Un estudio reciente ha revelado que muchas extensiones de navegador permitidas por las organizaciones a sus empleados pueden representar un riesgo significativo para la seguridad y privacidad de los datos. Estas herramientas, utilizadas comúnmente en entornos de trabajo con aplicaciones como Google Workspace y Microsoft 365, tienen acceso a altos niveles de contenido y pueden causar daños considerables si no se gestionan adecuadamente.
Evalúo de riesgos en extensiones
Los investigadores de Spin.AI realizaron una evaluación de riesgos en más de 300.000 extensiones de navegador y aplicaciones OAuth de terceros utilizadas en entornos empresariales. Se centraron especialmente en las extensiones basadas en Chromium, como Chrome y Edge.
El estudio mostró que el 51% de todas las extensiones instaladas eran de alto riesgo y tenían la capacidad de capturar datos confidenciales, ejecutar JavaScript malicioso y enviar información sensible a terceros. La mayoría de las extensiones evaluadas (53%) estaban relacionadas con la productividad, pero las utilizadas en entornos de desarrollo de software en la nube representaron el mayor riesgo: el 56% de ellas fue clasificado como altamente peligrosas.
Incidentes recientes
Un ejemplo reciente es un incidente donde un actor malicioso publicó una extensión que imitaba a ChatGPT, pero en realidad era un troyano que robaba credenciales de Facebook. Miles de usuarios instalaron la herramienta y sus cuentas fueron comprometidas, incluyendo varias empresas.
Google eliminó rápidamente la extensión del Chrome Store, pero otras extensiones similares siguen disponibles en la tienda web. Spin encontró más de 200 extensiones ChatGPT en agosto, comparado con solo 11 en mayo.
Controles insuficientes
El análisis reveló que las organizaciones con más de 2.000 empleados tienen un promedio de 1.454 extensiones instaladas, muchas de ellas de alto riesgo. Más del 35% de estas extensiones presentaban riesgos significativos.
Una conclusión sorprendente fue el número relativamente alto de extensiones con autores anónimos: 42.938 en total. Esta cifra es especialmente preocupante, ya que cualquier persona puede publicar una extensión sin pasar por controles de seguridad.
Las empresas también pueden crear sus propias extensiones internas, pero estas podrían no pasar por el mismo proceso de revisión y control de seguridad que las disponibles en tiendas oficiales. Spin descubrió que los navegadores pueden adquirir cualidades maliciosas mediante actualizaciones automáticas, ya sea por infiltración en la cadena de suministro o por venta a terceros.
Permisos y riesgos
Las extensiones pueden usar permisos para comportarse de manera inesperada. Por ejemplo, una extensión podría obtener el permiso de «identidad» y luego utilizar el permiso de «solicitud web» para enviar información a un tercero.
Es importante que las organizaciones establezcan políticas basadas en marcos de gestión de riesgos de terceros. Deben evaluar las extensiones y aplicaciones en busca de riesgos operativos, de seguridad, de privacidad y de cumplimiento. Se recomienda implementar controles automatizados para permitir o bloquear extensiones según las políticas.
Las organizaciones deben considerar factores como el alcance de los permisos solicitados por la extensión, la reputación del desarrollador y la divulgación de auditorías de seguridad o cumplimiento. Las actualizaciones y el mantenimiento periódico son importantes, así como las reseñas y calificaciones de los usuarios, junto con cualquier historial de violaciones de datos o incidentes de seguridad.