خرق ملحقات كروم في ديسمبر 2025
في ديسمبر 2025، اكتشف باحثو الأمن في OX Security اكتشافًا مقلقًا: كان هناك ملحقان على كروم يسرقان بهدوء محادثات الذكاء الاصطناعي من أكثر من 900,000 مستخدم.
كان أحد هذه الملحقات يحمل شارة "مميز" من جوجل - العلامة المفترضة للموثوقية.
كيف عمل الهجوم
عملت الملحقات الضارة ببساطة مدمرة:
الخطوة 1: مظهر شرعي
قدمت الملحقات ميزات مفيدة - أدوات إنتاجية وتحسينات واجهة المستخدم. تراكمت لديها مئات الآلاف من المستخدمين والتقييمات الإيجابية.
الخطوة 2: جمع البيانات بصمت
بمجرد تثبيتها، كانت الملحقات تراقب نشاط المتصفح. عندما زار المستخدمون ChatGPT أو Claude أو خدمات الذكاء الاصطناعي الأخرى، كانت الملحقات:
- تعترض جميع رسائل الدردشة في الوقت الفعلي
- تخزن البيانات محليًا على أجهزة الضحايا
- تنقل دفعات المحادثات إلى خوادم القيادة والتحكم
الخطوة 3: نقل مجدول
لتجنب الكشف، كانت الملحقات تنقل البيانات المسروقة في دفعات كل 30 دقيقة - ببطء كافٍ لتجنب تنبيه الأمان، وسرعة كافية لالتقاط كل شيء.
حادث Urban VPN
لم يكن خرق ملحقات كروم معزولًا. وجدت تحقيقات منفصلة أجرتها Koi Security أن ملحقات "VPN مجانية" بأكثر من 8 مليون تحميل كانت تجمع محادثات الذكاء الاصطناعي منذ يوليو 2025.
| الحادث | المستخدمون المتأثرون | الاكتشاف |
|---|---|---|
| ملحقات الذكاء الاصطناعي الضارة | 900,000+ | ديسمبر 2025 |
| ملحقات Urban VPN | 8,000,000+ | نوفمبر 2025 |
| الإجمالي المعرض | 8,900,000+ | — |
ما البيانات التي سُرقت؟
تحتوي محادثات الذكاء الاصطناعي على بعض من أكثر المعلومات حساسية التي يشاركها المستخدمون:
- شفرة المصدر الملتصقة لأغراض تصحيح الأخطاء
- بيانات العملاء المستخدمة في استفسارات الدعم
- معلومات مالية تم تحليلها بواسطة الذكاء الاصطناعي
- وثائق قانونية ملخصة للمراجعة
- معلومات طبية تمت معالجتها للحصول على رؤى
- استراتيجيات الأعمال الداخلية التي تم مناقشتها مع الذكاء الاصطناعي
على عكس كلمات المرور (التي يمكن تغييرها) أو بطاقات الائتمان (التي يمكن إلغاؤها)، لا يمكن استعادة المحادثات التجارية المسربة وشفرة المصدر.
لماذا فشلت شارة "مميز" من جوجل
من المفترض أن تشير شارة جوجل المميزة إلى الجودة والأمان. تشمل المتطلبات:
- اتباع سياسات متجر كروم
- الإفصاح عن ممارسات الخصوصية
- عدم وجود انتهاكات للسياسات
لكن عملية التحقق بها عيب أساسي: تتحقق من الشفرة في وقت التقديم، وليس بشكل مستمر. يقوم المهاجمون بتقديم شفرة نظيفة، ويحصلون على الشارة، ثم يدفعون تحديثات ضارة.
المشكلة الحقيقية: المعالجة المحلية فقط
المشكلة الجذرية ليست فقط الملحقات الضارة - بل هي أن البيانات الحساسة تصل إلى خدمات الذكاء الاصطناعي على الإطلاق.
عندما تلصق معلومات العملاء في ChatGPT:
- تسافر عبر متصفحك
- يمكن لأي ملحق اعتراضها
- يتم تخزينها على خوادم OpenAI
- قد يتم استخدامها للتدريب (اعتمادًا على الإعدادات)
حتى بدون الملحقات الضارة، أنت تثق في كل ملحق لديه حق الوصول إلى متصفحك، بالإضافة إلى أمان مزود الذكاء الاصطناعي وسياساته.
الحل: إخفاء الهوية قبل التقديم
الطريقة الوحيدة لحماية البيانات الحساسة بالكامل هي إزالة المعلومات الشخصية قبل أن تخرج من سيطرتك.
ملحق anonym.legal لكروم
يعمل ملحق كروم لدينا بشكل مختلف عن الملحقات الضارة:
| الميزة | الملحقات الضارة | anonym.legal |
|---|---|---|
| الوصول إلى البيانات | تعترض كل شيء | فقط عند التفعيل |
| المعالجة | ترسل إلى خوادم بعيدة | معالجة محلية فقط |
| الغرض | سرقة البيانات | حماية البيانات |
| مفتوح المصدر | لا | قادم قريبًا |
كيف يعمل:
- تكتب أو تلصق نصًا يحتوي على معلومات شخصية
- يكشف الملحق البيانات الحساسة محليًا
- يتم استبدال المعلومات الشخصية برموز: "جون سميث" → "[PERSON_1]"
- يتم إرسال النص المخفي الهوية إلى الذكاء الاصطناعي
- يتم إلغاء إخفاء هوية الاستجابة من قبل الذكاء الاصطناعي لك
ما الذي يتم حمايته:
- الأسماء، عناوين البريد الإلكتروني، أرقام الهواتف
- أرقام بطاقات الائتمان، حسابات البنوك
- أرقام الضمان الاجتماعي، أرقام جوازات السفر، رخص القيادة
- أرقام السجلات الطبية، معرفات المرضى
- وأكثر من 250 نوعًا من الكيانات الأخرى
تحقق من ملحقاتك
تحقق من الملحقات المثبتة لديك على الفور:
كروم
- انتقل إلى
chrome://extensions/ - راجع أذونات كل ملحق
- تحقق من آخر تحديث له
- ابحث عن اسم الملحق + "برامج ضارة" أو "أمان"
علامات التحذير
- الملحقات التي تطلب أذونات واسعة ("قراءة وتغيير جميع بياناتك على جميع المواقع")
- مطورون غير معروفين بدون ملحقات أخرى
- ملحقات لم يتم تحديثها منذ شهور
- تقييمات مرتفعة بشكل مشبوه مع مراجعات عامة
الخاتمة
يثبت خرق الـ 900,000 مستخدم أن ملحقات المتصفح هي نقطة ضعف أمان حرجة. حتى عملية التحقق من جوجل يمكن تجاوزها.
النهج الأكثر أمانًا هو افتراض أن كل ملحق قد يكون مخترقًا و حماية البيانات من المصدر - قبل أن تصل إلى خدمات الذكاء الاصطناعي.
ابدأ في حماية محادثاتك مع الذكاء الاصطناعي:
المصادر: