"Modo Deus para a Internet": rastreando usuários através das extensões Chrome e Firefox

Muitos têm extensões de navegador instaladas. No mínimo, um bloqueador de anúncios. Mas ao instalar extensões, você deve ter cuidado: nem todas são úteis e algumas são usadas para vigilância.

Mesmo que uma extensão específica não "roube" nenhuma informação no momento, não há garantia de que ela não começará no futuro. Este é um problema do sistema.

Recentemente, especialistas descobriram as atividades da empresa "analítica" Nacho Analytics , que oferece o serviço sob o lema ambicioso "Modo Deus para a Internet", acompanhando as ações de milhões de usuários através das extensões do Chrome e Firefox quase em tempo real atraso).

Os pesquisadores chamaram o DataSpii (pronunciado espião de dados) como um vazamento catastrófico de dados pessoais. Eles observam que a empresa de análise e seus clientes não apenas recebem o histórico das páginas visitadas, mas extraem várias informações pessoais de URLs e cabeçalhos de página.

Os clientes do Nacho Analytics podem pesquisar no tráfego geral vários parâmetros, por exemplo:

• Coordenadas GPS dos usuários;
  
• declarações fiscais, documentos comerciais, slides de apresentações corporativas no OneDrive e outros serviços de hospedagem;
  
• vídeo das câmeras de segurança Nest;
  
• VINs de carros comprados recentemente, nomes e endereços de seus proprietários;
  
• anexos a mensagens do Facebook Messenger e fotos do Facebook, mesmo enviadas em particular;
  
• detalhes do cartão bancário;
  
• rotas de viagem;
  
• e muito mais

Por US $ 49 por mês, o serviço permitiu acompanhar as ações de funcionários ou usuários de uma empresa / site específico: por exemplo, Apple, Facebook, Microsoft, Amazon, Tesla Motors ou Symantec.







O vazamento do DataSpii afetou mais de 4 milhões de usuários. Os pesquisadores identificaram uma série de extensões através das quais a vigilância foi realizada. Eles estão listados na tabela abaixo:


As últimas quatro extensões informaram claramente que estavam coletando dados do navegador, o resto não.

A tabela a seguir lista as empresas segmentadas pelo serviço de análise do Nacho Analytics e quais informações específicas foram exibidas. Os dados relevantes foram fornecidos diretamente ou havia links para eles na interface.


Depois que os pesquisadores relataram um vazamento de dados no Google e Mozilla, as extensões listadas foram removidas dos diretórios oficiais e o Nacho Analytics suspendeu o serviço "God Mode for the Internet". Talvez não para sempre.

Algumas extensões relataram explicitamente a coleta de dados do navegador e a executaram apenas com o consentimento dos usuários, mas outras o fizeram secretamente. Curiosamente, extensões individuais (Hover Zoom e SpeakIt) para mascaramento adicional não começaram a enviar os dados coletados imediatamente, mas apenas 24 dias após a instalação.

Surpreendentemente, o Nacho Analytics se posiciona como um "serviço analítico" legal. Ela alega que a coleta de dados é realizada com o consentimento dos usuários. Porém, sabe-se que cerca de 99% das pessoas não leem o contrato de uso ao instalar programas, portanto, esse "consentimento" é apenas uma convenção. Além disso, teoricamente, uma empresa pode comprar uma extensão popular existente de seu proprietário atual - e modificá-la um pouco na nova versão para começar a coletar dados. A maioria dos usuários provavelmente concorda com o novo contrato de uso sem lê-lo.

Como mencionado acima, o ecossistema de extensões de navegador em sua forma atual é um problema de segurança sistêmica. Os desenvolvedores de navegadores devem considerar como resolvê-lo.

---