惡意瀏覽器擴充功能：身分盜竊攻擊的新戰場
去年底，一場針對瀏覽器擴充功能的攻擊導致全球數千個組織中超過 260 萬名用戶的 Cookie 和身分驗證資料遭到外洩。這起資安事件最初由資安公司 Cyberhaven 揭露。駭客在入侵該公司的瀏覽器擴充功能後，植入惡意程式碼以竊取用戶的 Facebook Cookie 和身分驗證憑證。
在 Cyberhaven 揭露資安漏洞事件後，更多遭到入侵的擴充功能陸續被發現。目前已知至少 35 個瀏覽器擴充功能遭到入侵，而且這個數字仍在增加中。大多數受影響的擴充功能已經發布更新版本以移除惡意程式碼，或是直接從 Chrome 線上應用程式商店下架。
雖然目前大多數擴充功能的即時威脅已受到控制，但此事件突顯了瀏覽器擴充功能對身分安全的潛在風險，以及許多組織對此缺乏警覺性。
延伸閱讀：Chrome 擴充程式遭駭事件突顯軟體供應鏈安全的重要性
內部身分威脅
瀏覽器擴充功能已成為現今組織不可或缺的工具。根據 LayerX 的數據顯示，約 60% 的企業用戶在其瀏覽器上安裝了擴充功能。這些擴充功能雖有其正當用途，例如拼字檢查、尋找折扣優惠券和記事等，但它們往往被授予過多存取權限，可讀取敏感的用戶資料，包括 Cookie、身分驗證令牌、密碼和瀏覽紀錄等。
這些權限是透過 Google、Microsoft 或 Mozilla 等瀏覽器供應商的 API 進行管理。使用者首次安裝擴充功能時，系統會列出所需權限並要求同意，但某些預設權限則無需明確許可就能使用。
擴充功能可透過這些 API 存取的關鍵資訊包括：
- Cookie：可讀取、寫入和修改用戶的Cookie，這些資訊用於網站身分驗證。在近期事件中，Cookie是遭入侵擴充功能的主要目標
- 身分資料：可存取用戶的身分和個人資料
- 瀏覽紀錄：可查看用戶的瀏覽歷史記錄
- 瀏覽資料：可查看用戶正在瀏覽的URL和所有瀏覽元數據
- 密碼：許多擴充功能具有權限可在網頁加密前查看明文密碼
- 網頁內容：可檢視所有分頁的網頁資料，甚至可能存取原本無法從網路取得的內部系統資料
- 文字輸入：可如同鍵盤側錄程式般追蹤網頁上的每個按鍵
- 音訊/視訊擷取：可存取電腦的麥克風和攝影機
儘管大多數擴充功能沒有取得所有權限，但許多擴充功能仍擁有部分或多項關鍵權限。根據 LayerX 的數據顯示，高達 66% 的瀏覽器擴充功能具有「高」或「極高」等級的權限，而 40% 的用戶已安裝這類高權限擴充功能。
當這些擁有廣泛權限的擴充功能遭到入侵或惡意利用時，可能導致多種資安漏洞和攻擊：
- 憑證竊取：竊取擴充功能記錄的身分資料和密碼
- 帳號盜用：利用竊取的Cookie或憑證，以合法用戶身分登入
- 連線劫持：使用竊取的Cookie或存取令牌進行身分驗證
- 資料竊取：擷取網頁提交的資料，或直接透過用戶的鍵盤、麥克風或攝影機收集資訊
當員工在企業裝置上任意安裝擴充功能而缺乏適當監督時，組織將面臨更嚴重的風險。攻擊者可透過遭入侵的擴充功能竊取企業憑證，不僅危及個人帳號，還可能入侵組織系統並存取敏感資料，導致大規模資料外洩。
隨著更多員工安裝未經審查的擴充功能，這些程式可能成為憑證竊取和系統入侵的跳板，使整個組織的資安風險不斷擴大。
CISO 的瀏覽器擴充功能風險管理架構
鑑於近期針對瀏覽器擴充功能的攻擊事件，資安主管必須建立完整策略來因應這個易被忽視的威脅。以下是組織可採用的系統性方法來管理瀏覽器擴充功能的資安風險：
- 全面盤點擴充功能：
建立瀏覽器擴充功能資安計畫的首要步驟是完整掌握現況。資安團隊必須徹底盤點企業環境中所有已安裝的擴充功能。這對允許自由安裝瀏覽器和擴充功能的組織來說特別具挑戰性，但對評估潛在風險範圍至關重要。 - 識別高風險類別：
擴充功能分類是關鍵步驟，尤其考慮到近期攻擊模式鎖定特定類型擴充功能。最新攻擊主要針對生產力工具、VPN 解決方案和 AI 相關擴充功能。這並非隨機選擇—攻擊者策略性地鎖定擁有龐大用戶群（如生產力工具）或具備廣泛系統權限（如需要網路存取的 VPN 擴充功能）的類別。 - 列舉權限範圍：
掌握每個擴充功能的確切權限，為資安團隊提供關鍵評估基礎。這種詳細的權限盤點可揭示各擴充功能可能存取的企業資料和系統範圍。例如，表面無害的生產力擴充功能可能具有存取敏感企業資料或瀏覽活動的權限。 - 風險評估：
完成擴充功能盤點和權限對應後，即可進行風險評估。有效的評估框架應考量兩大面向：技術風險（基於權限範圍和潛在存取權限）和信任因素（包含發布者聲譽、用戶群規模和發布管道）。這些要素經加權後，可得出每個擴充功能的風險分數。 - 實施管控：
此框架的最終目標是實施情境式資安管控。組織可依據風險承受度和營運需求制定精準政策。例如，資安團隊可能選擇封鎖要求 Cookie 存取權限的擴充功能，或實施更細緻的規則—如限制高風險的 AI 和 VPN 擴充功能，同時允許可信任的擴充功能。
儘管瀏覽器擴充功能能提升工作效率，但近期攻擊事件凸顯了實施嚴格資安措施的迫切性。資安主管必須認知到，未受管理的瀏覽器擴充功能代表重大且持續擴大的攻擊面。
