Дополнения для браузера с 37 млн установок, по словам исследователя, сливают посещенные URL более чем 30 получателям. — theregister.com
Они знают, где вы были, и собираются поделиться этой информацией. Исследователь в области безопасности выявил 287 расширений для Chrome, которые предположительно извлекают данные истории просмотров примерно из 37,4 миллионов установок.
Данные истории просмотров — запись посещенных веб-сайтов — раскрывают потенциально конфиденциальную информацию о действиях и интересах людей. Хотя данные могут быть анонимизированы, ученые показали [PDF], что их часто можно отследить до конкретных лиц, используя общедоступные профили в социальных сетях.
Таким образом, передача данных истории просмотров подрывает личную конфиденциальность, хотя по крайней мере часть информации, собранной исследователем, раскрывается в политиках конфиденциальности. Тем не менее, пользователи, установившие эти расширения, могут не осознавать, что принятые ими политики конфиденциальности не гарантировали конфиденциальность.
Исследователь, известный под псевдонимом «Q Continuum» в честь «Звездного пути: Следующее поколение», объяснил мотивацию проекта в онлайн-посте, признав, что сбор данных такого рода давно вызывает беспокойство в отношении расширений для браузеров.
Действительно, всего два месяца назад мы сообщали о том, как несколько расширений для блокировки рекламы и VPN в Chrome Web Store были замечены за перехватом разговоров в чат-ботах. А в марте 2025 года мы обсуждали исследование, показывающее, что расширения для генеративного ИИ были уличены в сборе и передаче конфиденциальных пользовательских данных. Кроме того, как мы отмечали, разработчики популярных расширений для Chrome постоянно сталкиваются с предложениями продать свои продукты покупателям, заинтересованным во внедрении скриптов для сбора данных.
Q отмечает, что в прошлом расширения Chrome подвергались критике за извлечение пользовательских данных о просмотрах, которые собирались такими брокерами данных, как Similarweb и Alexa. Отчет об исследовании [PDF] представляет собой попытку задокументировать, что компании, занимающиеся веб-аналитикой, такие как Similarweb, и другие компании по сбору данных, продолжают свою деятельность.
«Почему это важно?» — спрашивает Q Continuum. «Во всей этой проблеме есть моральный аспект. Представьте, что вы строите свою бизнес-модель на извлечении данных через безобидные на вид расширения и используете эти данные для продажи крупным корпорациям. Именно так Similarweb получает часть данных. Это должно напомнить нам, что любое программное обеспечение, которым вы пользуетесь бесплатно и которое не является открытым исходным кодом, должно рассматриваться как продукт».
В отчете говорится, что расширения, утекающие данные, как правило, имеют общую черту: они позиционируются как безобидные инструменты, запрашивая доступ к конфиденциальным данным, таким как история просмотров, без веских оснований.
«Многие пользователи, даже осознавая слежку, не понимают рисков или последствий такого доступа», — говорится в отчете. «Это представляет собой нарушение конфиденциальности, поскольку условия обслуживания или политики конфиденциальности часто скрывают эти практики, оставляя пользователей в неведении относительно их согласия на сбор данных».
Исследование Q основано на работе, опубликованной [PDF] в 2017 году Майклом Вайсбахером и др. под названием «Ex-Ray: Detection of History-Leaking Browser Extensions». Q разработал автоматизированную систему тестирования с использованием Docker с Chromium за MITM-прокси, которая выполняла синтетические рабочие нагрузки просмотра и сопоставляла исходящие сетевые запросы с посещенными URL-адресами для обнаружения утечек истории.
Конвейер тестирования выявил более 30 компаний, занимающихся сбором данных о просмотрах. Примерно для 20 миллионов из 37,4 миллионов соответствующих установок сборщик данных был неизвестен. Для остальных это были такие компании, как Similarweb, Big Star Labs (предположительно, подразделение Similarweb), Semrush, Alibaba Group, ByteDance и другие.
«Результаты подчеркивают острую необходимость повышения осведомленности и внедрения более надежных мер защиты пользователей от растущих рисков, связанных со вредоносными расширениями», — говорится в отчете Q.
Similarweb, на которой сосредоточен отчет, не ответила на запрос о комментарии. Политика конфиденциальности расширений компании раскрывает сбор данных о просмотрах. Компания утверждает, что как очищает данные просмотров на стороне клиента для удаления информации, которая может идентифицировать личность, так и «Некоторые из этих данных могут включать персональные и конфиденциальные данные в зависимости от проведенных поисков и просматриваемого контента».
Финансовая отчетность Similarweb от 27 февраля 2025 года подтверждает зависимость компании от данных, полученных из расширений и приложений браузера. В разделе рисков компании говорится: «Наша платформа и решения частично зависят от возможности получать данные из нашей сети участников через расширения браузера, мобильные приложения и другие продукты, распространяемые через сторонние онлайн-платформы и магазины, такие как Chrome Web Store, Google Play и Apple App Store».
Google также не сразу ответила на наш запрос. Как отметил исследователь безопасности Владмир Палант, в Chrome Web Store Google действует политика ограниченного использования, предназначенная для предотвращения обмена данными с брокерами данных. Однако политика допускает исключение, которым могут злоупотреблять недобросовестные компании. ®
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Thomas Claburn