Extensões de navegador são um pesadelo de privacidade: pare de usar tantas delas

As extensões do navegador são muito mais perigosas do que a maioria das pessoas imagina. Essas pequenas ferramentas geralmente têm acesso a tudo o que você faz online, para que possam capturar suas senhas, rastrear sua navegação na web, inserir anúncios nas páginas que você visita e muito mais. As extensões de navegador populares são frequentemente vendidas para empresas obscuras ou sequestradas, e as atualizações automáticas podem transformá-las em malware.

Escrevemos sobre  como as extensões do seu navegador estão espionando você  no passado, mas esse problema não melhorou. Ainda há um fluxo constante de extensões com problemas.

Por que as extensões do navegador são tão perigosas

As extensões do navegador são executadas no navegador da web e geralmente exigem a capacidade de  ler ou alterar tudo nas páginas da web que você visita .

Se uma extensão tiver acesso a todas as páginas da Web que você visita, ela pode fazer praticamente qualquer coisa. Ele pode funcionar como um keylogger para capturar suas senhas e detalhes de cartão de crédito, inserir anúncios nas páginas que você visualiza, redirecionar seu tráfego de pesquisa para outro lugar, rastrear tudo que você faz online – ou todas essas coisas. Se uma extensão precisar escanear seus recibos ou outras coisas pequenas, provavelmente ela terá permissão para escanear tudo em seu e-mail  – o que é extremamente perigoso.

Isso não significa que todas as extensões  estão  fazendo essas coisas, mas  podem – e isso deve deixar você muito, muito cauteloso.

Navegadores modernos como o Google Chrome e o Microsoft Edge têm um sistema de permissão para extensões, mas muitas extensões requerem acesso a tudo para que possam funcionar corretamente. Mesmo uma extensão que requer apenas acesso a um site pode ser perigosa. Por exemplo, uma extensão que modifica o Google.com de alguma forma exigirá acesso a tudo no Google.com e, portanto, terá acesso à sua conta do Google, incluindo seu e-mail.

Estas não são apenas pequenas ferramentas fofas e inofensivas. Eles são programas minúsculos com um alto nível de acesso ao navegador da web, o que os torna perigosos. Até mesmo uma extensão que faz uma pequena coisa nas páginas da web que você visita pode exigir acesso a tudo o que você faz no seu navegador.

Como as extensões seguras podem se transformar em malware

Navegadores modernos, como o Google Chrome, atualizam automaticamente as extensões instaladas do navegador. Se uma extensão exigir novas permissões, ela será temporariamente desativada até que você permita. Mas, caso contrário, a nova versão da extensão será executada com todas as mesmas permissões da versão anterior. Isso leva a problemas.

Em agosto de 2017, a extensão de desenvolvedor da Web muito popular e amplamente recomendada para o Chrome foi  sequestrada . O desenvolvedor caiu em um ataque de phishing e o invasor carregou uma nova versão da extensão que inseriu mais anúncios nas páginas da web. Mais de um milhão de pessoas que confiaram no desenvolvedor desta extensão popular acabaram obtendo a extensão infectada. Como essa é uma extensão para desenvolvedores da web, o ataque poderia ter sido muito pior – não parece que a extensão infectada funcionou como um keylogger, por exemplo.

Em muitas outras situações, alguém desenvolve uma extensão que ganha uma grande quantidade de usuários, mas não necessariamente ganha dinheiro. Esse desenvolvedor é abordado por uma empresa que pagará uma grande quantia para adquirir a extensão. Se o desenvolvedor aceitar a compra, a nova empresa modifica a extensão para inserir anúncios e rastreamento, carrega-a na Chrome Web Store como uma atualização e todos os usuários existentes agora estão usando a extensão da nova empresa – sem aviso.

Isso aconteceu com o  Particle for YouTube , uma extensão popular para personalizar o YouTube, em julho de 2017. A mesma coisa aconteceu com muitas outras extensões no passado. Os desenvolvedores de extensões do Chrome afirmam que  recebem constantemente ofertas  para comprar suas extensões. Os desenvolvedores da   extensão Honey com mais de 700.000 usuários uma vez executaram um  “Ask Me Anything” no Reddit , detalhando o tipo de ofertas que eles costumam receber.

Além do sequestro e venda de extensões, também é possível que uma extensão seja apenas uma má notícia e rastreie você secretamente quando você a instala.

O Chrome está sendo atacado devido à sua popularidade, mas esse problema afeta todos os navegadores. O Firefox está provavelmente ainda mais em risco, já que não usa um sistema de permissão – cada extensão que você instala tem acesso total a tudo. ( Atualização : esta afirmação era verdadeira quando escrevemos o artigo em 2017, mas o Firefox agora tem um sistema de permissão como o Chrome.)

Como minimizar o risco

Veja como se manter seguro: Use o mínimo de extensões possível. Se você não usar muito uma extensão, desinstale-a. Tente  reduzir sua lista de extensões instaladas  apenas ao essencial para minimizar a chance de uma de suas extensões instaladas estragar.

Também é importante usar extensões de empresas em que você confia. Por exemplo, uma extensão para personalizar o YouTube criada por uma pessoa aleatória de quem você nunca ouviu falar é uma candidata primária para se tornar malware. No entanto, o Notificador oficial do Gmail criado pelo Google, a extensão de anotações OneNote criada pela Microsoft ou a extensão do gerenciador de senhas LastPass criada por LastPass quase certamente não serão vendidos a uma empresa suspeita por alguns milhares de dólares.

Você também deve prestar atenção às permissões que as extensões exigem, quando possível. Por exemplo, uma extensão que afirma modificar apenas um site deve ter acesso apenas a esse site. No entanto, muitas extensões precisam de acesso a tudo ou a um site muito confidencial que você deseja manter seguro (como seu e-mail). As permissões são uma boa ideia, mas não são muito úteis quando a maioria das coisas precisa de acesso a tudo.

É uma linha tênue a percorrer, é claro. No passado, poderíamos ter dito que a extensão do Desenvolvedor da Web era segura porque era legítima. No entanto, o desenvolvedor caiu em um ataque de phishing e a extensão se tornou maliciosa. É um bom lembrete de que, mesmo que você pudesse confiar em alguém para não vender sua extensão para uma empresa duvidosa, você está contando com essa pessoa para sua segurança. Se essa pessoa escorregar e permitir que sua conta seja sequestrada, você acabará lidando com as consequências – e elas podem ser muito piores do que o que aconteceu com a extensão Web Developer.