Chrome擴充程式開發者要小心網釣郵件! 駭客挾持擴充程式大發廣告財

近日陸續傳出Chrome開發人員帳號遭駭且擴充程式被駭客挾持的事件，駭客以網釣郵件取得開發人員的帳號之後，上傳了內含惡意程式的擴充程式版本，包括Copyfish與Web Developer等擴充程式皆已受害。

Copyfish（上圖，來源：Chrome Web Store）為一免費的OCR文字辨識軟體，可用來辨識圖片、影像或PDF中的文字，且同時支援Chrome與Firefox瀏覽器。

Copyfish開發團隊指出，有一名成員在上周五（7/28）收到一封看似來自Google的郵件，要求他們更新Chrome上的Copyfish擴充程式，否則便會被移除。該名成員點選了郵件中的連結，輸入了開發者帳號與密碼，一點都沒意識到這其實是一封網釣郵件。

駭客隔天就利用這組憑證更新了Chrome商店中的Copyfish擴充程式，利用該擴充程式於網站上嵌入廣告與垃圾訊息，等到Copyfish團隊發現時，駭客已將Copyfish程式轉移到自己的帳號，8月1日才在Google的協助下取回Copyfish的所有權，不過，Google也暫停了該團隊的開發帳號。

而Web Developer所遭遇的事件與Copyfish如出一轍。Web Developer主要提供各種瀏覽器開發工具的套件，估計在Chrome平台上已有超過100萬的安裝數量。該團隊在8月1日收到網釣郵件，同樣在不經意的情況下交出了開發帳號與密碼，隔天即有使用者回報該套件出現廣告程式，幸運的是，駭客尚未取走該套件的所有權，Web Developer團隊立即上傳了新版的Web Developer套件，並重設密碼，同時啟用了雙因素認證。

雖然Copyfish與Web Developer皆同時支援Chrome與Firefox，但最近傳出的駭客事件遭盜的帳號都是Chrome帳號，因而只影響Chrome版本。