Natuklasan sa isang bagong pananaliksik ng LayerX Security ang maraming network ng mga extension ng browser na nangongolekta ng data ng user at muling ibinebenta ito para kumita – at lahat ng ito ay ganap na legal. Dahil, hindi tulad ng mga malisyosong extension na nagbabalatkayo bilang mga lehitimong extension at ginagawa ang kanilang gusto nang palihim, ang mga extension na ito ay tahasang nagsasabi sa mga user na kokolektahin at ibebenta nila ang kanilang data. Naroon mismo ito sa Patakaran sa Pagkapribado; maliban na lang sa walang nagbabasa nito.
Sinuri ng LayerX ang mga patakaran sa privacy ng libu-libong extension at natuklasan ang mahigit 80 iba't ibang extension na nangongolekta at nagbebenta ng data ng customer. Kabilang sa ilan sa mga extension na ito ang:
Bagama't maaaring mukhang inosente ang mga extension ng browser, itinatampok ng mga natuklasang ito ang pagkakalantad sa privacy na maaaring magmula sa hindi kontroladong paggamit ng mga extension.
Mga patakaran sa privacy. Ang pagbabasa ng mga ito ay parang panonood sa pintura na natuyo. Para sa karamihan ng mga gumagamit, mas masahol pa ito kaysa sa pagbabasa ng maliliit na letra sa kanilang mga kasunduan sa mortgage; at may sinasabi iyan.
Maliban na lang kung ginawa namin.
Sinuri ng mga mananaliksik sa seguridad ng LayerX na sina Dar Kahllon at Guy Erez ang mga patakaran sa privacy ng libu-libong extension ng browser na makukuha sa mga opisyal na tindahan. Isang bagay ang kanilang hinahanap: kung tahasang inilalaan ng publisher ang karapatan na magbenta ng data ng user.
At natagpuan namin sila. Ipinakita ng aming pagsusuri ang hindi bababa sa 80 ganitong mga extension, ang ilan sa mga ito ay gumagana nang magkakasama, at binuo ng iisang developer sa lahat ng mga extension. Mula sa mga ad blocker at streaming tool hanggang sa mga helper sa aplikasyon sa trabaho, mga extension sa bagong tab, at mga platform ng B2B sales intelligence.
Karamihan sa mga patakarang ito ay hindi nagsasabing “ibinebenta namin ang iyong data.” Sinasabi nila na “maaari kaming magbenta.” Ito ay isang legal na bakod – ngunit nangangahulugan ito na ang iyong data ay maaaring ibenta anumang oras, at sumang-ayon ka na rito. Narito ang hitsura nito sa pagsasagawa:
"Maaari naming ibenta o ibahagi ang iyong personal na impormasyon sa mga ikatlong partido."
"Maaaring ibenta o ibahagi ang impormasyong ito sa mga kasosyo sa negosyo."
Bueno, para maging patas, karamihan ay hindi.
Pigura 1. Transparency ng Patakaran sa Pagkapribado
Ayon kay LayerX Ulat sa Seguridad ng Enterprise Browser Extension 2026, 71% ng lahat ng extension sa Chrome Web Store ay hindi man lang naglalathala ng patakaran sa privacy.
Bilang resulta, mahigit 73% ng mga gumagamit ang may kahit isang naka-install na extension na walang patakaran sa privacy, at walang transparency sa kung paano pinangangasiwaan ang kanilang data. Nangangahulugan ito na ang aming pagsusuri ay maaari lamang umasa sa 29% na mayroon ding patakaran sa privacy.
At kung ipagpapalagay natin na ang ilan sa mga extension na walang patakaran sa privacy ay magbebenta rin ng iyong data – at walang dahilan para ipagpalagay na mas mainam ang mga ito – ang tunay na bilang ng mga extension na maaaring magbenta ng iyong data sa buong Chrome Web Store ay nasa sampu-sampung libo.
Gumawa kami ng pipeline upang suriin ang mga patakaran sa privacy na nauugnay sa mga extension ng browser sa mga opisyal na tindahan, na pinagsasama ang awtomatikong klasipikasyon at manu-manong pag-verify.
Simula sa humigit-kumulang 9,000 extension na may mga URL ng patakaran sa privacy sa aming database, matagumpay naming nakuha at nasuri ang 6,666 na mga patakaran.
Ang pipeline ay tumakbo sa tatlong yugto:
Kasama lamang sa panghuling dataset ang mga extension na ang mga patakaran sa privacy ay nagpapahiwatig ng tunay na komersyal na pagbebenta ng data ng user sa mga third party.
Bagama't maaaring mukhang mababa ang mga bilang na ito, tandaan na ang mga bilang na ito ay para lamang sa mga extension na may mga patakaran sa privacy sa simula pa lamang (mas mababa sa isang-katlo ng lahat ng mga extension), at sa mga extension na talagang nagsasabi sa iyo kung ano ang ginagawa nila sa iyong data. Ang tunay na bilang ay halos tiyak na mas mataas.
Narito ang ilan sa aming mga pangunahing natuklasan:
Habang nirerepaso ang mga kumpirmadong nagbebenta, isang pattern ang patuloy na lumalabas. Iba't ibang extension, iba't ibang streaming platform, ngunit iisa ang tatlong-letrang unlapi: QVI – pinaikling pangalan para sa “Quality Viewership Initiative.”
Ang tila walang kaugnayang mga tool ay pala iisang operasyon lamang: 24 na browser extension – 21 ang kasalukuyang aktibo, 3 ang inalis – na sumasaklaw sa halos lahat ng pangunahing serbisyo ng streaming.
Lahat ay inilathala ni HideApp LLC, nakarehistro sa 1021 East Lincolnway, Cheyenne, Wyoming – isang adres na ibinahagi ng daan-daang iba pang mga LLC sa pamamagitan ng isang rehistradong serbisyo ng ahente – at nagpapatakbo sa ilalim ng tatak na "dogooodapp. "
Ang pinakamalaking mga extension sa network:
Sa lahat ng 21 live extension, ang network ay umaabot sa halos 800,000 gumagamit.
Pigura 2. Pahina ng Extension sa Chrome Store para sa extension na “Custom profile picture for Netflix [QVI]”
Pero may sinasabi ang kanilang patakaran sa privacy na hindi sinasabi ng mga listahan ng tindahan. Nangongolekta ang mga extension na ito ng malawak na impormasyon, kabilang ang:
Nangongolekta rin sila ng edad at kasarian – at kung hindi ka magbibigay ng demograpiko, itutugma nila ang iyong email sa mga database ng demograpiko ng mga third-party upang punan ang mga kakulangan.
Pigura 3. Ang datos na idineklara bilang nakalap ng patakaran sa privacy ng extension na “Custom profile picture for Netflix [QVI]”
Inilalarawan ng patakaran ang pagbebenta ng mga ulat sa mga tagalikha ng nilalaman at studio, mga platform ng streaming, mga kumpanya ng pananaliksik sa media, at mga ahensya ng marketing – kasama ang "mga organisasyong bumibili ng hindi nagpapakilalang data sa panonood."
Pagsama-samahin ang lahat ng ito at titingnan mo ang isang distributed audience-measurement system na tumatakbo sa loob ng mga browser ng mga user. Isang hindi nagpapakilalang publisher ang kumukuha ng mga gawi sa panonood sa bawat pangunahing streaming platform, na bumubuo ng impormasyon tungkol sa kung ano ang pinapanood ng halos 800,000 katao, kailan, at paano sila nakikipag-ugnayan sa nilalaman. Wala sa mga user na iyon ang nag-sign up para doon. Sa legal na paraan, tinanggap nila ang mga tuntunin nang i-click nila ang "Idagdag sa Chrome." Sa praktikal na paraan, walang nagbasa ng mga ito.
Kinumpirma namin walong ad blocker na naglalaan ng karapatang magbenta o magbahagi ng impormasyon ng user sa mga ikatlong partido. Mga tool na ini-install ng mga tao upang ihinto ang pagsubaybay – sa halip ay nagbebenta ng data ng pagsubaybay. Kapag pinagsama, umaabot sila sa mahigit 5.5 milyong user.
Kung ang iyong ad blocker ay may patakaran sa privacy na mas mahaba sa dalawang talata, basahin ito.
Pigura 4. Itinatampok na Ad Blocker sa Chrome Store
Hindi ito ang pinakamalaking mga extension sa listahan, ngunit ipinapakita nito kung gaano kalayo ang naaabot ng modelo ng pagbebenta ng data.
Sa 82 na kumpirmadong nagbebenta, 29 sa kanila ay mga B2B sales intelligence tools. Ang kanilang negosyo is datos, kaya ang pagsisiwalat mismo ay hindi nakakagulat. Hindi namin binibilang ang mga ito kasama ng mga extension na nakaharap sa mga mamimili.
Pero dapat silang mapasama sa usapang ito. Ang mga extension na ito ay nasa mga makina ng korporasyon. Nangangahulugan ito na ang pag-browse ng mga empleyado, tulad ng mga internal na URL, mga SaaS dashboard, at aktibidad sa pananaliksik, ay dumadaloy sa mga komersyal na database na maaaring bilhin ng iyong mga kakumpitensya. Ang panganib ay hindi tungkol sa pagkalinlang sa mga user. Ito ay tungkol sa data ng korporasyon na umaalis sa isang channel na walang nagmamasid.
Karamihan sa mga pagsusuri sa seguridad ng extension ay nakatuon sa mga pahintulot o kilalang malisyosong indikasyon – mga pag-flag ng mga extension na humihiling ng labis na pag-access o pagtutugma ng impormasyon tungkol sa banta. Nahuhuli nito ang malware. Hindi nito hinuhuli ang isang extension na hayagang may karapatang ibenta ang iyong data sa pag-browse.
Ang isang extension na may pagsisiwalat ng pagbebenta ng datos ay hindi isang hipotetikal na panganib. Ito ay isang nakasaad na kasanayan sa negosyo, na nakalagay sa isang dokumentong tinanggap ng iyong mga empleyado nang hindi binabasa.
Tatlong tanong na sulit itanong:
Karamihan sa mga browser ay sumusuporta na sa sentralisadong pamamahala ng extension sa pamamagitan ng mga patakaran ng enterprise – ExtensionSettings ng Chrome, mga patakaran ng grupo ng Edge, mga configuration ng enterprise ng Firefox. Kung wala kang patakaran sa pamamahala ng extension, iyon ang unang hakbang. Kung mayroon ka, idagdag ang pagsusuri ng patakaran sa privacy sa pamantayan sa pagsusuri. Hindi sapat ang mga pahintulot lamang.
Dahil diyan, nagdagdag ang LayerX ng bagong filter para matukoy at masala (at ma-block, kung ninanais) ang mga extension na walang patakaran sa privacy, o may karapatang magbenta ng personal na data.
Isaalang-alang ang pag-block sa mga extension na maaaring nagbubunyag ng pagbebenta ng data ng user o hindi talaga nagpa-publish ng patakaran sa privacy.
Pigura 5. Filter ng Pagkapribado ng Data ng LayerX Extension
Ang mga extension ng browser ay kabilang sa pinakamalakas at hindi gaanong sinusuri na mga tool sa web. Bagama't ang malaking bahagi ng pokus ay nasa mga malisyosong bagay na aktibong nagnanakaw ng data ng user at korporasyon, ang mga paglabag sa privacy ay maaaring parang pangkaraniwan, ngunit maaari ring maging mapanganib.
Ang pag-aaral at pagbabasa ng Patakaran sa Pagkapribado ng bawat extension na mayroon ang bawat user sa iyong organisasyon ay maaaring humantong sa daan-daan o libu-libong indibidwal na extension; malinaw na hindi iyon magagawa.
Sa halip, kailangang simulan ng mga organisasyon ang pag-deploy ng mga awtomatikong tool na maaaring maghigpit sa mga kahina-hinalang extension at isaalang-alang ang mga setting ng privacy.
Hindi ito kuwento tungkol sa malware. Walang nag-hack sa iyo. Walang nagnakaw ng kahit ano. Ang mga extension na ginagamit mo ngayon ay maaaring nagbebenta ng iyong data sa pag-browse — at sinabi nila sa iyo na gagawin nila. Nandoon mismo sa patakaran sa privacy. Pahina 4. Talata 7. Ang walang nagbabasa.
