企业警惕：浏览器插件风险高达 51%，或引发敏感数据被窃

一项新的研究发现，组织允许员工在使用软件即服务（SaaS）应用程序（如Google Workspace和Microsoft 365）时使用的许多浏览器扩展可以访问高级别的内容，并存在数据盗窃和合规性问题等风险。 640

Spin.AI的研究人员最近对企业环境中使用的约 300,000个浏览器扩展和第三方OAuth应用程序进行了风险评估。重点是跨多种浏览器（例如Google Chrome和Microsoft Edge）的基于Chromium的浏览器扩展。

研究显示，所有已安装的扩展中有51%具有高风险，有可能对使用它们的组织造成广泛损害。这些扩展程序都能够从企业应用程序捕获敏感数据，运行恶意JavaScript，并秘密向外部各方发送包括银行详细信息和登录凭据在内的受保护数据。Spin评估的大多数扩展（53%）都是与生产力相关的扩展。但最糟糕的——至少从安全和隐私的角度来看——是云软件开发环境中使用的浏览器扩展，Spin评估其中56%为高安全风险。

本周发布的一份报告表示：“这些扩展虽然提供了各种功能来增强用户体验和生产力，但可能会对存储在Chrome和Edge等浏览器中的数据或存储在Google Workspace和Microsoft 365等平台中的SaaS数据构成严重威胁。”

一个例子是最近的一起事件，其中黑客上传了一个浏览器扩展程序，该扩展程序声称是合法的 ChatGPT 浏览器插件，但实际上是劫持 Facebook 帐户的特洛伊木马。成千上万的用户安装了该扩展程序，并立即被盗了他们的Facebook帐户凭据。受感染的帐户包括数千个企业帐户。

Spin的分析显示，拥有2000多名员工的组织平均安装了1454个分机。其中最常见的是与生产力相关的扩展、帮助开发人员的工具以及能够实现更好可访问性的扩展。超过三分之一（35%）的此类延期存在高风险，而在员工少于2000人的组织中，这一比例为27%。

Spin的报告得出的一个惊人结论是，匿名作者的浏览器扩展数量相对较高，为42938个，组织似乎可以自由使用这些扩展，而不考虑任何潜在的安全隐患。考虑到任何有恶意的人都很容易发布扩展，这一统计数据尤其令人担忧。

更糟糕的是，在某些情况下，组织使用的浏览器扩展来自官方市场之外。公司有时也会为内部使用构建自己的扩展并上传，这可能会带来额外的风险，因为这些来源的扩展可能不会像官方商店中的扩展一样经过同等程度的审查和安全检查。

Spin还发现，浏览器有时还会通过自动更新获得恶意品质。当攻击者渗透到组织的供应链并在合法更新中插入恶意代码时，就会发生这种情况。开发人员还可以将他们的扩展出售给其他第三方，然后第三方可能会使用恶意功能对其进行更新。因此，对于组织和企业来说，建立和执行基于第三方风险管理框架的政策很重要，他们需要评估运营的扩展和应用程序。

转自E安全，原文链接:https://mp.weixin.qq.com/s/iroFqYWp2EcR6Q0AeURlGQ
封面来源于网络，如有侵权请联系删除