TL; versão DR:
- Os complementos do navegador para o Chrome, Firefox e provavelmente outros navegadores estão rastreando todas as páginas que você visita e enviando esses dados de volta a uma empresa de terceiros que os paga pela sua informação.
- Alguns desses complementos também estão injetando anúncios nas páginas que você visita, e o Google especificamente permite isso por algum motivo, desde que seja "claramente divulgado".
- Milhões de pessoas sendo rastreadas dessa forma e elas não têm a menor ideia.
Estamos oficialmente chamando isso de spyware? Bem… não é tão simples assim. Wikipedia define spyware como “Software que auxilia na coleta de informações sobre uma pessoa ou organização sem o seu conhecimento e que pode enviar essas informações para outra entidade sem o consentimento do consumidor”.Isso não significa que todo o software que coleta dados seja necessariamente um spyware, e isso não significa que todo o software que envia dados para os servidores seja necessariamente um spyware.
Mas quando o desenvolvedor de uma extensão se esforça para esconder o fato de que cada página que você visita está sendo armazenada e enviada para uma corporação que paga por esses dados enquanto a enterra nas configurações como “estatísticas de uso anônimas”, é um problema, pelo menos. Qualquer usuário razoável presumiria que, se um desenvolvedor quiser rastrear estatísticas de uso, ele só rastreará o uso da extensão em si - mas o oposto é verdadeiro. A maioria dessas extensões está rastreando tudo o que você fazexceto usando a extensão. Eles estão apenas rastreandovocê.
Isso se torna ainda mais problemático porque eles chamam de “anônimo estatísticas de utilização"; a palavra "anônimo" implica que seria impossível descobrir a quem esses dados pertencem, como se eles estivessem limpando os dados de todas as suas informações. Mas eles não são. Sim, claro, eles estão usando um token anônimo para representá-lo, em vez de seu nome completo ou e-mail, mas cada página que você visita está vinculada a esse token. Por enquanto você tem essa extensão instalada.
Acompanhe o histórico de navegação de qualquer pessoa por tempo suficiente e você pode descobrir exatamente quem ela é.
Quantas vezes você abriu sua própria página de perfil no Facebook ou no Pinterest, no Google+ ou em outra página? Você já percebeu como o URL contém seu nome ou algo que o identifica? Mesmo que você nunca tenha visitado nenhum desses sites, é possível descobrir quem você é.
Eu não sei sobre você, mas meu histórico de navegação émeu,e ninguém deveria ter acesso a isso além de mim. Há uma razão pela qual os computadores têm senhas e todos que têm mais de 5 anos sabem como excluir o histórico do navegador. O que você visita na internet é muito pessoal, e ninguém deve ter a lista de páginas que eu visito além de mim, mesmo que meu nome não esteja especificamente associado à lista.
Não sou advogado, mas as Políticas do programa para desenvolvedores do Google para extensões do Google Chrome dizem especificamente que um desenvolvedor de extensão não deve poder publicar nenhuma das minhas informações pessoais:
We don’t allow unauthorized publishing of people’s private and confidential information, such as credit card numbers, government identification numbers, driver’s and other license numbers, or any other information that is not publicly accessible.
Exatamente como meu histórico de navegação não é informação pessoal? Definitivamente não é publicamente acessível!
Sim, muitas dessas extensões inserem anúncios também
Sempre que você estiver lidando com anúncios, também haverá cookies envolvidos. (Vale a pena notar que este site é suportado por anúncios, e os anunciantes colocam cookies no seu disco rígido, assim como todos os sites na internet.) Nós não achamos que os cookies são um grande negócio, mas se você fizer isso, eles são bonitos fácil de lidar.
As extensões de adware são, na verdade, um problema menor, se você puder acreditar, porque o que elas estão fazendo é muito óbvio para os usuários da extensão, que podem então começar um alvoroço sobre isso e tentar fazer com que o desenvolvedor pare. Definitivamente, desejamos que o Google e a Mozilla mudem suas políticas ridículas para proibir esse comportamento, mas não podemos ajudá-los a ter bom senso.
O rastreamento, por outro lado, é feito em segredo, ou é essencialmente secreto porque eles tentam esconder o que estão fazendo em termos jurídicos na descrição das extensões, e ninguém rola para a parte inferior do leia-me para descobrir se essa extensão é indo para rastrear pessoas.
Esta espionagem está escondida por trás de EULAs e políticas de privacidade
Essas extensões são "permitidas" para engajar-se nesse comportamento de rastreamento porque "divulgam" isso em sua página de descrição ou em algum momento no painel de opções. Por exemplo, a extensão HoverZoom, que tem um milhão de usuários, diz o seguinte em sua página de descrição, na parte inferior:
Hover Zoom uses anonymous usage statistics. This can be disabled in the options page without losing any features as well. By leaving this feature enabled, the user authorize the collection, transfer and use of anonymous usage data, including but not limited to transferring to third parties.
Onde exatamente nesta descrição explica que eles irão rastrear cada página que você visitar e enviar a URL de volta para um terceiro, que paga por elesseu dados? Na verdade, eles afirmam que são patrocinados por meio de links afiliados, ignorando completamente o fato de estarem espionando você. Sim, isso mesmo, eles também estão injetando anúncios em todo o lugar. Mas com qual preocupação você mais se importa, um anúncio é exibido em uma página ou eles tomam todo o seu histórico de navegação e o enviam para outra pessoa?
Essa extensão em particular tem uma longa história de mau comportamento, voltando há algum tempo. O desenvolvedor foi recentemente apanhado coletando dados de navegação Incluindo dados de formulário … mas ele também foi pego no ano passado, vendendo dados sobre o que você digitou em outra empresa. Eles adicionaram uma política de privacidade que explica em detalhes o que está acontecendo, mas se você precisar ler uma política de privacidade para descobrir que está sendo espionado, terá outro problema.
Para resumir, um milhão de pessoas estão sendo espionadas por esta única extensão. E isso é só1dessas extensões - há muito mais fazendo a mesma coisa.
Extensões podem mudar de mãos ou atualizar sem o seu conhecimento
Para piorar, muitas dessas extensões mudaram de mãos ao longo do último ano - e qualquer um que já tenha escrito uma extensão está sendo inundado com pedidos para vender sua extensão a pessoas suspeitas, que infectarão você com anúncios ou espionarão você. Como as extensões não exigem novas permissões, você nunca terá a oportunidade de descobrir quais adicionaram rastreamento secreto sem o seu conhecimento.
No futuro, é claro, você deve evitar instalar extensões ou addons completamente ou sermuito cuidado com quais você instala. Se eles pedirem permissões para tudo no seu computador, você deve clicar no botão Cancelar e executar.
Código de acompanhamento oculto com um comutador de ativação remota
Testamos uma dessas extensões, chamada Autocopy Original, enganando-a, achando que o comportamento de rastreamento deveria estar ativado, e pudemos ver imediatamente uma tonelada de dados enviados de volta para seus servidores. Havia 73 dessas extensões na Chrome Store e algumas na loja de complementos do Firefox. Eles são facilmente identificáveis porque são todos de “wips.com” ou “parceiros wips.com”.
Está se perguntando por que estamos preocupados com o código de acompanhamento que ainda não está ativado? Como a página de descrição deles não diz uma palavra sobre o código de acompanhamento, ele é colocado como uma caixa de seleção em cada uma de suas extensões. Então, as pessoas estão instalando as extensões assumindo que são de uma empresa de qualidade.
E é apenas uma questão de tempo até que o código de acompanhamento esteja ativado.
Investigando este Awfulness da extensão da espionagem
A pessoa comum não vai nem saber que esta espionagem está acontecendo - eles não verão uma solicitação para um servidor, nem terão como dizer que isso está acontecendo. A grande maioria desses milhões de usuários não será afetada de forma alguma … exceto pelo fato de que seus dados pessoais foram roubados deles. Então, como você descobre isso por si mesmo? Chama-se violinista.
O Fiddler é uma ferramenta de depuração da web que atua como um proxy e armazena em cache todas as solicitações para que você possa ver o que está acontecendo. Esta é a ferramenta que usamos - se você quiser duplicar em casa, basta instalar uma dessas extensões de espionagem, como o Hover Zoom, e você começará a ver duas solicitações para sites semelhantes a t.searchelper.com e api28.webovernet.com para cada página que você visualiza. Se você marcar a tag Inspectors, verá um monte de texto codificado na base64 … na verdade, ele foi codificado com base64 duas vezes por algum motivo. (Se você quiser o texto completo do exemplo antes da decodificação, nós o colocamos em um arquivo de texto aqui).
s=1809&md=21& pid=mi8PjvHcZYtjxAJ&sess=23112540366128090&sub=chrome &q= https%3A//secure.bankofamerica.com/login/sign-in/signOnScreen.go%3Fmsg%3DInvalidOnlineIdException%26request_locale%3Den-us%26lpOlbResetErrorCounter%3D0&hreferer=https%3A//secure.bankofamerica.com/login/sign-in/entry/signOn.go&prev=https%3A//secure.bankofamerica.com/login/sign-in/entry/signOn.go&tmv=4001.1&tmf=1&sr=https%3A//secure.bankofamerica.com/login/sign-in/signOn.go
Você pode remover o api28.webovernet.com e o outro site em seu navegador para ver aonde eles levam, mas economizaremos o suspense: eles são na verdade redirecionados para a API de uma empresa chamada Similar Web, que é uma das muitas empresas fazendo esse tipo de rastreamento e vendendo os dados para que outras empresas possam espionar o que seus concorrentes estão fazendo.
Se você for do tipo aventureiro, poderá encontrar facilmente esse mesmo código de acompanhamento abrindo a página chrome: // extensions e clicando no modo de desenvolvedor e, em seguida, em "Inspecionar exibições: html / background.html" ou no texto semelhante diz-lhe para inspecionar a extensão. Isso permitirá que você veja o que essa extensão está executando o tempo todo em segundo plano.
Impedindo que uma extensão atualize automaticamente (avançado)
Se você ainda quiser, abra o painel Extensões, encontre o ID da extensão e vá para% localappdata% google chrome Dados do usuário padrão Extensões e encontre a pasta que contém sua extensão. Altere a linha update_url no manifest.json para substituir clients2.google.com por localhost.Nota:Ainda não conseguimos testar isso com uma extensão real, mas isso deve funcionar.
Então, onde isso nos deixa?
Já determinamos que várias extensões estão sendo atualizadas para incluir código de rastreamento / espionagem, injeção de anúncios e quem sabe o que mais. Eles estão sendo vendidos para empresas não confiáveis, ou os desenvolvedores estão sendo comprados com uma promessa de dinheiro fácil.
Depois de instalar um complemento, não há como saber se ele não incluirá spyware no futuro. Tudo o que sabemos é que há muitos complementos e extensões que estão fazendo essas coisas.
As pessoas nos pedem uma lista e, enquanto estamos investigando, encontramos muitas extensões fazendo essas coisas, não temos certeza de que podemos fazer uma lista completa de todas elas. Adicionaremos uma lista deles ao tópico do fórum associado a este artigo, para que a comunidade nos ajude a gerar uma lista maior.
Veja a lista completa ou dê-nos sua opinião
