Muchas extensiones de navegador que las organizaciones permiten a los empleados usar cuando trabajan con aplicaciones de software como servicio (SaaS), como Google Workspace y Microsoft 365, tienen acceso a altos niveles de contenido y presentan riesgos como robo de datos y problemas de cumplimiento, una nueva ha encontrado el estudio.

Los investigadores de Spin.AI realizaron recientemente una evaluación de riesgos en unas 300.000 extensiones de navegador y aplicaciones OAuth de terceros utilizadas en entornos empresariales. La atención se centró en las extensiones de navegador basadas en Chromium en múltiples navegadores, como Chrome de Google y Edge de Microsoft.

Extensiones de alto riesgo

El estudio mostró que el 51% de todas las extensiones instaladas eran de alto riesgo y tenían el potencial de causar grandes daños a las organizaciones que las utilizaban. Todas las extensiones tenían la capacidad de capturar datos confidenciales de aplicaciones empresariales, ejecutar JavaScript malicioso y enviar subrepticiamente datos protegidos, incluidos detalles bancarios y credenciales de inicio de sesión, a partes externas.

La mayoría de las extensiones (53%) que Spin evaluó eran extensiones relacionadas con la productividad. Pero lo peor, al menos desde el punto de vista de la seguridad y la privacidad, fueron las extensiones de navegador utilizadas en entornos de desarrollo de software en la nube: Spin evaluó el 56% de ellas como altos riesgos de seguridad.

"La principal conclusión de este informe para las organizaciones son los importantes riesgos de ciberseguridad asociados con las extensiones de navegador", dice Davit Asatryan, uno de los autores de un informe publicado esta semana. "Estas extensiones, si bien ofrecen varias funciones para mejorar la experiencia del usuario y la productividad, pueden plantear serias amenazas a los datos almacenados en navegadores como Chrome y Edge, o a los datos SaaS almacenados en plataformas como Google Workspace y Microsoft 365", afirma.

Un ejemplo es un incidente reciente en el que un actor de amenazas subió una extensión de navegador que pretendía ser el complemento legítimo del navegador ChatGPT, pero que en realidad era un troyano que secuestraba cuentas de Facebook. Miles de usuarios instalaron la extensión y rápidamente les robaron las credenciales de su cuenta de Facebook. Las cuentas comprometidas incluían varios miles de cuentas comerciales.

Google eliminó rápidamente la extensión de su Chrome Store oficial. Pero eso no ha impedido que otros carguen libremente otras extensiones ChatGPT en la misma tienda: Spin encontró más de 200 extensiones ChatGPT en la tienda web de Chrome en agosto, en comparación con solo 11 en mayo.

Controles laxos

El análisis de Spin mostró que las organizaciones con más de 2.000 empleados tienen un promedio de 1.454 extensiones instaladas. Las más comunes eran las extensiones relacionadas con la productividad, las herramientas que ayudaban a los desarrolladores y las extensiones que permitían una mejor accesibilidad. Más de un tercio (35%) de estas extensiones presentaban un alto riesgo, en comparación con el 27% en organizaciones con menos de 2.000 empleados.

Una conclusión sorprendente del informe de Spin es el número relativamente alto de extensiones de navegador (42.938) con autores anónimos que las organizaciones parecen utilizar libremente sin considerar posibles riesgos de seguridad. La estadística es especialmente preocupante dada la facilidad con la que cualquier persona con intenciones maliciosas puede publicar una extensión, dice Asatryan. Para empeorar las cosas, en algunos casos, las extensiones de navegador que utilizan las organizaciones se obtuvieron fuera de un mercado oficial.

"A veces, las empresas también crean sus propias extensiones para uso interno y las cargan", dice Asatryan. "Sin embargo, esto puede introducir un riesgo adicional, ya que las extensiones de estas fuentes podrían no pasar por el mismo nivel de escrutinio y controles de seguridad" que las disponibles en las tiendas oficiales.

Spin descubrió que los navegadores pueden ser malos desde el principio o, en ocasiones, adquirir cualidades maliciosas mediante actualizaciones automáticas. Esto puede suceder cuando un atacante se infiltra en la cadena de suministro de una organización e inserta código malicioso en una actualización legítima. Los desarrolladores también pueden vender sus extensiones a otros terceros que luego podrían actualizarlas con capacidades maliciosas.

Otro factor que las organizaciones deben considerar es cómo una extensión del navegador podría usar sus permisos para comportarse de manera inesperada. "Por ejemplo, una extensión podría obtener el permiso de 'identidad' y luego utilizar el permiso de 'solicitud web' para enviar esta información a un tercero", afirma Asatryan.

Es importante que las organizaciones establezcan y apliquen políticas basadas en marcos de gestión de riesgos de terceros, señala. Deben evaluar las extensiones y aplicaciones en busca de riesgos operativos, de seguridad, de privacidad y de cumplimiento, y considerar implementar controles automatizados que permitan o bloqueen extensiones según las políticas de la organización.

"Recomendamos que las organizaciones evalúen las extensiones del navegador antes de instalarlas considerando factores como el alcance de los permisos solicitados por la extensión, la reputación del desarrollador y la divulgación de auditorías de seguridad o cumplimiento", dice Asatryan. Las actualizaciones y el mantenimiento periódicos son importantes, al igual que las reseñas y calificaciones de los usuarios, así como cualquier historial de violaciones de datos o incidentes de seguridad.

Fuente: DarkReading

Vía:
https://blog.segu-info.com.ar/2023/09/riesgo-en-extensiones-del-navegador.html