Новости про Chrome, Opera и безопасность

Дело в том, что этот плагин был выкуплен SimilarWeb в январе 2017 года, и новый владелец внёс большие изменения в политику безопасности, превратив плагин в инструмент перехвата данных. Плагин Stylish начал шпионить за пользователями и отправлять на свои сервера данные о посещаемых сайтах, результатах поиска Google, а также об укороченной и хэшированной версии IP, типе пользовательского агента и т.д.

Программный инженер Роберт Хитсон заявил, что Stylish собирает историю браузера из Chrome с января 2017 года, а из Firefox с марта. Даже когда сбор данных был раскрыт, ни Google, ни Mozilla, ни Opera не предприняли каких-либо действий, пока Хитсон не опубликовал документ. Спустя пару дней Mozilla, Google и Opera забанили Stylish. Официального ответа от разработчиков плагина не поступало.

Вся эта история в очередной раз демонстрирует, что браузерные расширения, даже популярные, могут не быть безопасными.

Фишинговая атака довольно проста. Когда пользователь заполняет информацию в текстовых полях, автозаполнение сканирует все прочие текстовые поля, подбирая ранее введенные аналогичные значения. Это происходит даже в случае, если эти поля невидимы. В демонстрации, Куосманен показал простую онлайн форму лишь с двумя видимыми полями «Имя» и «Email», которая благодаря скрытым полям и автозаполнению собирает и другую информацию о пользователе, включая адрес, телефон, организацию и город проживания.

Исследователь отметил, что эту атаку можно сделать ещё более опасной, собрав важные пользовательские данные, включая номер банковской карты и CVV код.

Стоит отметить, что Chrome отправляет предупреждение, когда используется автозаполнение для финансовых данных на сайтах без HTTPS шифрования. Чтобы избежать подобных проблем Куосманен рекомендует просто отказаться от автозаполнения, отключив его в настройках браузера.