פגמים בתוספי Chrome מסכנים השתלטות על חשבונות

Chrome מחזיקה ב-65% משוק הדפדפנים העולמי. ב-Chrome Web Store יש למעלה מ-250,000 תוספים. תוסף אחד רע יכול להשפיע על מיליוני אנשים.

חוקרי אבטחה מצאו פגמים בתוספים רבים. פגמים אלו מאפשרים לאתרים חיצוניים לגנוב את הנתונים שלכם. תוקפים משתמשים בפרצות הללו כדי להשתלט על החשבונות שלכם.

איך המתקפה עובדת:

  • תוספים מבקשים לעיתים קרובות הרשאה לקרוא ולשנות נתונים בכל האתרים.
  • הרשאה זו מאפשרת לתוסף לראות את פרטי הבנק, האימיילים וחשבונות הענן שלכם.
  • אתר זדוני משתמש בתוסף חלש כדי להפעיל פעולות.
  • האתר מורה לתוסף למשוך נתונים או לגנוב עוגיות (cookies).
  • תוקפים משתמשים בעוגיות הסשן (session cookies) הגנובות הללו כדי להתחזות אליכם.
  • הם נכנסים לחשבון שלכם מבלי להזדקק לסיסמה שלכם.

הסיכון עבור עסקים הוא גבוה. חברות רבות משתמשות בתוספים שאינם מנוהלים. דבר זה ידוע כ-shadow IT. למעלה מ-50% מהתוספים בארגונים (enterprise extensions) הן בעלות הרשאות גבוהות או קריטיות. מתקפות אלו עוקפות לעיתים קרובות הגנות אבטחה סטנדרטיות.

איך להגן על עצמכם:

  • עדכנו את הדפדפן ואת התוספים שלכם מיד עם הגעת עדכוני אבטחה (patches).
  • בצעו ביקורת (Audit) להרשאות של כל תוסף שאתם מתקינים.
  • הסירו תוספים שאינכם משתמשים בהם מדי יום.
  • התייחסו לתוספים כחלק משטח התקיפה (security surface) שלכם.
  • עקבו אחר מודיעין איומי סייבר (cybersecurity threat intelligence) כדי להישאר מעודכנים.

הישארו ערניים. תוספים קטנים יוצרים סיכונים גדולים.

מקור: https://dev.to/n_suresh_b343f829399d982b/critical-chrome-extension-flaws-put-millions-of-browsers-at-risk-of-account-takeover-the-3720

קהילת למידה אופציונלית: https://t.me/GyaanSetuAi