A extensão que instalou há dois anos não é a que está a correr hoje

As extensões do navegador atualizam-se sozinhas, em silêncio, sem perguntar nada. Esse facto isolado é toda a história.

Os investigadores da Socket publicaram a 28 de agosto as suas conclusões sobre 19 extras, 18 para Chrome e um para Edge, reunidos numa campanha a que chamam "Superior" e cujo rasto chega a fevereiro de 2024. Catorze foram criados pelo próprio atacante. Os outros cinco foram comprados a quem os tinha escrito, e é aí que vale a pena parar: alguém faz uma ferramenta pequena e útil, cansa-se de a manter, vende-a, e o comprador publica uma atualização que faz uma coisa completamente diferente. O mais espalhado era o "Enable Right Click and Copy", com cerca de 70.000 utilizadores no Chrome e outros 10.000 no Edge.

As versões atualizadas não escondiam as suas ambições. Esvaziavam carteiras de criptomoedas em várias cadeias, mostravam páginas falsas de recuperação da Ledger e da Trezor para capturar as frases de recuperação, roubavam sessões abertas em plataformas como Coinbase, Binance e Kraken, captavam tudo o que fosse escrito num campo de palavra-passe ou de email em qualquer site, extraíam o histórico de navegação e as fichas de sessão do Facebook e do LinkedIn, e mostravam falsos avisos de atualização do navegador que lhe pedem para colar você mesmo um comando no Windows. A Google retirou a ficha do Chrome. Quando a Socket publicou, a versão para Edge continuava disponível.

Quase toda a gente carrega extensões que deixou de usar há anos e em que já não pensa. É aí que está a exposição, e limpar demora dois minutos: abra a página de extensões do navegador e retire tudo o que não consiga explicar numa frase. A verificação de segurança do Tendvane mostra as extensões do navegador ao lado dos programas de arranque, e costuma ser o momento em que as pessoas descobrem o que andava à boleia.