بدأت كأداة غير ضارة للبحث عن كوبونات الخصم أو تحويل ملفات PDF. ثم تم بيعها، وتحديثها بصمت، وتحولت بهدوء إلى أداة لجمع البيانات — دون أن تطلب إذنك مرة أخرى.
عندما تقوم بتثبيت إضافة للمتصفح، فإنك تتخذ قرار ثقة واحداً في لحظة زمنية معينة. ما لا يضعه أي شخص في الحسبان تقريباً هو أن الإضافة التي وافقت عليها لا تظل مجمدة عند تلك اللحظة، بل تستمر في التحديث بصمت في الخلفية، غالباً لسنوات، وتعمل كل عملية تحديث تحت منح الإذن الذي قدمته مرة واحدة ولم تراجعه أبداً.
📋 جدول المحتويات
هذه الفجوة بين الموافقة لمرة واحدة وقطعة برمجية تتطور إلى ما لا نهاية داخل متصفحك — مع وصول إلى كل صفحة تزورها — هي واحدة من أكثر أسطح الهجوم استهانةً في الحوسبة اليومية.
1. ثغرة الأذونات التي لا يتحدث عنها أحد
تقوم منصات الإضافات عموماً بإعادة مطالبة المستخدمين بالموافقة فقط عند إضافة إذن جديد لم يكن ممنوحاً من قبل. إذا كانت الإضافة تمتلك بالفعل وصولاً واسعاً — على سبيل المثال، إذن لقراءة وتعديل البيانات في كل موقع تزوره — فيمكن للمطور إعادة كتابة منطق الإضافة بالكامل تقريباً دون إطلاق مطالبة إذن واحدة جديدة. يتغير الكود بالكامل، بينما شاشة الأذونات التي رأيتها عند التثبيت لا تتغير أبداً.
هذا الأمر مهم لأن جزءاً كبيراً من نشاط الإضافات الضارة لا يبدأ كنشاط ضار. بل يبدأ كأداة مفيدة بشكل مشروع — أداة لقطات شاشة، مجمع كوبونات، منتقي ألوان، محول PDF إلى Word — تم بناؤها بواسطة مطور مستقل يفقد الاهتمام في النهاية، أو ينفد تمويله، أو يتم التواصل معه مباشرة من قبل وسيط بيانات أو شبكة إعلانية ترغب في شراء الإضافة فقط لقاعدة مستخدميها المثبتين.
2. ثلاث طرق تتحول بها إضافة جيدة إلى ضارة
💰 البيع الصامت لوسيط بيانات
يبيع المطور الأصلي الإضافة وقاعدة مستخدميها. يقوم المشتري بدفع تحديث يضيف كود تتبع أو جمع بيانات، غالباً ما يتم إخفاؤه داخل تحديثات إصدار تبدو روتينية.
📦 اختراق خط أنابيب التحديث
يحصل المهاجم على وصول إلى اعتمادات النشر الخاصة بالمطور ويدفع تحديثاً ضاراً مباشرة، دون علم المطور الأصلي أو موافقته.
🎯 توسع النطاق التدريجي
يقوم مطور يعاني مادياً بتحقيق الدخل ببطء — أولاً بالإعلانات، ثم بجمع بيانات التصفح، ثم بتتبع أكثر توغلاً — كل خطوة صغيرة بما يكفي بحيث نادراً ما يقوم المستخدمون بإلغاء التثبيت استجابةً لأي تغيير واحد.
3. قراءة الأذونات بعين باحث أمني
أسماء الأذونات المعروضة عند التثبيت تقنية وسهلة التجاوز، لكن كل واحد منها يترجم إلى شيء ملموس يمكن للإضافة القيام به فعلياً. فهم بعض أهم هذه الأذونات سيغير كيفية تقييمك لكل تثبيت مستقبلي.
| الإذن المعروض | ما يسمح به فعلياً |
|---|---|
| قراءة وتغيير كل بياناتك على المواقع التي تزورها | وصول كامل إلى محتوى الصفحة، بما في ذلك أي شيء يتم كتابته في النماذج — كلمات المرور، الرسائل، أرقام البطاقات — قبل أن تصبح عملية التشفير ذات صلة حتى. |
| قراءة سجل التصفح الخاص بك | قائمة كاملة بكل موقع تمت زيارته، والتي يمكن تجميعها في ملف تعريف مفصل للسلوك والاهتمامات. |
| إدارة تنزيلاتك | القدرة على رؤية أو تعديل أو اعتراض الملفات التي يتم تنزيلها، بما في ذلك المستندات وبرامج التثبيت. |
| الوصول إلى الحافظة (Clipboard) | القدرة على قراءة أي شيء يتم نسخه إلى الحافظة، بما في ذلك كلمات المرور أو رموز المصادقة الثنائية المنسوخة من تطبيق المصادقة. |
| التواصل مع المواقع المتعاونة | يسمح للإضافة بتبادل البيانات مع خوادم خارجية محددة، وغالباً ما يُستخدم لمكونات التتبع أو تسريب البيانات في الإضافات المخترقة. |
لا تعتبر أي من هذه الأذونات ضارة بطبيعتها في حد ذاتها — فإضافة مدير كلمات مرور شرعية تحتاج إلى قراءة وتعديل بيانات الصفحة لملء الاعتمادات تلقائياً. التمييز المهم هو ما إذا كان نطاق الإذن المطلوب يتناسب مع ما تتطلبه الوظيفة المعلنة للإضافة فعلياً.
4. ما الذي تجمعه الإضافة الضارة فعلياً
عند اختراق إضافة أو إعادة توظيفها لجمع البيانات، تقع البيانات الأكثر قيمة والأكثر استهدافاً ضمن فئات ثابتة، لأن هذه هي البيانات التي لها قيمة إعادة بيع أو استغلال مباشرة:
- بيانات النماذج التي يتم إدخالها في صفحات البنوك والتسوق وتسجيل الدخول قبل الإرسال، وغالباً ما يتم التقاطها بغض النظر عما إذا كان الاتصال مشفراً أم لا.
- سجل التصفح الكامل المرتبط بالطوابع الزمنية، ويُستخدم لبناء ملفات تعريف إعلانية أو سلوكية تُباع لوسطاء البيانات.
- ملفات تعريف ارتباط الجلسة (Session cookies) ورموز المصادقة، والتي يمكن أن تتيح الوصول إلى الحساب دون الحاجة إلى كلمة مرور على الإطلاق.
- استعلامات البحث والنصوص الموجودة في الصفحة، ويتم إعادة توظيفها أحياناً لحقن روابط تابعة أو إعادة توجيه نتائج البحث نحو محتوى مدعوم.
- لقطات شاشة أو محتوى صفحة من نطاقات مستهدفة محددة، مثل مزودي البريد الإلكتروني أو الشبكات الداخلية للشركات.
5. لماذا لا تكتشف متاجر التطبيقات هذا الأمر؟
تقوم أسواق الإضافات بإجراء مراجعات آلية وأحياناً يدوية قبل نشر الإضافة أو تحديثها، لكن نموذج المراجعة هذا لديه نقطة ضعف هيكلية: فهو يقيم الكود في المقام الأول كما هو موجود وقت التقديم. يمكن بناء الإضافات للتحقق من شروط معينة قبل تنشيط سلوك غير مرغوب فيه — على سبيل المثال، إطلاق عملية جمع البيانات فقط بعد تأخير، أو فقط على نطاقات لا تُستخدم عادةً للاختبار — خصيصاً لتقليل احتمالية اكتشاف المراجعة الآلية للسلوك خلال نافذة المراجعة نفسها.
بالإضافة إلى ذلك، غالباً ما تخضع تحديثات الإضافات المنشورة مسبقاً لتدقيق أخف من التقديم الأولي، خاصةً بالنسبة لزيادات الإصدارات الطفيفة، وهو بالضبط الآلية التي يعتمد عليها توسع النطاق غير المرغوب فيه والتحديثات الضارة بعد الاستحواذ.
6. تدقيق عملي للإضافات يمكنك القيام به اليوم
الحل هنا ليس تجنب الإضافات تماماً — فالعديد منها مفيد وآمن حقاً — بل التعامل مع قائمة الإضافات المثبتة لديك كما تعامل قائمة الأشخاص الذين لديهم مفاتيح لمنزلك: تستحق المراجعة دورياً، وليست شيئاً تضعه مرة وتنساه.
- افتح صفحة إدارة الإضافات في متصفحك واقرأ القائمة الكاملة فعلياً — يتفاجأ معظم الناس بعدد الإضافات التي نسوا أنهم قاموا بتثبيتها.
- بالنسبة لكل إضافة، اسأل نفسك عما إذا كنت لا تزال تستخدمها بنشاط. إذا لم يكن الأمر كذلك، قم بإزالتها — فالإضافة غير المثبتة لديها سطح هجوم يساوي صفراً.
- تحقق من الأذونات التي تمتلكها كل إضافة حالياً، وليس فقط ما تتذكر الموافقة عليه في الأصل، حيث يمكن أن تتوسع الأذونات مع تحديثات الميزات المشروعة أيضاً.
- فضل الإضافات التي تنص بوضوح على غرض ضيق ومحدد بدلاً من الأدوات "الشاملة" التي تطلب وصولاً واسعاً لتبرير مجموعة ميزات واسعة.
- تحقق من سجل نشر المطور — التغيير المفاجئ في اسم المطور أو الفجوة الكبيرة التي تليها تحديثات مستأنفة بعد سنوات من الخمول هي إشارات تستحق نظرة فاحصة قبل الوثوق بالتحديث التالي.
- لأي شيء يتعامل مع بيانات حساسة — مديرو كلمات المرور، الأدوات المتعلقة بالبنوك — فضل الإضافات من مطورين يتمتعون بسمعة موثوقة ومستمرة على البدائل الأقل شهرة ذات الوظائف المشابهة.
- قم بتعطيل الإضافات التي لا تحتاجها حالياً بدلاً من تركها نشطة إلى أجل غير مسمى؛ تسمح معظم المتصفحات بتبديل هذا دون إلغاء تثبيت كامل.
الخلاصة
تحتل إضافات المتصفح موقعاً متميزاً بشكل فريد: فهي تعمل مع جلسات تسجيل دخولك، وترى مدخلاتك المكتوبة، وغالباً ما تجلس بهدوء لسنوات دون لفت الانتباه. هذا المزيج — وصول عالٍ، تدقيق مستمر منخفض — هو بالضبط ما يجعل إضافة كانت جديرة بالثقة سابقاً وسيلة فعالة لجمع البيانات بمجرد تغير الملكية أو الحوافز أو النوايا خلف الكواليس.
الخبر السار هو أن الحل لا يتطلب أي مهارة تقنية خاصة، بل مجرد عادة: المراجعة الدورية لما هو مثبت فعلياً، والتساؤل عما إذا كانت أذونات كل إضافة لا تزال تطابق غرضها المعلن، وإزالة أي شيء لم تعد تستخدمه بنشاط. الإضافة نفسها لم تكن أبداً هي الخطر الحقيقي. الخطر هو إضافة تُركت دون فحص لسنوات، تراكم بهدوء ثقة لم تكن تستعيدها أبداً.
استكشف المزيد من الأبحاث الأمنية
تعمق أكثر في كشوفات الثغرات (CVE)، وأبحاث الضعف، وأدلة التوعية الأمنية من خليل شريتح.