El peligro de las extensiones del navegador

Probablemente esté familiarizado con las extensiones de los navegadores, algo que la mayoría de nosotros usamos todos los días. Añaden funcionalidad útil, pero al mismo tiempo son una amenaza tanto para su privacidad como para su seguridad. Hablemos de lo que está mal con ellas y de cómo puede garantizar la protección de sus dispositivos. Primero, vamos a entender exactamente qué son las extensiones.

¿Qué son las extensiones del navegador y por qué las necesita?

Una extensión es como un plugin para tu navegador, que le añade ciertas características. Las extensiones pueden modificar la interfaz de usuario o añadir algunas opciones de servicio web.

Por ejemplo, las extensiones se utilizan para bloquear anuncios, traducir texto o añadir páginas a otros servicios de notas como Evernote o Pocket. Las extensiones son muchas -hay cientos o incluso miles- para productividad, personalización, compras, juegos y más.

Casi todos los navegadores populares son compatibles con las extensiones; puede encontrarlas en Chrome y Chromium, Safari, Opera, Internet Explorer y Edge. Están ampliamente disponibles y algunas son bastante útiles, por lo que muchas personas terminan usando varias de ellas.

¿Qué puede fallar con las extensiones?

Extensiones maliciosas

En primer lugar, las extensiones pueden ser puramente maliciosas. Este es el caso, sobre todo, de los que provienen de sitios web de terceros, pero a veces -como en los casos de Android y Google Play- el malware también se infiltra en las tiendas oficiales.

Por ejemplo, los investigadores descubrieron recientemente cuatro extensiones en la tienda web de Google Chrome que parecían aplicaciones recordatorias inofensivas, pero que, en realidad, fueron descubiertas generando beneficios para sus creadores al hacer clic en secreto en anuncios de pago por clic.

¿Cómo puede una extensión hacer algo así? Bueno, para hacer cualquier cosa, una extensión requiere permisos. El problema es que entre los navegadores comúnmente utilizados por la gente, sólo Google Chrome pregunta al usuario si puede conceder estos permisos; otros permiten que las extensiones hagan lo que quieran por default, y el usuario no tiene otra opción.

Sin embargo, incluso en Chrome esta gestión de permisos existe sólo en teoría - en la práctica, no funciona. Incluso las extensiones más básicas suelen requerir permiso para "leer y modificar todos sus datos en los sitios que visita", lo que les da el poder de hacer prácticamente lo que quieran con su información. Y si no se concede ese permiso, no se instalarán.

Hace algún tiempo nos topamos con otro ejemplo de extensiones maliciosas: eran utilizadas por delincuentes para propagar malware en Facebook Messenger.

Secuestro y compra de extensiones 

Las extensiones de navegadores son un objetivo interesante para los delincuentes, ya que muchos de ellas tienen una enorme base de usuarios. Y se actualizan automáticamente - si un usuario ha descargado una extensión inofensiva, se puede actualizar para que se convierta en maliciosa; esta actualización se descargaría al usuario inmediatamente - es posible que ni siquiera lo note.

Un buen desarrollador no haría eso, pero su cuenta podría ser secuestrada y una actualización maliciosa podría estar disponible en la tienda oficial en su nombre. Esto es lo que ocurría cuando los delincuentes usaban phishing para obtener credenciales de acceso de los desarrolladores de un popular plugin llamado Copyfish. En este caso, el plugin, que originalmente proporcionaba reconocimiento visual, fue utilizado por los delincuentes para distribuir anuncios adicionales a los usuarios.

A veces las empresas se dirigen a los desarrolladores, y ofrecen comprar sus extensiones por cantidades muy atractivas. Las extensiones son a menudo difíciles de monetizar, por lo que los desarrolladores a menudo se apresuran a hacer estos tratos. Una vez que la empresa ha adquirido la extensión, puede actualizarla con características maliciosas, y esta actualización será obligatoria para los usuarios. Por ejemplo, esto es lo que ocurrió con Particle, una popular extensión de Chrome para personalizar YouTube, que fue abandonada por los desarrolladores. Una empresa la compró e inmediatamente la convirtió en adware.

No maliciosa, pero peligrosa

Incluso las extensiones que no son maliciosas pueden ser peligrosas. El peligro aparece porque la mayoría de ellas tienen la capacidad de recopilar muchos datos sobre los usuarios (recuerde el permiso para "leer y modificar todos sus datos en los sitios web que visite"). Para asegurar su sustento, algunos desarrolladores venden los datos recopilados de forma anónima a terceros. Esto se menciona generalmente en el Contrato de Licencia de Usuario Final (EULA) de la extensión.

El problema es que la mayoría de las veces estos datos no son lo suficientemente anónimos, lo que conlleva serios problemas de privacidad: quienquiera que haya comprado los datos puede identificar a los usuarios del plugin. Esto ha sucedido con la Web of Trust - un plugin que alguna vez fue muy popular para Chrome, Firefox, Internet Explorer, Opera, Safari y otros navegadores. El plugin fue usado para evaluar sitios basados en la opinión popular. Además, la extensión recogió todo el historial de navegación de sus usuarios.

Un sitio web alemán alegó que la Web of Trust estaba vendiendo los datos recopilados a terceros sin que fueran debidamente anónimos, lo que hizo que Mozilla eliminara la extensión de su tienda. Luego, los creadores de la extensión la eliminaron de todas las demás tiendas de navegadores. Sin embargo, un mes más tarde la extensión estaba de vuelta. La Web of Trust no es una extensión maliciosa, pero puede dañar a las personas al exponer sus datos a alguien que no debería saber qué sitios visitan los usuarios y qué hacen allí.

¿Cómo utilizar las extensiones de forma segura?

A pesar de que las extensiones pueden ser peligrosas, algunas de ellas son realmente útiles, por lo que probablemente no querrás abandonarlas por completo. Todavía utilizo al menos media docena de ellas, y estoy seguro de que dos de ellas utilizan el permiso "leer y modificar" mencionado anteriormente.

Puede ser más seguro no usarlas, pero esto es un inconveniente, así que necesitamos una manera de usar las extensiones de manera más o menos segura. Aquí está el cómo:

• No instale demasiadas de ellas. No sólo afectan al rendimiento de su equipo, sino que son un vector de ataque potencial, por lo que limitan su cantidad a sólo unos pocos de los más útiles.

• Instale sólo desde tiendas oficiales. Allí, pasan por análisis en los que los expertos en seguridad filtran las que son maliciosas, de la cabeza a los pies.

• Preste atención a los permisos que requieren las extensiones. Si una extensión ya instalada en su ordenador le pide un nuevo permiso, debería llamar su atención inmediatamente; probablemente algo está sucediendo. Esta extensión puede haber sido secuestrada o vendida. Y antes de instalar cualquier extensión, siempre es una buena idea mirar los permisos requeridos y reflejar si coinciden con la funcionalidad de la aplicación. Si no puede encontrar una explicación lógica para los permisos, probablemente sea mejor no instalarla.

• Utilice una buena solución de seguridad. Kaspersky Internet Security puede detectar y neutralizar el código malicioso en las extensiones del navegador. Nuestras soluciones antivirus utilizan una amplia base de datos de extensiones maliciosas que se actualiza con frecuencia, y descubrimos nuevas extensiones maliciosas de Chrome casi a diario.

Reproducido de: https://www.kaspersky.com.br/blog/browser-extensions-security/11948/

Traducido de: https://www.perallis.com/news/o-perigo-das-extensoes-de-navegadores