ช่องโหว่ของ Chrome Extension ทำให้บัญชีนับล้านตกอยู่ในความเสี่ยง
เพียงแค่ Chrome extension ที่ไม่ปลอดภัยเพียงตัวเดียว ก็อาจทำให้ข้อมูลของคุณตกอยู่ในความเสี่ยงได้
นักวิจัยด้านความปลอดภัยพบช่องโหว่ใน extension ที่ทำให้ข้อมูลส่วนตัวรั่วไหลไปยังเว็บไซต์ภายนอก Extension ที่มีจุดอ่อนเพียงตัวเดียวบนอุปกรณ์หลายล้านเครื่อง ช่วยให้ผู้โจมตีสามารถเข้ายึดบัญชีของคุณได้เมื่อคุณเข้าชมเว็บไซต์ที่เป็นอันตราย
ขนาดของความเสี่ยงนี้มหาศาลมาก
- Chrome ครองส่วนแบ่งตลาดเบราว์เซอร์ถึง 65%
- Chrome Web Store มี extension มากกว่า 250,000 รายการ
- ช่องโหว่เพียงจุดเดียวสามารถส่งผลกระทบต่อผู้คนจำนวนมหาศาลได้ในคราวเดียว
ทำไมเรื่องนี้ถึงสำคัญสำหรับคุณ:
บ่อยครั้งที่ extension จะขออนุญาตอ่านและเปลี่ยนแปลงข้อมูลในทุกเว็บไซต์ที่คุณเข้าชม ซึ่งหมายความว่า extension สามารถมองเห็นรายละเอียดธนาคาร อีเมล และแดชบอร์ดบนคลาวด์ของคุณได้
ผู้โจมตีจะใช้ session cookies และ tokens ที่ถูกขโมยมา ซึ่งช่วยให้พวกเขาสามารถสวมรอยเป็นคุณได้โดยไม่ต้องใช้รหัสผ่าน
สำหรับภาคธุรกิจ อันตรายนั้นยิ่งสูงขึ้นไปอีก
- การโจมตีผ่านเบราว์เซอร์สามารถข้ามผ่านเครื่องมือรักษาความปลอดภัยหลายชนิดได้
- กว่า 50% ของ extension ในระดับองค์กรมีการใช้สิทธิ์ (permissions) ที่มีความเสี่ยงสูง
- Extension ที่ไม่ได้รับการจัดการจะทำหน้าที่เป็นช่องโหว่ด้านความปลอดภัยที่ซ่อนอยู่
รูปแบบการโจมตีทำงานอย่างไร:
ผู้โจมตีจะหาช่องว่างระหว่าง extension และหน้าเว็บ โดยใช้เว็บไซต์ที่เป็นอันตรายเพื่อกระตุ้นการทำงานของ extension จากนั้นเว็บไซต์จะใช้สิทธิ์ของ extension เพื่อขโมยข้อมูลของคุณหรือดำเนินการต่างๆ ในนามของคุณ
วิธีป้องกันตัวเอง:
- อัปเดตเบราว์เซอร์และ extension ของคุณทันที
- ตรวจสอบ extension ที่คุณติดตั้งไว้
- ลบเครื่องมือใดก็ตามที่คุณไม่ได้ใช้งานเป็นประจำทุกวัน
- จำกัดสิทธิ์การเข้าถึงสำหรับ add-on ทุกตัว