Des extensions Chrome populaires ont été détectées, divulguant des données via des connexions non chiffrées.

Une enquête récente a révélé que plusieurs extensions Google Chrome largement utilisées transmettent des données utilisateur sensibles via des connexions HTTP non chiffrées, exposant des millions d'utilisateurs à de graves risques en matière de confidentialité et de sécurité.

Les résultats, publiés par des chercheurs en cybersécurité et détaillés dans un article de blog de Symantec, révèlent comment des extensions telles que :

Rang PI (ID: ccgdboldgdlngcgfdolahmiilojmfndl)

Browsec VPN (ID: omghfjlpggmjjaagoclmmobgdodcjboh )

MSN Nouvel Onglet (ID: lklfbkdigihjaaeamncibechhgalldgl)

Classement SEMRush ( ID: idbhoeaiokcojcgappfigpifhpkjgmab )

Gestionnaire de mots de passe et coffre-fort numérique DualSafe (ID: lgbjhdkjmpgjgcbcdlhkokkckpjmedgc)

Il existe également d’autres extensions qui traitent les données utilisateur de manière à ouvrir la porte à l’écoute clandestine, au profilage et à d’autres attaques.

Bien que ces extensions soient légitimes et destinées à aider les utilisateurs à surveiller les classements Web, à gérer les mots de passe ou à améliorer leur expérience de navigation, dans les coulisses, elles effectuent des requêtes réseau sans cryptage, permettant à quiconque sur le même réseau de voir exactement ce qui est envoyé.

Dans certains cas, cela inclut des informations telles que les domaines visités par un utilisateur, les informations sur le système d'exploitation, les identifiants uniques des machines et les données de télémétrie. Plus inquiétant encore, plusieurs extensions ont également été identifiées comme contenant des clés API, des secrets et des jetons codés en dur dans leur code source, des informations précieuses facilement exploitables par les attaquants.

Lorsque les extensions transmettent des données via HTTP plutôt que HTTPS , les informations circulent sur le réseau en clair. Sur un réseau Wi-Fi public, par exemple, un acteur malveillant peut intercepter ces données sans effort. Pire encore, il peut les modifier en cours de route.

Cela ouvre la voie à des attaques qui vont bien au-delà de l'espionnage. Selon le billet de blog de Symantec, dans le cas de Browsec VPN, une extension populaire axée sur la confidentialité comptant plus de six millions d'utilisateurs, l'utilisation d'un point de terminaison HTTP lors de la désinstallation envoie les identifiants des utilisateurs et les statistiques d'utilisation sans chiffrement. La configuration de l'extension lui permet de se connecter à des sites web non sécurisés, élargissant ainsi encore la surface d'attaque.

D'autres extensions présentent des problèmes similaires. SEMRush Rank et PI Rank, toutes deux conçues pour afficher la popularité des sites web, transmettent les URL complètes des sites visités via HTTP à des serveurs tiers. Cela permet à un observateur réseau de créer facilement des journaux détaillés des habitudes de navigation d'un utilisateur.

MSN Nouvel Onglet et MSN Page d'Accueil, qui comptent des centaines de milliers d'utilisateurs, transmettent les identifiants des machines et autres informations relatives à leurs appareils. Ces identifiants restent stables dans le temps, permettant aux pirates de lier plusieurs sessions et de créer des profils persistants tout au long de la navigation.

Même le gestionnaire de mots de passe DualSafe, qui gère par nature des informations sensibles, a été surpris en train d'envoyer des données de télémétrie via HTTP . Bien qu'aucun mot de passe n'ait été divulgué, le fait qu'une partie de l'extension utilise un trafic non chiffré soulève des inquiétudes quant à sa conception globale.

Patrick Tiquet , vice-président Sécurité et Architecture chez Keeper Security, a commenté cet incident en déclarant : « Cet incident met en évidence une faille critique dans la sécurité des extensions : même les extensions Chrome les plus populaires peuvent mettre les utilisateurs en danger si les développeurs négligent certaines fonctionnalités. La transmission de données via HTTP non chiffré et le codage en dur des secrets exposent les utilisateurs au profilage, au phishing et aux attaques de type « adversary in the middle », en particulier sur les réseaux non sécurisés. »

Il a mis en garde contre les conséquences pour les utilisateurs sans méfiance et a conseillé que « les organisations devraient prendre des mesures immédiates en appliquant des contrôles stricts autour de l'utilisation des extensions de navigateur, en gérant les secrets de manière sécurisée et en surveillant les comportements suspects sur les points de terminaison. »

Bien qu'aucune extension ne divulgue directement des mots de passe ou des données financières, l'exposition des identifiants des machines, des habitudes de navigation et des données de télémétrie est loin d'être anodine. Les attaquants peuvent exploiter ces données pour suivre les utilisateurs sur différents sites web, lancer des campagnes d'hameçonnage ciblées ou usurper les données de télémétrie des appareils à des fins malveillantes.

Bien que théoriques, les dernières découvertes de NordVPN ont permis de détecter plus de 94 milliards de cookies de navigateur sur le dark web . Si l'on ajoute à cela les fuites de données mises en évidence par Symantec, le potentiel de dommages est considérable.

Les développeurs qui incluent des clés API ou des secrets codés en dur dans leurs extensions ajoutent un niveau de risque supplémentaire. Si un attaquant obtient ces identifiants, il peut les utiliser abusivement pour usurper l'identité de l'extension, envoyer des données falsifiées, voire gonfler l'utilisation du service, ce qui peut entraîner des frais financiers ou des blocages de compte pour les développeurs.

Symantec a contacté les développeurs concernés, et seul DualSafe Password Manager a résolu le problème. Cependant, il est conseillé aux utilisateurs ayant installé l'une des extensions concernées de la supprimer jusqu'à ce que les développeurs corrigent le problème. Même des extensions populaires et bien notées peuvent comporter des choix de conception risqués qui passent inaperçus pendant des années.

Hckread.com recommande de vérifier les autorisations demandées par une extension, d'éviter les éditeurs inconnus et d'utiliser une solution de sécurité fiable. Surtout, tout outil promettant confidentialité ou sécurité doit être examiné attentivement quant à la manière dont il traite vos données.