2026 m. sausio incidentas
Atnaujinta 2026 metais. 2026 m. sausį saugumo tyrėjai rado du kenkėjiškus Chrome papildinius su daugiau nei 900 000 vartotojų.
Pavadinimai buvo parinkti taip, kad atrodytų kaip tikri DI įrankiai:
- "Chat GPT for Chrome with GPT-5, Claude Sonnet & DeepSeek AI" — 600 000+ vartotojų
- "AI Sidebar with Deepseek, ChatGPT, Claude and more" — 300 000+ vartotojų
Abu darė tą patį. Jie siuntė pilnus ChatGPT ir DeepSeek pokalbius į nuotolinį serverį kas 30 minučių.
Pavogti duomenys apėmė šaltinio kodą, asmenines detales, teisinius pokalbius, verslo planus ir finansinius įrašus. Kiekviena vartotojų rašyta žinutė — turinys, kurį jie manė esant privačiu — pateko pas nežinomus asmenis.
Kaip papildiniai apėjo pasitikėjimo signalus
Įrankiai prašė "rinkti anoniminius, neatpažįstamus analitinius duomenis". Tokia formuluotė skamba saugiai.
Iš tikrųjų jie griebė pilną DI pokalbių turinį. Analitinius prašymas buvo priedanga. Pokalbių vagystė buvo tikrasis tikslas.
Šis triukas paaiškina, kodėl ši grėsmė toliau auga. Vartotojai, nespragtelėję ant sukčiavimo nuorodos, tyčia įdiegė šiuos įrankius. Jie atėjo iš Chrome interneto parduotuvės. Jie atrodė kaip tikri DI įrankiai.
Platesnis modelis: 67 % DI papildinių renka jūsų duomenis
2026 m. sausio atvejis nebuvo unikalus. Incogni atliktas tyrimas nustatė, kad 67 % DI Chrome papildinių aktyviai renka vartotojų duomenis. Keli nepriklausomi tyrimai patvirtina šį skaičių.
Tai yra pagrindinė problema. Vartotojai diegia įrankius, kad apsaugotų savo DI privatumą. Tačiau dauguma tų pačių įrankių renka duomenis, kuriuos teigia apsaugantys.
Rinka sukūrė kategoriją — DI privatumo įrankiai naršyklėms. Ji nesukūrė būdo vartotojams patikrinti tuos teiginius. Rezultatas: "apsaugos" įrankis yra grėsmė.
Sužinokite daugiau mūsų saugumo žodynėlyje ir atitikties dokumentuose. Taip pat galite peržiūrėti, kaip mes kategorizuojame DI riziką mūsų objektų duomenų vadove.
Saugi vs. nesaugi architektūra
2026 m. sausio atvejis parodo pagrindinį techninį atotrūkį. Tai žinokite prieš diegdami bet kokį DI naršyklės įrankį.
Nesaugu — nukreipta per kūrėjo serverius:
- Vartotojas spausdina į ChatGPT
- Įrankis perima tekstą
- Įrankis siunčia tekstą į savo serverį "apdorojimui"
- Serveris grąžina apdorotą tekstą
- Įrankis siunčia į ChatGPT
Kiekvienas užklausimas praeina per kūrėjo sistemas. Jei įrankis yra kenkėjiškas, visas tas turinys yra pavojuje.
Saugu — tik vietinis apdorojimas:
- Vartotojas spausdina į ChatGPT
- Įrankis perima tekstą
- Įrankis apdoroja tekstą vietiškai naršyklėje
- Apdorotas tekstas keliauja tiesiai į ChatGPT
Nieko nepalieka naršyklę, išskyrus galutinį tekstą į DI paslaugą. Kūrėjo serveriai niekada nėra kelyje.
Užduokite vieną klausimą: kur vyksta apdorojimas? Jei atsakymas yra kūrėjo pačių serveriai, jūsų duomenys praeina per trečiąją šalį.
Sužinokite, kaip anonym.legal tai tvarko mūsų saugumo apžvalgoje.
Penki klausimai prieš diegiant DI naršyklės įrankį
67 % DI papildinių renka vartotojų duomenis. Blogi veikėjai gali publikuoti įrankius Chrome interneto parduotuvėje su didžiuliais diegimų skaičiais. Peržiūros procesas svarbus. Šie penki klausimai padeda priimti geresnį sprendimą.
1. Kur apdorojamas PII aptikimas? Patikrinkite privatumo politiką. Ar aptikimas vyksta naršyklėje, ar tekstas keliauja į serverį? Vietinis reiškia, kad kūrėjas niekada nemato jūsų teksto.
2. Kas nutinka pokalbių turiniui? Įrankiai, kurie "saugo" nukreipdami per savo proxy, skaito viską, ką spausdinote. Įrankiai, apdorojantys tekstą vietiškai, to nedaro.
3. Kas yra patvirtintas leidėjas? 2026 m. sausio įrankiai praėjo interneto parduotuvės patikrinimus. Vis tiek leidėjas su aiškiu pavadinimu ir tikru verslu yra labiau patikimas nei anoniminis su nemokamu įrankiu ir be pajamų.
4. Ar yra nepriklausomas saugumo sertifikatas? ISO 27001 apima, kaip tiekėjas kuria ir pristatia programinę įrangą. Nepriklausomi auditai patikrina teiginius, kurių rinkodara negali.
5. Koks yra verslo modelis? Aiškiausias signalas: kaip nemokamas įrankis uždirba pinigus? Jei nėra pajamų šaltinio, jūsų duomenys greičiausiai yra produktas. Įrankis, susietas su mokama paslauga, turi mažiau priežasčių rinkti duomenis slapta.
Peržiūrėkite mūsų DUK dėl bendrų DI naršyklės saugumo klausimų.
Ką incidentas atskleidžia apie DI saugumą
900 000+ vartotojų nebuvo neatsargūs. Tai buvo profesionalai, norėję DI įrankių ir privatumo. Jie įdiegė tai, kas atrodė kaip tikri produktai iš Chrome interneto parduotuvės.
Užpuolimas pavyko dėl keturių priežasčių.
Įrankiai turėjo tikras funkcijas. Jie nebuvo grynai blogi. Jie siūlė DI funkcijas kartu su duomenų vagyste. Dėl to jie atrodė kaip tikri produktai normalaus naudojimo metu.
Pasitikėjimo signalai buvo suklastoti. Šimtai tūkstančių vartotojų sukuria socialinį įrodymą. Matant 600 000 diegimų, daugiau žmonių diegė, o ne mažiau.
Leidimų prašymas atrodė saugiai. "Anoniminiai, neatpažįstami analiziniai duomenys" yra tokio tipo kalba, kurią vartotojai priima neskaitydami.
Vagystė veikė pagal laikmačiu. Trisdešimties minučių intervalai perima kiekvieną pokalbį. Jie taip pat yra pakankamai reti, kad išvengtų anomalijomis pagrįstų saugumo įspėjimų.
Post-incidentinis pasitikėjimo sistema
Po 2026 m. sausio įmonių IT komandos turi griežtesnę DI naršyklės įrankių peržiūrą.
Būtiniausi reikalavimai:
- Vietinis apdorojimas — patikrintas audito, o ne tik teigiamas rinkodaros
- Leidėjo tapatybė — žinoma įmonė su tikru verslo modeliu ir istorija
- Nepriklausomas saugumo sertifikatas — ISO 27001 arba lygiavertis
- Aiški privatumo politika — kas renkama, kur keliauja ir kada
- Jokio nukreipimo per kūrėjo serverius pagrindinėms privatumo funkcijoms
Komandos, diegiančios DI įrankius didelei darbo jėgai, taip pat turėtų apsvarstyti:
- Auditą įdiegtų naršyklės įrankių dėl duomenų išfiltravimo
- Stebėjimą dėl netikėtų išorinių ryšių iš naršyklės procesų
- Patvirtintų įrankių valdymą per Chrome Enterprise politiką
2026 m. sausio atvejis buvo perspėjimas. 67 % rinkimo lygis DI naršyklės įrankiuose rodo, kad perspėjimas buvo užtarnautas.
Įmonių rekomendacijoms žiūrėkite mūsų atitikties centrą ir atvejų tyrimus. Mūsų steigėjo pareiškimas paaiškina, kaip nuo pat pradžių sukūrėme anonym.legal aplink vietinį apdorojimą. Informacijos apie kainodarą mūsų įmonių planui rasite kainoraštyje.
anonym.legal Chrome įrankis apdoroja PII aptikimą vietiškai. Joks pokalbių turinys nepasiekia anonym.legal serverių PII aptikimo metu. Anoniminimas vyksta naršyklėje prieš modifikuotą užklausimą siunčiant DI paslaugai. Publikuojamas anonym.legal, sertifikuotas ISO 27001.