दिसंबर 2025 Chrome एक्सटेंशन उल्लंघन
दिसंबर 2025 में, OX सुरक्षा के सुरक्षा शोधकर्ताओं ने एक परेशान करने वाली खोज की: दो Chrome एक्सटेंशन चुपचाप 900,000 उपयोगकर्ताओं से AI चैट वार्तालाप चुरा रहे थे।
इनमें से एक एक्सटेंशन ने Google का "Featured" बैज ले रखा था—जो विश्वसनीयता का प्रतीक माना जाता है।
हमले का तरीका
दुर्भावनापूर्ण एक्सटेंशन ने विनाशकारी सरलता से काम किया:
चरण 1: वैध उपस्थिति
एक्सटेंशन ने उपयोगी सुविधाएँ प्रदान कीं—उत्पादकता उपकरण और UI सुधार। उन्होंने लाखों उपयोगकर्ताओं और सकारात्मक समीक्षाएँ इकट्ठा कीं।
चरण 2: चुपचाप डेटा संग्रहण
एक बार स्थापित होने के बाद, एक्सटेंशन ने ब्राउज़र गतिविधि की निगरानी की। जब उपयोगकर्ता ChatGPT, Claude, या अन्य AI सेवाओं पर गए, तो एक्सटेंशन ने:
- वास्तविक समय में सभी चैट संदेशों को इंटरसेप्ट किया
- पीड़ितों की मशीनों पर डेटा को स्थानीय रूप से संग्रहीत किया
- कमांड-और-नियंत्रण सर्वरों पर बातचीत के बैचों को निकाल लिया
चरण 3: अनुसूचित निकासी
पता लगाने से बचने के लिए, एक्सटेंशन ने हर 30 मिनट में चुराए गए डेटा को बैचों में भेजा—इतना धीमा कि सुरक्षा अलर्ट को सक्रिय न करे, और इतना तेज़ कि सब कुछ कैप्चर कर सके।
शहरी VPN घटना
Chrome एक्सटेंशन उल्लंघन एकल नहीं था। Koi सुरक्षा द्वारा एक अलग जांच में पाया गया कि "फ्री VPN" एक्सटेंशन जिनके 8 मिलियन डाउनलोड थे, जुलाई 2025 से AI वार्तालापों को इकट्ठा कर रहे थे।
| घटना | प्रभावित उपयोगकर्ता | खोज |
|---|---|---|
| दुर्भावनापूर्ण AI एक्सटेंशन | 900,000+ | दिसंबर 2025 |
| शहरी VPN एक्सटेंशन | 8,000,000+ | नवंबर 2025 |
| कुल उजागर | 8,900,000+ | — |
कौन सा डेटा चुराया गया?
AI चैट वार्तालापों में कुछ सबसे संवेदनशील जानकारी होती है जो उपयोगकर्ता साझा करते हैं:
- स्रोत कोड जो डिबगिंग के लिए चिपकाया गया
- ग्राहक डेटा जो समर्थन प्रश्नों में उपयोग किया गया
- वित्तीय जानकारी जो AI द्वारा विश्लेषित की गई
- कानूनी दस्तावेज जो समीक्षा के लिए संक्षिप्त किए गए
- चिकित्सा जानकारी जो अंतर्दृष्टि के लिए संसाधित की गई
- आंतरिक व्यावसायिक रणनीतियाँ जो AI के साथ चर्चा की गईं
पासवर्ड (जो बदले जा सकते हैं) या क्रेडिट कार्ड (जो रद्द किए जा सकते हैं) के विपरीत, लीक हुए व्यावसायिक वार्तालाप और स्रोत कोड को पुनः लीक नहीं किया जा सकता।
क्यों Google का "Featured" बैज विफल हुआ
Google का Featured बैज गुणवत्ता और सुरक्षा को इंगित करने के लिए supposed है। आवश्यकताओं में शामिल हैं:
- Chrome वेब स्टोर नीतियों का पालन करना
- गोपनीयता प्रथा का खुलासा करना
- कोई नीति उल्लंघन नहीं
लेकिन सत्यापन प्रक्रिया में एक मौलिक दोष है: यह कोड को सबमिशन के समय जांचता है, निरंतर नहीं। हमलावर साफ कोड सबमिट करते हैं, बैज अर्जित करते हैं, फिर दुर्भावनापूर्ण अपडेट भेजते हैं।
असली समस्या: स्थानीय-केवल प्रोसेसिंग
मूल समस्या केवल दुर्भावनापूर्ण एक्सटेंशन नहीं है—यह है कि संवेदनशील डेटा AI सेवाओं तक पहुँचता है।
जब आप ChatGPT में ग्राहक जानकारी चिपकाते हैं:
- यह आपके ब्राउज़र के माध्यम से यात्रा करता है
- कोई भी एक्सटेंशन इसे इंटरसेप्ट कर सकता है
- यह OpenAI के सर्वरों पर संग्रहीत होता है
- इसका उपयोग प्रशिक्षण के लिए किया जा सकता है (सेटिंग्स के आधार पर)
दुर्भावनापूर्ण एक्सटेंशनों के बिना भी, आप हर एक्सटेंशन पर भरोसा कर रहे हैं जो आपके ब्राउज़र तक पहुँच रखता है, साथ ही AI प्रदाता की सुरक्षा और नीतियों पर।
समाधान: सबमिशन से पहले अनामित करें
संवेदनशील डेटा को पूरी तरह से सुरक्षित रखने का एकमात्र तरीका है कि यहाँ से बाहर निकलने से पहले PII को हटा दें।
anonym.legal Chrome एक्सटेंशन
हमारा Chrome एक्सटेंशन दुर्भावनापूर्ण वाले से अलग तरीके से काम करता है:
| विशेषता | दुर्भावनापूर्ण एक्सटेंशंस | anonym.legal |
|---|---|---|
| डेटा पहुँच | सब कुछ इंटरसेप्ट करता है | केवल सक्रिय होने पर |
| प्रोसेसिंग | दूरस्थ सर्वरों पर भेजता है | केवल स्थानीय प्रोसेसिंग |
| उद्देश्य | डेटा चोरी | डेटा सुरक्षा |
| ओपन सोर्स | नहीं | जल्द ही आ रहा है |
यह कैसे काम करता है:
- आप PII वाला पाठ टाइप या चिपकाते हैं
- एक्सटेंशन स्थानीय रूप से संवेदनशील डेटा का पता लगाता है
- PII को टोकनों से प्रतिस्थापित किया जाता है: "John Smith" → "[PERSON_1]"
- अनामित पाठ AI को भेजा जाता है
- AI प्रतिक्रिया आपके लिए डि-एनोनिमाइज की जाती है
क्या सुरक्षित होता है:
- नाम, ईमेल पते, फोन नंबर
- क्रेडिट कार्ड नंबर, बैंक खाते
- SSNs, पासपोर्ट नंबर, ड्राइवर के लाइसेंस
- चिकित्सा रिकॉर्ड नंबर, रोगी आईडी
- और 250+ अधिक इकाई प्रकार
अपने एक्सटेंशनों की पुष्टि करें
तुरंत अपने स्थापित एक्सटेंशनों की जांच करें:
Chrome
chrome://extensions/पर जाएं- प्रत्येक एक्सटेंशन की अनुमतियों की समीक्षा करें
- जांचें कि इसे अंतिम बार कब अपडेट किया गया था
- एक्सटेंशन नाम + "malware" या "security" के लिए खोजें
लाल झंडे
- एक्सटेंशनों को व्यापक अनुमतियों की मांग करना ("आपकी सभी वेबसाइटों पर आपके सभी डेटा को पढ़ें और बदलें")
- अनजान डेवलपर्स जिनके पास कोई अन्य एक्सटेंशन नहीं है
- महीनों से अपडेट नहीं किए गए एक्सटेंशन
- सामान्य समीक्षाओं के साथ संदिग्ध रूप से उच्च रेटिंग
निष्कर्ष
900,000 उपयोगकर्ता उल्लंघन साबित करता है कि ब्राउज़र एक्सटेंशन एक महत्वपूर्ण सुरक्षा दृष्टिहीनता हैं। यहां तक कि Google की सत्यापन प्रक्रिया को भी दरकिनार किया जा सकता है।
सुरक्षित दृष्टिकोण यह मान लेना है कि हर एक्सटेंशन से समझौता किया जा सकता है और डेटा को स्रोत पर सुरक्षित करें—इससे पहले कि यह कभी भी AI सेवाओं तक पहुंचे।
अपने AI वार्तालापों की सुरक्षा शुरू करें:
- anonym.legal Chrome एक्सटेंशन स्थापित करें (मुफ्त)
- एक्सटेंशन अनुमतियों के गाइड को देखें
- हमारे सुरक्षा दृष्टिकोण के बारे में जानें
स्रोत: