Làm thế nào các tiện ích mở rộng trình duyệt có thể xem tài khoản giao dịch của bạn? Các quyền bạn cấp có thể vượt xa những gì bạn nghĩ

Bạn đã cài đặt tiện ích mở rộng dịch để đọc tài liệu dự án và thêm công cụ cảnh báo giá để theo dõi thị trường. Trong quá trình cài đặt, trình duyệt yêu cầu quyền “Đọc và thay đổi tất cả dữ liệu của bạn trên tất cả các trang web,” và bạn đã chấp nhận mà không suy nghĩ nhiều.

 

Nhưng quyền hạn đó có thể vượt xa việc dịch bài viết hoặc hiển thị giá. Nếu quyền truy cập của tiện ích bao gồm trang web của sàn giao dịch, nó cũng có thể đọc các trang tài khoản mà bạn mở sau khi đăng nhập—và thậm chí sửa đổi nội dung của chúng. Nó không nhất thiết cần mật khẩu tài khoản hoặc khóa API của bạn để thực hiện điều đó.

 

Bảo vệ tài khoản giao dịch của bạn nghĩa là đi xa hơn câu hỏi “Ai biết mật khẩu của tôi?”. Nó cũng có nghĩa là đặt ra một câu hỏi thường bị bỏ qua: Ai được phép đọc và chỉnh sửa trang web trước mặt tôi?

Một tiện ích mở rộng trình duyệt không chỉ đơn thuần là một biểu tượng trên thanh công cụ. Với các quyền phù hợp, nó có thể chạy mã trên các trang web trong phạm vi được ủy quyền, đọc nội dung trang, điều chỉnh bố cục trang và truyền thông tin đã đọc đến các thành phần khác của tiện ích mở rộng. Các tính năng như dịch thuật và điền tự động dựa vào những khả năng này.

 

Vấn đề là các quyền truy cập trang web xác định nơi phần mở rộng có thể hoạt động, chứ không phải liệu mỗi hành động có phù hợp với mục đích bạn mong muốn hay không. “Giúp tôi dịch bản tổng quan dự án này” không có nghĩa tự động là “Chỉ đọc bản tổng quan dự án này.” Nếu bạn cho phép phần mở rộng truy cập tất cả các trang web, quyền truy cập đó cũng có thể bao gồm sàn giao dịch và email web của bạn.

 

Lấy Chrome làm ví dụ, các quyền và khả năng sau cần được chú ý đặc biệt. Các khả năng này phụ thuộc vào các quyền cụ thể được cấp: quyền truy cập vào tất cả các trang web không tự động cấp quyền truy cập vào clipboard hoặc truy cập thông qua API Cookies.

 

Quyền hoặc Khả năng	Những gì phần mở rộng có thể truy cập	Các rủi ro tài khoản tiềm ẩn
Đọc và thay đổi các trang web mà nó có quyền truy cập	Nội dung, biểu mẫu, nút và thông tin đã được tải trên các trang tài khoản	Một tiện ích mở rộng độc hại có thể đọc số dư, vị thế hoặc chi tiết lệnh, hoặc thay đổi nội dung hiển thị trên trang và nội dung của các trường nhập liệu.
Đọc hoặc ghi vào bảng tạm	Đã sao chép văn bản, chẳng hạn như địa chỉ người nhận; các tính năng chính xác phụ thuộc vào việc tiện ích mở rộng có quyền đọc, quyền ghi, hay cả hai	Với quyền truy cập vào bảng tạm, một tiện ích mở rộng độc hại có thể đọc thông tin nhạy cảm bạn đã sao chép. Với quyền ghi vào bảng tạm, nó có thể thay thế địa chỉ rút tiền đã sao chép trước khi bạn dán.
Truy cập cookie trang web thông qua API Cookie	Cookie cho các trang web được ủy quyền, có thể bao gồm thông tin duy trì trạng thái đăng nhập của bạn	Nếu cookie bị đánh cắp chứa thông tin xác thực phiên hợp lệ, kẻ tấn công có thể cố gắng chiếm quyền kiểm soát phiên của bạn. Trong Chrome, việc truy cập thông qua API này yêu cầu cả quyền cookies và các quyền trang web tương ứng.

Đây là một kịch bản giả định minh họa rủi ro, không phải báo cáo về một sự cố cụ thể đã được tiết lộ.

 

Để đọc các bài viết bằng tiếng Anh, Lin cài đặt phần mở rộng dịch thuật và cho phép nó truy cập vào tất cả các trang web. Vài ngày sau, anh ấy mở sàn giao dịch từ dấu trang, đăng nhập như bình thường và chuẩn bị xem xét tài sản và thực hiện rút tiền.

 

Giả sử phần mở rộng chứa mã độc và đã được cấp quyền truy cập vào trang web của sàn giao dịch. Rủi ro có thể diễn ra như sau:

 

Đầu tiên, nó đọc trang và tìm kiếm cơ hội. Khi Lin mở các trang tài sản và lệnh, phần mở rộng sẽ đọc thông tin đã được hiển thị hoặc tải sẵn ở đó. Nó có thể xem được nội dung này mà không cần yêu cầu truy cập riêng vào API của sàn giao dịch hoặc yêu cầu Lin nhập lại mật khẩu.

 

Tiếp theo, nó thay đổi những gì anh ấy nhìn thấy hoặc sắp gửi. Ví dụ: nó có thể thay đổi địa chỉ người nhận được hiển thị trên trang, chỉnh sửa biểu mẫu rút tiền, hoặc chèn cửa sổ “xác minh bảo mật” dường như đến từ nền tảng. Đây là những cách có thể lạm dụng quyền truy cập đọc-viết trang web. Việc tiện ích mở rộng có thể tiếp tục thực hiện các hành động nhạy cảm hay không vẫn phụ thuộc vào các quy trình xác minh và kiểm soát rủi ro của nền tảng.

 

Phần gây hiểu lầm nhất là: tên miền trong thanh địa chỉ có thể vẫn chính xác.

 

HTTPS bảo vệ dữ liệu đang được truyền giữa trình duyệt của bạn và trang web. Nó không tự động ngăn một tiện ích mở rộng được ủy quyền đọc hoặc sửa đổi trang web tại địa phương. Do đó, việc kiểm tra tên miền chính thức vẫn là cần thiết, nhưng nó không thể thay thế việc xem xét các tiện ích mở rộng trên trình duyệt của bạn.

 

Trang web bạn truy cập có thể hợp lệ, nhưng trang bạn nhìn thấy vẫn có thể đã bị một tiện ích mở rộng trình duyệt độc hại can thiệp.

Sau khi bạn đăng nhập, các trang web thường sử dụng thông tin xác thực phiên để nhận diện các yêu cầu tiếp theo. Nếu một kẻ tấn công có được thông tin xác thực phiên hợp lệ, chúng có thể cố gắng sử dụng phiên đã xác thực hiện tại của bạn thay vì bắt đầu lại từ đầu với mật khẩu và mã xác minh. Việc chúng có thành công hay không cũng phụ thuộc vào thời gian hết hạn của phiên, kiểm tra thiết bị và các biện pháp bảo mật khác.

 

Ngay cả khi không đánh cắp thông tin phiên đăng nhập, một tiện ích mở rộng độc hại vẫn có thể đọc các trang tài khoản của bạn sau khi bạn đăng nhập bình thường. Việc kích hoạt xác thực hai yếu tố không tự động ẩn số dư, lệnh hoặc biểu mẫu rút tiền của bạn khỏi các tiện ích mở rộng có quyền truy cập vào trang web. Xác thực đăng nhập và quyền truy cập trang web phục vụ các mục đích khác nhau.

4.1 Giới hạn quyền truy cập "Tất cả các trang web" vào những gì thực sự cần thiết

Trong Chrome, đi đến Tiện ích mở rộng → Quản lý tiện ích mở rộng → Chi tiết để xem quyền truy cập trang web của tiện ích mở rộng. Đối với các công cụ không cần truy cập liên tục vào các trang web, hãy chọn tùy chọn cho phép truy cập chỉ khi bạn nhấp vào tiện ích mở rộng, nếu có sẵn. Đối với các công cụ chỉ phục vụ một vài trang web, hãy giới hạn quyền truy cập vào những trang web cụ thể đó. Tên các tùy chọn chính xác có thể khác nhau tùy theo phiên bản và ngôn ngữ.

 

Một công cụ để đọc bài viết không nên có quyền truy cập liên tục vào sàn giao dịch và email của bạn chỉ vì sự tiện lợi. Hãy cấp quyền khi cần thiết thay vì để nó luôn được kích hoạt vĩnh viễn trên tất cả các trang web.

4.2 Giữ môi trường sạch sẽ để giao dịch và email

Giữ các hoạt động giao dịch riêng biệt với việc thử các tiện ích mở rộng mới, tải xuống các công cụ không quen thuộc và các hoạt động tương tự. Cân nhắc sử dụng trình duyệt riêng không có các tiện ích mở rộng không cần thiết. Đối với các giao dịch có giá trị cao, hãy cân nhắc sử dụng thiết bị chuyên dụng.

 

Đừng chỉ bảo vệ các trang sàn giao dịch của bạn trong khi cho phép nhiều tiện ích mở rộng truy cập vào tài khoản email liên kết của bạn. Hộp thư đến của bạn có thể nhận các liên kết đặt lại mật khẩu, cảnh báo bảo mật và tin nhắn xác minh, làm cho nó trở thành một phần của quy trình khôi phục tài khoản.

 

Chế độ ẩn danh không đảm bảo rằng các tiện ích mở rộng bị vô hiệu hóa. Chrome cho phép từng tiện ích mở rộng chạy trong chế độ ẩn danh nếu bạn cho phép rõ ràng, vì vậy hãy kiểm tra cả các cài đặt đó.

4.3 Đánh giá lại độ tin cậy khi cài đặt hoặc cập nhật

Trước khi cài đặt tiện ích, hãy kiểm tra danh tính nhà phát triển, xác minh rằng bạn đang tải nó từ nguồn chính thức và xem xét mô tả tính năng. Đừng đưa ra quyết định dựa solely vào tên, biểu tượng hoặc đánh giá của nó. Gỡ bỏ các tiện ích mà bạn không còn sử dụng.

 

Nếu một bản cập nhật yêu cầu thêm quyền, đừng chỉ đơn giản chấp nhận chúng để khôi phục chức năng. Khi một tiện ích mở rộng thêm các quyền gây ra cảnh báo, Chrome yêu cầu người dùng chấp nhận các quyền mới trước khi kích hoạt lại nó. Hãy coi lời nhắc đó là cơ hội để đánh giá lại tiện ích mở rộng, chứ không phải là một xác nhận thông thường.

 

Hãy tự hỏi mình: Tại sao một công cụ trước đây chỉ hiển thị giá thị trường giờ lại cần truy cập vào nhiều trang web hơn hoặc được cấp quyền đọc bảng sao chép?

4.4 Giữ nguyên các biện pháp bảo vệ ở cấp tài khoản

Kích hoạt xác thực hai yếu tố của nền tảng, mật khẩu giao dịch và mọi hạn chế địa chỉ rút tiền có sẵn. Trước khi thực hiện rút tiền, xác minh đầy đủ địa chỉ người nhận, mạng lưới và số tiền với một nguồn độc lập và đáng tin cậy. Đừng coi hai lần hiển thị cùng một thông tin trên một trang web là hai lần kiểm tra độc lập.

 

Nếu một địa chỉ, nút bấm hoặc quy trình xác minh đột nhiên trông khác thường, hãy dừng ngay những gì bạn đang làm và xác minh thông qua các kênh chính thức trên thiết bị đáng tin cậy. Đừng tiếp tục làm theo hướng dẫn trên trang nghi ngờ để “khắc phục tài khoản” của bạn.

Nếu bạn nghi ngờ một tiện ích mở rộng là độc hại, hãy ngừng nhập mật khẩu hoặc mã xác minh trong trình duyệt đó. Thực hiện các bước sau theo thứ tự:

1. Dừng các hoạt động nhạy cảm và cô lập môi trường nghi ngờ. Không tiếp tục đăng nhập, tạo khóa API hoặc thực hiện rút tiền. Ghi lại tên, phiên bản và nguồn của tiện ích mở rộng nghi ngờ, sau đó vô hiệu hóa hoặc gỡ bỏ nó. Đóng mọi trang tài khoản đang mở và thoát trình duyệt. Đồng thời kiểm tra thiết bị của bạn để tìm phần mềm nghi ngờ khác.

2. Sử dụng một thiết bị đáng tin cậy khác để kiểm tra tài khoản của bạn và hạn chế tổn thất tiềm ẩn. Sử dụng ứng dụng chính thức hoặc truy cập trực tiếp vào trang web chính thức để xem lại các lệnh của bạn, lịch sử rút tiền và cài đặt bảo mật. Nếu phát hiện hoạt động không được ủy quyền, hãy liên hệ ngay với hỗ trợ khách hàng chính thức và sử dụng bất kỳ tính năng đóng băng hoặc hạn chế tài khoản nào có sẵn.

3. Địa chỉ có thể đã bị xâm phạm thông tin xác thực và quyền truy cập. Trong môi trường đáng tin cậy, thay đổi bất kỳ mật khẩu nào có thể đã bị lộ, hủy các phiên đăng nhập khả nghi, xóa hoặc thay thế các khóa API có thể đã bị xâm phạm, và kiểm tra các địa chỉ rút tiền hoặc thay đổi cài đặt bảo mật không quen thuộc. Xóa cookie trên thiết bị của bạn không vô hiệu hóa phiên đang được kẻ tấn công duy trì; phiên đó cũng phải được hủy trên máy chủ.

4. Kiểm tra cả tài khoản email đã liên kết của bạn. Xem lại các lần đăng nhập gần đây, các phương pháp khôi phục, các quy tắc chuyển tiếp và quyền truy cập của bên thứ ba. Sau khi bảo mật tài khoản sàn giao dịch của bạn, đừng để tài khoản email liên kết của bạn vẫn có thể bị người khác truy cập.

Nếu bạn đã nhập cụm từ hạt giống hoặc khóa riêng tư của ví vào một tiện ích mở rộng đáng ngờ, hãy coi những thông tin đăng nhập đó đã bị xâm phạm. Việc xóa tiện ích mở rộng hoặc thay đổi mật khẩu mở khóa ứng dụng ví sẽ không vô hiệu hóa cụm từ hạt giống hoặc khóa riêng tư đã bị lộ. Tạo một ví mới với cụm từ hạt giống được tạo mới trên thiết bị đáng tin cậy, sau đó chuyển cẩn thận các tài sản liên quan sang ví đó.

Một tiện ích mở rộng có thể chỉ cung cấp chức năng dịch thuật, cảnh báo hoặc điền tự động, nhưng điều đó không có nghĩa là bạn cần cấp quyền truy cập vào mọi trang web.

 

Trước khi cài đặt, hãy hỏi xem nó cần quyền truy cập gì. Trong khi sử dụng, hãy giới hạn các trang web mà nó có thể truy cập. Nếu có điều gì đó trông có vẻ bất thường, hãy rời khỏi môi trường đáng nghi trước, sau đó xử lý vấn đề bảo mật tài khoản của bạn.

 

Hãy nhớ: 

Mô tả tính năng cho bạn biết một tiện ích mở rộng định thực hiện điều gì. Các quyền của nó xác định những gì nó được phép làm. Bảo vệ tài khoản giao dịch của bạn bắt đầu bằng việc coi trọng mọi yêu cầu quyền.