בקצרה: תוסף דפדפן מקבל לרוב הרשאה לקרוא ולשנות את כל התוכן בכל האתרים שאתם פותחים, כולל שדה הסיסמה ודף הבנק. תוסף יכול להתחלף בעלים או להתעדכן לקוד זדוני בלי שתשימו לב. מחקו כל תוסף שאינכם משתמשים בו השבוע, ובדקו את ההרשאות של מה שנשאר.
ההנחה הרווחת היא שתוסף דפדפן הוא צעצוע קטן. כלי שמסדר לשוניות, שומר קופונים, מתרגם מילה. בפועל התוסף יושב בתוך הדפדפן, באותה רמת גישה של הדפדפן עצמו, ורואה את הדף אחרי שההצפנה נפתחה. ה-HTTPS שאתם סומכים עליו מגן על המידע בדרך אל השרת. הוא לא מגן ממה שרץ אצלכם על המסך.
קראו גם: הגיבוי שלכם לענן לא יציל אתכם ביום שבו הקבצים יינעלו · דחיתם את עדכון התוכנה שוב? השארתם דלת פתוחה שהתוקפים מחפשים בדיוק · התחברתם לוויי-פיי חינם בבית קפה? יכול להיות שנתתם למישהו את הארנק
מה בדיוק כתוב בהרשאה שאישרתם
כשחלון ההתקנה מבקש "קריאה ושינוי של כל הנתונים באתרים שבהם אתם מבקרים", זו לא נוסחה משפטית מנופחת. זו בדיוק המשמעות. הקוד של התוסף יכול לקרוא טקסט בשדות טופס, לשלוף עוגיות התחברות, להוסיף שדות משלו לדף ולשלוח כל זה לשרת חיצוני. אם יש לכם סיסמה חזקה במיוחד, זה לא עוזר: התוסף מקבל אותה כפי שהקלדתם אותה.
הבעיה החריפה יותר היא הזמן. תוסף שהיה תמים ביום ההתקנה מתעדכן אצלכם אוטומטית. מפתחים מוכרים תוספים פופולריים לגורמים אחרים, והקונה דוחף גרסה חדשה שכוללת מעקב או הזרקת פרסומות. אתם לא מאשרים כלום. העדכון פשוט מגיע.
איפה הסיכון מתרכז
שימו לב לשורה השנייה. תוספי קופונים דורשים לראות כל דף מסחר שאתם פותחים, וזה בדיוק מה שהם מוכרים אחר כך כמידע שיווקי. הם לא חייבים להיות נוזקה כדי להזיק לכם.
בדיקה שלוקחת שבע דקות
- פתחו את רשימת התוספים בדפדפן ומחקו כל מה שלא הפעלתם בשבוע האחרון. לא כיביתם, מחקו.
- לכל תוסף שנשאר, לחצו על פרטים ובדקו מול אילו אתרים הוא מורשה לפעול. אם אפשר, שנו ל"בלחיצה בלבד".
- בדקו מי המפתח ומתי היה העדכון האחרון. תוסף בלי עדכון שנתיים ובלי דף מפתח אמיתי הוא מועמד למחיקה.
- קראו שתיים שלוש ביקורות שליליות טריות בחנות. שם מופיעות תלונות על פרסומות שהופיעו פתאום.
- הפרידו פרופיל: פרופיל דפדפן נקי לבנקאות, בלי אף תוסף, ופרופיל שני לכל השאר.
הפרופיל הנקי הוא ההגנה האמיתית
אם תעשו רק דבר אחד מהרשימה, תעשו את האחרון. פרופיל שני בכרום או בפיירפוקס נפתח בשלושים שניות, ובו אתם מתחברים לבנק, לקופת החולים ולחשבונות שבאמת חשובים. בפרופיל הזה אין תוספים, ולכן אין קוד זר שקורא את הדף. זה גם מקטין את הנזק אם הגעתם בטעות לעמוד מתחזה, נושא שנוגע ישירות לזיהוי מייל פישינג לפני הלחיצה.
דבר נוסף שעולה כלום: הדפדפן עצמו חייב להיות מעודכן. חורי אבטחה בדפדפן מאפשרים לתוסף או לאתר לחרוג מהגבולות שלו, וזו אותה תקלה שמופיעה כשאתם דוחים את עדכון התוכנה שוב ושוב.
עכשיו פתחו את רשימת התוספים שלכם וספרו כמה מהם התקנתם לפני יותר משנה ושכחתם. את כולם מוחקים היום, לא בסוף השבוע.
מאמרים נוספים שיעניינו אתכם
- הגיבוי שלכם לענן לא יציל אתכם ביום שבו הקבצים יינעלו
- דחיתם את עדכון התוכנה שוב? השארתם דלת פתוחה שהתוקפים מחפשים בדיוק
- התחברתם לוויי-פיי חינם בבית קפה? יכול להיות שנתתם למישהו את הארנק
- הסיסמה שאתם זוכרים בעל פה היא בדיוק החוליה החלשה
- הסיסמה שאתם זוכרים בעל פה כבר עובדת נגדכם
- הפעלתם אימות דו-שלבי דרך SMS? יכול להיות שרק הוספתם דלת נוספת לתוקף