Como as extensões de navegador podem ver sua conta de negociação? As permissões que você concede podem ir além do que você pensa

Você instalou uma extensão de tradução para ler a documentação do projeto e adicionou uma ferramenta de alerta de preço para monitorar o mercado. Durante a instalação, seu navegador pediu permissão para “Ler e alterar todos os seus dados em todos os sites”, e você aceitou sem dar muita atenção.

 

Mas essa permissão pode ir muito além de traduzir artigos ou exibir preços. Se o acesso da extensão incluir o site da exchange, ela também poderá ler as páginas da sua conta que você abrir após fazer login — e até mesmo modificar seu conteúdo. Ela não precisa necessariamente da sua senha da conta ou da chave API para fazer isso.

 

Proteger sua conta de negociação significa ir além de “Quem sabe minha senha?”. Também significa fazer uma pergunta frequentemente ignorada: Quem tem permissão para ler e modificar a página web à minha frente?

Uma extensão de navegador é mais do que apenas um ícone na sua barra de ferramentas. Com as permissões apropriadas, ela pode executar código em sites dentro de seu escopo autorizado, ler o conteúdo da página, ajustar o layout da página e passar as informações lidas para outros componentes da extensão. Recursos como tradução e preenchimento automático dependem dessas capacidades.

 

O problema é que as permissões de acesso ao site definem onde uma extensão pode operar, não se cada ação corresponde ao propósito que você tem em mente. “Ajude-me a traduzir esta visão geral do projeto” não significa automaticamente “Apenas leia esta visão geral do projeto.” Se você permitir que uma extensão acesse todos os sites, esse acesso também pode abranger seu exchange e seu webmail.

 

Usando o Chrome como exemplo, as seguintes permissões e funcionalidades merecem atenção especial. Essas funcionalidades dependem das permissões específicas concedidas: o acesso a todos os sites não concede automaticamente acesso à área de transferência ou acesso por meio da API de Cookies.

 

Permissão ou Capacidade	O que a extensão pode acessar	Riscos Potenciais na Conta
Leia e altere páginas da web às quais tem permissão de acesso	Texto, formulários, botões e informações já carregados nas páginas da conta	Uma extensão maliciosa pode ler saldos, posições ou detalhes de ordens, ou alterar o que é exibido na página e o conteúdo dos campos de entrada.
Ler ou escrever na área de transferência	Texto copiado, como um endereço de destinatário; as capacidades exatas dependem se a extensão possui permissão de leitura, permissão de escrita ou ambas	Com acesso à leitura da área de transferência, uma extensão maliciosa pode ler informações sensíveis que você copiar. Com acesso à escrita na área de transferência, ela pode substituir um endereço de saque copiado antes de você colá-lo.
Acesse os cookies do site por meio da API de Cookies	Cookies para sites autorizados, que podem incluir informações que mantêm seu estado conectado	Se os cookies roubados contiverem credenciais de sessão válidas, um atacante pode tentar sequestrar sua sessão. No Chrome, o acesso por meio desta API exige a permissão cookies e as permissões correspondentes do site.

O seguinte é um cenário hipotético ilustrando o risco, não um relato de um incidente divulgado específico.

 

Para ler artigos em inglês, Lin instala uma extensão de tradução e permite que ela acesse todos os sites. Alguns dias depois, ele abre sua exchange por meio de um favorito, faz login como de costume e se prepara para revisar seus ativos e realizar um saque.

 

Suponha que a extensão contenha código malicioso e já tenha obtido acesso ao site da exchange. O risco poderia se desenrolar da seguinte forma:

 

Primeiro, ele lê a página e procura oportunidades. Quando Lin abre suas páginas de ativos e ordens, a extensão lê as informações já exibidas ou carregadas lá. Pode ser capaz de ver esse conteúdo sem solicitar separadamente acesso à API da exchange ou pedir a Lin para fornecer sua senha novamente.

 

Em seguida, ele modifica o que ele vê ou está prestes a enviar. Por exemplo, pode alterar o endereço do destinatário exibido na página, modificar o formulário de retirada ou inserir uma janela de “verificação de segurança” que parece vir da plataforma. Essas são possíveis formas de abusar do acesso de leitura e escrita à página da web. Se a extensão pode prosseguir para realizar ações sensíveis ainda depende dos procedimentos de verificação e controles de risco da plataforma.

 

A parte mais enganosa é esta: o domínio na barra de endereços pode ainda estar correto.

 

HTTPS protege os dados em trânsito entre seu navegador e o site. Ele não impede automaticamente que uma extensão autorizada leia ou modifique a página localmente. Verificar o domínio oficial ainda é necessário, mas não substitui a revisão das suas extensões de navegador.

 

O site que você visita pode ser legítimo, mas a página que você vê ainda pode ter sido alterada por uma extensão de navegador maliciosa.

Após fazer login, os sites normalmente usam credenciais de sessão para reconhecer solicitações subsequentes. Se um atacante obtiver credenciais de sessão válidas, ele pode tentar usar sua sessão autenticada existente em vez de começar novamente com uma senha e código de verificação. Seu sucesso também depende da expiração da sessão, verificações de dispositivo e outros controles de segurança.

 

Mesmo sem roubar credenciais de sessão, uma extensão maliciosa pode conseguir ler suas páginas de conta após você fazer login normalmente. Ativar a autenticação de dois fatores não oculta automaticamente seus saldos, ordens ou formulários de retirada de extensões que tenham permissão para acessar a página da web. A verificação de login e as permissões de acesso à página da web servem a propósitos diferentes.

4.1 Limite o acesso “A todos os sites” ao que é realmente necessário

No Chrome, vá até Extensões → Gerenciar Extensões → Detalhes para revisar as permissões de acesso a sites de uma extensão. Para ferramentas que não precisam de acesso contínuo às páginas da web, escolha a opção que permite acesso apenas quando você clicar na extensão, se disponível. Para ferramentas que atendem apenas a alguns sites, restrinja o acesso a esses sites específicos. Os nomes exatos das opções podem variar conforme a versão e o idioma.

 

Uma ferramenta para ler artigos não deve ter acesso contínuo ao seu exchange e e-mail apenas por conveniência. Conceda acesso apenas quando necessário, em vez de deixá-lo permanentemente ativado em todos os sites.

4.2 Mantenha um ambiente limpo para negociação e e-mail

Mantenha as atividades de negociação separadas de testes de novas extensões, downloads de ferramentas desconhecidas e atividades semelhantes. Considere usar um navegador separado sem extensões desnecessárias. Para transações de alto valor, considere usar um dispositivo dedicado.

 

Não proteja apenas suas páginas da exchange enquanto permite que inúmeras extensões acessem sua conta de e-mail vinculada. Sua caixa de entrada pode receber links de redefinição de senha, alertas de segurança e mensagens de verificação, tornando-a parte do processo de recuperação da conta.

 

O modo anônimo não garante que as extensões estejam desativadas. O Chrome permite que extensões individuais sejam executadas no modo anônimo se você as permitir explicitamente, então revise também essas configurações.

4.3 Reavaliar a confiança ao instalar ou atualizar

Antes de instalar uma extensão, verifique a identidade do desenvolvedor, confirme que você está baixando-a de uma fonte oficial e revise sua descrição de recursos. Não tome sua decisão com base apenas em seu nome, ícone ou avaliações. Remova extensões que você não usa mais.

 

Se uma atualização solicitar permissões adicionais, não aceite simplesmente para restaurar a funcionalidade. Quando uma extensão adiciona permissões que acionam um aviso, o Chrome exige que os usuários aceitem as novas permissões antes de reativá-la. Trate esse prompt como uma oportunidade para reassessar a extensão, e não como uma confirmação rotineira.

 

Pergunte a si mesmo: por que uma ferramenta que anteriormente exibia apenas preços de mercado agora precisa acessar mais sites ou permissão para ler a área de transferência?

4.4 Mantenha as proteções ao nível da conta em vigor

Ative a autenticação de dois fatores da plataforma, a senha de negociação e quaisquer restrições de endereço de saque disponíveis. Antes de realizar um saque, verifique o endereço completo do destinatário, a rede e a quantia em uma fonte independente e confiável. Não considere duas exibições da mesma informação em uma única página da web como duas verificações independentes.

 

Se um endereço, botão ou processo de verificação parecer repentinamente incomum, pare o que estiver fazendo e verifique por meio dos canais oficiais em um dispositivo confiável. Não continue seguindo instruções em uma página suspeita para “corrigir sua conta”.

Se suspeitar que uma extensão seja maliciosa, pare de inserir senhas ou códigos de verificação nesse navegador. Siga os seguintes passos em ordem:

1. Interrompa atividades sensíveis e isole o ambiente suspeito. Não continue fazendo login, criando chaves API ou realizando saques. Registre o nome, a versão e a origem da extensão suspeita, depois desabilite ou remova-a. Feche todas as páginas de conta abertas e saia do navegador. Verifique também seu dispositivo quanto a outros softwares suspeitos.

2. Use outro dispositivo confiável para verificar sua conta e limitar perdas potenciais. Use o aplicativo oficial ou acesse diretamente o site oficial para revisar seus pedidos, histórico de saques e configurações de segurança. Se encontrar atividades não autorizadas, entre em contato imediatamente com o suporte oficial e utilize quaisquer recursos disponíveis de congelamento ou restrição da conta.

3. Endereço com credenciais e autorizações potencialmente comprometidas. Em um ambiente confiável, altere todas as senhas que possam ter sido expostas, revogue sessões de login suspeitas, exclua ou substitua chaves API potencialmente comprometidas e verifique a existência de endereços de saque desconhecidos ou alterações nas configurações de segurança. Limpar os cookies no seu próprio dispositivo não invalida uma sessão mantida por um atacante; a sessão também deve ser revogada no servidor.

4. Verifique também sua conta de e-mail vinculada. Revise os acessos recentes, métodos de recuperação, regras de encaminhamento e permissões de acesso a terceiros. Após garantir sua conta na exchange, não deixe sua conta de e-mail vinculada acessível a outras pessoas.

Se você inseriu uma frase semente ou chave privada de carteira em uma extensão suspeita, trate essas credenciais como comprometidas. Excluir a extensão ou alterar a senha de desbloqueio do aplicativo da carteira não invalidará uma frase semente ou chave privada exposta. Crie uma nova carteira com uma frase semente recém-gerada em um dispositivo confiável e, em seguida, transfira cuidadosamente os ativos relevantes para ela.

Uma extensão pode oferecer apenas tradução, alertas ou preenchimento automático, mas isso não significa que você precise conceder a ela acesso a todos os sites.

 

Antes de instalá-lo, pergunte quais acessos ele precisa. Durante o uso, limite os sites que ele pode acessar. Se algo parecer suspeito, saia primeiro do ambiente suspeito, depois trate a segurança da sua conta.

 

Lembre-se: 

A descrição da funcionalidade informa o que uma extensão pretende fazer. Suas permissões determinam o que ela tem permissão para fazer. Proteger sua conta de negociação começa por levar cada solicitação de permissão a sério.