Uma nova investigação da Symantec trouxe à tona um problema crítico que pode afetar milhões de usuários do Google Chrome: extensões populares estão expondo dados sensíveis e chaves de API por falhas básicas de segurança.
Mesmo ferramentas amplamente utilizadas, com centenas de milhares de instalações, têm sido negligentes em proteger informações que trafegam entre o navegador e servidores — o que pode abrir brechas para interceptações, ataques e prejuízos financeiros.
🔓 O que está acontecendo?
Pesquisadores descobriram que extensões como SEMRush Rank, PI Rank, Browsec VPN, MSN Nova Guia e DualSafe Password Manager estão transmitindo informações por HTTP não criptografado. Isso significa que qualquer dado enviado pode ser interceptado com facilidade por hackers, especialmente em redes públicas de Wi-Fi, como as de cafés, aeroportos ou coworkings.
Os dados expostos incluem:
- Identificadores de dispositivos
- Informações de sistema operacional
- Detalhes de navegação e uso
Mesmo sem vazamento direto de senhas, a falta de criptografia compromete a confiança em ferramentas sensíveis — como gerenciadores de senhas — e abre portas para ataques de phishing altamente direcionados.
🧬 Chaves de API e credenciais no código? Sim, ainda acontece
Outro ponto alarmante: muitas extensões investigadas armazenam chaves de API e credenciais diretamente em seus códigos JavaScript, o que facilita a ação de criminosos.
Entre as extensões afetadas estão:
- AVG Online Security
- Speed Dial [FVD]
- SellerSprite
- Microsoft Editor
- Trust Wallet
- Awesome Screen Recorder & Screenshot
Essas falhas permitem:
- Aumento artificial de custos em plataformas como Azure, AWS e Google Analytics
- Armazenamento de arquivos em buckets comprometidos
- Criação de perfis falsos e simulação de transações, inclusive com criptomoedas
No caso da Trust Wallet, uma chave de API da Ramp Network foi exposta, permitindo ações que poderiam comprometer seriamente operações financeiras.
🔐 O que os especialistas recomendam?
Para desenvolvedores:
- Abandonar o uso de HTTP e migrar para HTTPS em todas as comunicações
- Nunca armazenar credenciais diretamente no código-fonte
- Utilizar servidores seguros e rotacionar segredos com frequência
Para usuários:
- Verificar cuidadosamente as permissões e avaliações de extensões instaladas
- Desinstalar temporariamente as extensões afetadas até que as correções sejam implementadas
- Evitar usar extensões críticas em redes públicas não seguras
🚨 Popularidade não é sinônimo de segurança
As descobertas da Symantec reforçam um alerta importante: extensões com grande número de usuários não são automaticamente seguras. Pequenos descuidos de segurança podem abrir enormes brechas para exploração maliciosa — e os danos vão muito além da navegação lenta ou de anúncios indesejados.Privacidade e proteção de dados começam com escolhas conscientes.
Revise suas extensões hoje e mantenha-se informado sobre atualizações e práticas recomendadas de cibersegurança.
