pravilnikov o zasebnosti v naši bazi podatkov smo uspešno pridobili in razčlenili 6,666 pravilnikov.
Cevovod je potekal v treh fazah:
Končni nabor podatkov vključuje samo razširitve, katerih pravilniki o zasebnosti kažejo na dejansko komercialno prodajo uporabniških podatkov tretjim osebam.
Čeprav se te številke morda zdijo nizke, upoštevajte, da veljajo le za razširitve s pravilniki o zasebnosti (manj kot tretjina vseh razširitev) in tiste razširitve, ki vam dejansko povedo, kaj počnejo z vašimi podatki. Dejanska številka je skoraj zagotovo višja.
Tukaj je nekaj naših ključnih ugotovitev:
Med pregledovanjem potrjenih prodajalcev se je vedno znova pojavljal vzorec. Različne razširitve, različne platforme za pretakanje, a ista tričrkovna predpona: VI. četrtletje – okrajšava za »Pobuda za kakovostno gledanost«.
Kar se je zdelo kot nepovezana orodja, se je izkazalo za eno samo operacijo: 24 razširitev brskalnika – 21 trenutno delujočih, 3 odstranjenih – ki pokrivajo skoraj vse večje storitve pretakanja.
Vse objavljeno s strani HideApp LLC, registrirana na naslovu 1021 East Lincolnway, Cheyenne, Wyoming – naslov, ki si ga prek storitve registriranega zastopnika delijo stotine drugih družb z omejeno odgovornostjo – in posluje pod blagovno znamko »dogooodapp«.
Največje razširitve v omrežju:
V vseh 21 živih razširitvah omrežje doseže skoraj Uporabniki 800,000.
Slika 2. Stran razširitve v trgovini Chrome za razširitev »Slika profila po meri za Netflix [QVI]«
Vendar pa njihova politika zasebnosti pravi nekaj, česar oglasi v trgovini ne. Te razširitve zbirajo obsežne podatke, vključno z:
Zbirajo tudi podatke o starosti in spolu – in če ne posredujete demografskih podatkov, primerjajo vaš e-poštni naslov z demografskimi bazami podatkov tretjih oseb, da zapolnijo vrzeli.
Slika 3. Podatki, ki so navedeni kot zbrani v pravilniku o zasebnosti razširitve »Slika profila po meri za Netflix [QVI]«
Politika opisuje prodajo poročil ustvarjalcem vsebin in studiom, platformam za pretakanje, podjetjem za medijske raziskave in marketinškim agencijam – skupaj z »organizacijami, ki kupujejo anonimizirane podatke o ogledih«.
Če vse skupaj seštejete, dobite porazdeljen sistem za merjenje občinstva, ki deluje v brskalnikih uporabnikov. En anonimni založnik zbira podatke o gledanosti na vseh večjih platformah za pretakanje in zbira podatke o tem, kaj si skoraj 800,000 ljudi ogleda, kdaj in kako komunicirajo z vsebino. Nobeden od teh uporabnikov se ni prijavil na to. Pravno gledano so sprejeli pogoje, ko so kliknili »Dodaj v Chrome«. Praktično jih nihče ni prebral.
Potrdili smo osem blokatorjev oglasov ki si pridržujejo pravico do prodaje ali deljenja uporabniških podatkov s tretjimi osebami. Orodja, ki jih ljudje namestijo, da ustavijo sledenje – namesto tega prodajajo podatke o sledenju. Skupaj dosežejo več kot 5.5 milijonov uporabnikov.
Če ima vaš blokator oglasov pravilnik o zasebnosti, daljši od dveh odstavkov, ga preberite.
Slika 4. Izbrani blokator oglasov v trgovini Chrome
To niso največje razširitve na seznamu, vendar kažejo, kako daleč seže model prodaje podatkov.
Od 82 potrjenih prodajalcev jih je 29 orodij za prodajno inteligenco B2B. Njihovo poslovanje is podatke, zato samo razkritje ni presenečenje. Ne štejemo jih skupaj z razširitvami, namenjenimi potrošnikom.
Vendar pa spadajo v ta pogovor. Te razširitve so nameščene na korporativnih računalnikih. To pomeni, da se vedenje zaposlenih pri brskanju, kot so interni URL-ji, nadzorne plošče SaaS in raziskovalna dejavnost, prenaša v komercialne baze podatkov, ki jih lahko kupijo vaši konkurenti. Tveganje ni v tem, da bi bili uporabniki prevarani. Gre za to, da korporativni podatki odhajajo prek kanala, ki ga nihče ne spremlja.
Večina varnostnih ocen razširitev se osredotoča na dovoljenja ali znane znake zlonamerne programske opreme – označevanje razširitev, ki zahtevajo prekomerni dostop ali se ujemajo z informacijami o grožnjah. To zazna zlonamerno programsko opremo. Ne zazna razširitve, ki si odkrito pridržuje pravico do prodaje vaših podatkov brskanja.
Podaljšanje z razkritjem o prodaji podatkov ni hipotetično tveganje. Gre za ustaljeno poslovno prakso, ki je del dokumenta, ki so ga vaši zaposleni sprejeli, ne da bi ga prebrali.
Tri vprašanja, ki si jih je vredno zastaviti:
Večina brskalnikov že podpira centralizirano upravljanje razširitev prek pravilnikov za podjetja – Chrome ExtensionSettings, Edge Group Policys, Firefox Enterprise Configurations. Če nimate pravilnika o upravljanju razširitev, je to prvi korak. Če ga imate, dodajte pregled pravilnika o zasebnosti med merila za ocenjevanje. Dovoljenja sama po sebi ne povedo dovolj.
V ta namen je LayerX dodal nov filter za zaznavanje in filtriranje (in po želji blokiranje) razširitev, ki sploh nimajo pravilnika o zasebnosti ali si pridržujejo pravico do prodaje osebnih podatkov.
Razmislite o blokiranju razširitev, ki razkrivajo prodajo uporabniških podatkov ali sploh ne objavljajo pravilnika o zasebnosti.
Slika 5. Filter zasebnosti podatkov razširitve LayerX
Razširitve brskalnika so med najmočnejšimi in najmanj preučenimi orodji na spletu. Čeprav se velik del poudarka osredotoča na zlonamerne programe, ki aktivno kradejo uporabniške in poslovne podatke, se kršitve zasebnosti morda zdijo vsakdanje, a so lahko tudi tvegane.
Pregledovanje in branje pravilnika o zasebnosti vsake razširitve, ki jo ima vsak uporabnik v vaši organizaciji, lahko privede do stotin ali tisočev posameznih razširitev; to očitno ni izvedljivo.
Namesto tega morajo organizacije začeti uvajati avtomatizirana orodja, ki lahko omejijo sumljive razširitve in upoštevajo nastavitve zasebnosti.
To ni zgodba o zlonamerni programski opremi. Nihče vas ni vdrl. Nihče ni ničesar ukradel. Razširitve, ki jih trenutno uporabljate, morda prodajajo vaše podatke brskanja – in so vam povedali, da bodo. To piše v pravilniku o zasebnosti. Stran 4. Odstavek 7. Tisti, ki ga nihče ne prebere.
