有8款瀏覽器擴充程式會竊取用戶機密資料

獨立安全研究人員Sam Jadali本周公布了《資料間諜報告》（DataSpii Report》，揭露8款可竊取用戶機密資料的Chrome及Firefox瀏覽器的擴充程式，這些擴充程式可存取使用者的GPS位置、信用卡資訊、線上購物歷史紀錄或是企業用戶的LAN架構、API金鑰、私有原始碼或其它商業機密等，估計有超過400萬名瀏覽器用戶受害。

其中有7款擴充程式適用於Chrome或其它基於Chromium的瀏覽器，包括Hover Zoom、SpeakIt!、SuperZoom、FairShare Unlock、PanelMeasurement、Branded Surveys與Panel Community Surveys  。亦有3款擴充程式支援Firefox，SaveFrom.net Helper、SuperZoom與FairShare Unlock。

其中，SpeakIt!安裝人數超過140萬人，FairShare Unlock也有逾100萬名用戶，Hover Zoom及PanelMeasurement則分別有80萬及50萬名用戶。

由於這些擴充程式不只被安裝在個人裝置上，也被安裝在企業的員工裝置上，因此它們蒐集了許多重要的企業資訊，涵蓋員工的即時活動、私有LAN架構、部分網頁內容、API金鑰、私有原始碼、防火牆存取碼及經營內容等，例如Hover Zoom即蒐集了LAN網站上的超連結及網頁資源。

Jadali指出，不少知名企業都受到波及，涵蓋蘋果、臉書、微軟、Amazon，甚至是賽門鐵克、趨勢科技、FireEye與Palo Alto Networks等資安業者。

更可怕的是，DataSpii是個有組織的行為，由一家暫且稱之為Company X的公司負責利用各種擴充程式蒐集資料，再把這些資料賣給付費或試用會員。Jadali表示，Company X的網頁上宣稱是在取得使用者的同意下才蒐集與販售資料，但Jadali詢問受害者的結果是沒人曾被知會或要求許可。

Google及Mozilla在收到Jadali的分析報告之後，已自遠端關閉了這些擴充程式，不過，Jadali認為功能上的關閉並不影響它們繼續蒐集使用者資料，建議安裝這些擴充程式的用戶們儘速將它們移除。