كيف يمكن لإضافات المتصفح رؤية حساب تداولك؟ الصلاحيات التي تمنحها قد تتجاوز ما تظن

قمت بتثبيت امتداد ترجمة لقراءة وثائق المشروع وأضفت أداة تنبيه سعر لمراقبة السوق. أثناء التثبيت، طلب متصفحك إذنًا لـ "قراءة وتعديل جميع بياناتك على جميع المواقع"، وقبلت دون أن تفكر كثيرًا.

 

لكن هذا الإذن قد يمتد أبعد من مجرد ترجمة المقالات أو عرض الأسعار. إذا كان الوصول الممنوح للإضافة يشمل موقع التبادل الخاص بك، فقد يكون قادرًا أيضًا على قراءة صفحات الحساب التي تفتحها بعد تسجيل الدخول—وحتى تعديل محتواها. لا يحتاج بالضرورة إلى كلمة مرور حسابك أو مفتاح API للقيام بذلك.

 

حماية حسابك التجاري تعني التفكير أبعد من "من يعرف كلمة مروري؟" كما تعني طرح سؤال يُهمل غالبًا: من يُسمح له بقراءة وتعديل الصفحة أمامي؟

إن إضافة المتصفح ليست مجرد أيقونة على شريط الأدوات. مع الأذونات المناسبة، يمكنها تشغيل التعليمات البرمجية على المواقع ضمن نطاقها المصرح به، وقراءة محتوى الصفحة، وتعديل تخطيطات الصفحة، وتمرير المعلومات التي تقرأها إلى مكونات أخرى من الإضافة. تعتمد الميزات مثل الترجمة والملء التلقائي على هذه القدرات.

 

المشكلة هي أن إذونات الوصول إلى الموقع تحدد المواقع التي يمكن للإضافة العمل عليها، وليس ما إذا كانت كل إجراءات تتوافق مع الغرض الذي تهدف إليه. "ساعدنى في ترجمة نظرة عامة على هذا المشروع" لا تعني تلقائيًا "اقرأ فقط نظرة عامة على هذا المشروع." إذا سمحت لإضافة بالوصول إلى جميع المواقع، فقد يشمل هذا الوصول أيضًا منصتك للتداول وبريدك الإلكتروني.

 

باستخدام كروم كمثال، فإن الأذونات والقدرات التالية تستحق اهتمامًا خاصًا. تعتمد هذه القدرات على الأذونات الممنوحة المحددة: الوصول إلى جميع المواقع لا يمنح تلقائيًا الوصول إلى الحافظة أو الوصول من خلال واجهة برمجة تطبيقات ملفات تعريف الارتباط.

 

الإذن أو القدرة	ما الذي قد تصل إليه الإضافة	مخاطر محتملة على الحساب
اقرأ وغيّر صفحات الويب التي لديها إذن بالوصول إليها	النصوص والأشكال والأزرار والمعلومات التي تم تحميلها بالفعل على صفحات الحساب	قد تقوم إضافة ضارة بقراءة الأرصدة أو المراكز أو تفاصيل الأوامر، أو تغيير ما يُعرض على الصفحة ومحتويات حقول الإدخال.
اقرأ أو اكتب إلى الحافظة	تم نسخ النص، مثل عنوان المستلم؛ تعتمد القدرات الدقيقة على ما إذا كان الملحق يمتلك إذن قراءة، أو إذن كتابة، أو كليهما	بفضل الوصول إلى قراءة الحافظة، يمكن لامتداد ضار قراءة المعلومات الحساسة التي تنسخها. وبفضل الوصول إلى كتابة الحافظة، يمكنه استبدال عنوان السحب المنسوخ قبل لصقه.
الوصول إلى ملفات تعريف الارتباط للموقع عبر واجهة برمجة تطبيقات ملفات تعريف الارتباط	ملفات تعريف الارتباط للمواقع المعتمدة، والتي قد تتضمن معلومات تُحافظ على حالة تسجيل دخولك	إذا احتوت ملفات تعريف الارتباط المسروقة على بيانات اعتماد جلسة صالحة، فقد يحاول المهاجم اختطاف جلستك. في كروم، يتطلب الوصول من خلال هذه الواجهة إذن cookies وأذونات الموقع المقابلة.

هذا سيناريو افتراضي يوضح المخاطر، وليس حسابًا لحادث مُعلن محدد.

 

لقراءة المقالات باللغة الإنجليزية، يثبّت لين إضافة ترجمة ويوافق على منحها الوصول إلى جميع المواقع. بعد بضعة أيام، يفتح منصته من إشارة مرجعية، ويدخل حسابه كالمعتاد، ويستعد لمراجعة أصوله وإجراء سحب.

 

افترض أن الإضافة تحتوي على كود ضار وقد منحت بالفعل وصولًا إلى موقع البورصة. قد تتطور المخاطر على النحو التالي:

 

أولاً، يقرأ الصفحة ويبحث عن الفرص. عندما يفتح لين صفحات أصوله وأوامره، يقرأ الملحق المعلومات المعروضة أو المحملة بالفعل هناك. قد يكون قادرًا على رؤية هذا المحتوى دون طلب الوصول بشكل منفصل إلى واجهة برمجة تطبيقات البورصة أو طلب من لين إدخال كلمة مروره مرة أخرى.

 

بعد ذلك، فإنه يُعدّل ما يراه أو على وشك إرساله. على سبيل المثال، يمكنه تغيير عنوان المستلم المعروض على الصفحة، أو تعديل نموذج السحب، أو إدراج نافذة "تحقق أمني" تبدو وكأنها تأتي من المنصة. هذه طرق محتملة لاستغلال الوصول إلى قراءة وكتابة صفحة الويب. ما زال يعتمد ما إذا كان يمكن للإضافة المضي قدمًا في إتمام إجراءات حساسة على إجراءات التحقق وضوابط المخاطر الخاصة بالمنصة.

 

الجزء الأكثر إرباكًا هو هذا: قد يكون النطاق في شريط العنوان لا يزال صحيحًا.

 

يحمي HTTPS البيانات أثناء النقل بين متصفحك والموقع الإلكتروني. ولا يمنع تلقائيًا إضافة مُصرّح بها من قراءة أو تعديل الصفحة محليًا. لذلك لا يزال من الضروري التحقق من النطاق الرسمي، لكنه لا يمكنه استبدال مراجعة إضافات متصفحك.

 

قد يكون الموقع الذي تزوره شرعيًا، لكن الصفحة التي تراها قد تكون قد تم تعديلها بواسطة امتداد متصفح خبيث.

بعد تسجيل الدخول، تستخدم المواقع عادةً بيانات الجلسة للتعرف على الطلبات اللاحقة. إذا حصل المهاجم على بيانات جلسة صالحة، فقد يحاول استخدام جلستك المُAUTHENTICATED الحالية بدلاً من البدء من جديد بكلمة المرور ورمز التحقق. ويعتمد نجاحه أيضًا على انتهاء صلاحية الجلسة وفحوصات الجهاز وغيرها من ضوابط الأمان.

 

حتى دون سرقة بيانات جلسة الدخول، قد يكون من الممكن لامتداد ضار قراءة صفحات حسابك بعد تسجيل الدخول بشكل طبيعي. لا يؤدي تمكين المصادقة الثنائية إلى إخفاء أرصدة حسابك أو أوامرك أو نماذج السحب تلقائيًا من الامتدادات التي لديها إذن بالوصول إلى صفحة الويب. تخدم مصادقة تسجيل الدخول وصلاحيات الوصول إلى صفحة الويب أغراضًا مختلفة.

4.1 قصر الوصول إلى "جميع المواقع الإلكترونية" على ما هو مطلوب فعليًا

في Chrome، انتقل إلى الإضافات → إدارة الإضافات → التفاصيل لمراجعة أذونات وصول الإضافة إلى المواقع. بالنسبة للأدوات التي لا تحتاج إلى وصول مستمر إلى صفحات الويب، اختر الخيار الذي يسمح بالوصول فقط عند النقر على الإضافة، إن كان متاحًا. بالنسبة للأدوات التي تخدم مواقع محدودة فقط، قيد الوصول إلى تلك المواقع المحددة. قد تختلف أسماء الخيارات بدقة حسب الإصدار واللغة.

 

أداة لقراءة المقالات لا ينبغي أن يكون لديها وصول مستمر إلى بورصتك وبريدك الإلكتروني فقط من أجل الراحة. منح الوصول عند الحاجة بدلاً من تركه مفعّلاً بشكل دائم على جميع المواقع الإلكترونية.

4.2 احتفظ ببيئة نظيفة للتداول والبريد الإلكتروني

احتفظ بأنشطة التداول منفصلة عن اختبار الإضافات الجديدة، وتنزيل الأدوات غير المألوفة، وأنشطة مشابهة. فكّر في استخدام متصفح منفصل بدون إضافات غير ضرورية. بالنسبة للمعاملات ذات القيمة العالية، فكّر في استخدام جهاز مخصص.

 

لا تحمي فقط صفحات تبادلك بينما تسمح لعدد كبير من الإضافات بالوصول إلى حساب بريدك الإلكتروني المرتبط. قد يتلقى صندوق بريدك روابط إعادة تعيين كلمة المرور وتنبيهات الأمان ورسائل التحقق، مما يجعله جزءًا من عملية استعادة الحساب.

 

وضع التصفح الخاص لا يضمن تعطيل الإضافات. يسمح كروم للإضافات الفردية بالعمل في وضع التصفح الخاص إذا سمحت بذلك صراحةً، لذا راجع أيضًا هذه الإعدادات.

4.3 أعد تقييم الثقة عند التثبيت أو التحديث

قبل تثبيت إضافة، تحقق من هوية المطور، وتأكد من أنك تقوم بتنزيلها من مصدر رسمي، وراجع وصف ميزاتها. لا تتخذ قرارك بناءً على اسمها أو أيقونتها أو تقييماتها فقط. قم بإزالة الإضافات التي لم تعد تستخدمها.

 

إذا طلب تحديث إذونات إضافية، فلا تقبلها ببساطة لاستعادة الوظائف. عندما يضيف امتداد إذونات تُثير تحذيرًا، يطلب كروم من المستخدمين قبول الإذونات الجديدة قبل إعادة تمكينه. عامل هذا التحذير كفرصة لإعادة تقييم الامتداد، وليس كتأكيد روتيني.

 

اسأل نفسك: لماذا تحتاج أداة كانت تُظهر أسعار السوق فقط الآن إلى الوصول إلى مزيد من المواقع أو إذن بقراءة الحافظة؟

4.4 احتفظ بالضمانات على مستوى الحساب

فعّل المصادقة الثنائية للمنصة، وكلمة مرور التداول، وأي قيود متاحة على عناوين السحب. قبل إجراء سحب، تحقق من عنوان المستلم الكامل، والشبكة، والمبلغ من مصدر مستقل وموثوق. لا تُعدّ عرضين لنفس المعلومات على صفحة ويب واحدة كتحققين مستقلين.

 

إذا بدا عنوان أو زر أو عملية تحقق فجأة غير عادي، فتوقف عما تفعله وتحقق من خلال القنوات الرسمية على جهاز موثوق. لا تستمر في اتباع التعليمات على صفحة مشبوهة لـ "إصلاح حسابك".

إذا كنت تشك في أن إضافة ما هي خبيثة، فتوقف عن إدخال كلمات المرور أو رموز التحقق في ذلك المتصفح. اتخذ الخطوات التالية بالترتيب:

1. أوقف الأنشطة الحساسة وعزل البيئة المشبوهة. لا تواصل تسجيل الدخول أو إنشاء مفاتيح API أو إجراء سحوبات. سجّل اسم الإضافة المشبوهة وإصدارها ومصدرها، ثم عطّلها أو احذفها. أغلق أي صفحات حساب مفتوحة واغلق المتصفح. تحقق أيضًا من جهازك بحثًا عن برامج مشبوهة أخرى.

2. استخدم جهازًا موثوقًا آخر للتحقق من حسابك وتقليل الخسائر المحتملة. استخدم التطبيق الرسمي أو انتقل مباشرة إلى الموقع الرسمي لمراجعة أوامرك وسجل السحوبات وإعدادات الأمان. إذا وجدت نشاطًا غير مصرح به، اتصل بدعم العملاء الرسمي فورًا واستخدم أي ميزات متاحة لتجميد الحساب أو تقييده.

3. عالج بيانات الاعتماد والصلاحيات التي قد تكون مخترقة. في بيئة موثوقة، غيّر أي كلمات مرور قد تكون مكشوفة، ألغِ جلسات تسجيل الدخول المشبوهة، احذف أو استبدل مفاتيح API التي قد تكون مخترقة، وتحقق من عناوين السحب غير المألوفة أو التغييرات في إعدادات الأمان. مسح ملفات تعريف الارتباط على جهازك لا يلغي جلسة يحتفظ بها المهاجم؛ يجب أيضًا إلغاء الجلسة على الخادم.

4. تحقق من حساب البريد الإلكتروني المرتبط أيضًا. راجع عمليات الدخول الأخيرة، وطرق الاسترداد، وقواعد التوجيه، وأذونات الوصول إلى الأطراف الثالثة. بعد تأمين حسابك في البورصة، لا تترك حساب البريد الإلكتروني المرتبط متاحًا لأي شخص آخر.

إذا قمت بإدخال عبارة بذور المحفظة أو المفتاح الخاص في امتداد مشبوه، فاعتبر هذه البيانات مخترقة. حذف الامتداد أو تغيير كلمة مرور فتح تطبيق المحفظة لن يلغي صلاحية عبارة البذور أو المفتاح الخاص المكشوفين. أنشئ محفظة جديدة بعبارة بذور مولدة حديثًا على جهاز موثوق، ثم قم بنقل الأصول ذات الصلة إليها بعناية.

قد لا تقدم إضافة سوى الترجمة أو التنبيهات أو التعبئة التلقائية، لكن هذا لا يعني أنك بحاجة إلى منحها الوصول إلى كل موقع ويب.

 

قبل تثبيته، اسأل عن الأذونات التي يحتاجها. أثناء استخدامه، قلل من المواقع التي يمكنه الوصول إليها. إذا بدا لك شيء غير طبيعي، اغادر البيئة المشبوهة أولاً، ثم عالج أمان حسابك.

 

تذكّر: 

وصف الميزة يوضح ما الذي يهدف إليه الملحق. تحدد الصلاحيات ما يُسمح له بفعله. حماية حسابك التجاري تبدأ بأخذ كل طلب صلاحية على محمل الجد.