U julu 2019. godine, istraživač Sam Jadali otkrio je nekoliko proširenja za Chrome i Firefox preglednike koji sakupljaju istoriju pregledavanja i prenose ga trećoj strani. Štaviše, on je pronašao platformu na kojoj se takvi podaci kupuju i prodaju.
Ovo možda neće pokrenuti nijedan alarm. Pa šta ako neko otkrije da je jedan od vaših zaposlenika posetio web stranicu izvođača ili se čak prijavio na korporativni račun na društvenoj mreži? Svi napadači dobijaju adresu. Ne mogu pristupiti bilo kojim drugim informacijama, pa koga briga? Pa, ta proširenja periodično propuštaju interne podatke o kompaniji, a evo i na koji način.

Veze koje otkrivaju sve o vama

Društvene mreže i službene web stranice vaših ugovornih partnera i partnera verovatno ne otkrivaju nikakve tajne podatke. Trebali biste više biti zabrinuti zbog “zatvorenih” stranica kojima su dostupne samo preko jedinstvenih veza koje se mogu koristiti za curenje informacija. U stvarnosti, jedino što štiti ove stranice je njihova tajnost: autsajderi ne znaju njihovu adresu. Evo nekoliko primera takvih stranica.

Online konferencije

Pretpostavimo da vaša kompanija široko koristi web konferencije na kojima zaposleni iz različitih odeljenja razgovaraju o trenutnim planovima, organizuju brainstorming sesije ili jednostavno primaju informacije od uprave. Postoje mnoge platforme za provođenje konferencija. Za neke vam je potreban ključ za sudelovanje, ali male kompanije često koriste besplatna ili jeftina rješenja za koja je potreban samo link koji sadrži jedinstveni identifikator sastanka koji organizator šalje svim zainteresiranim stranama. Ovo je sve što je potrebno da bi se učesnik mogao pridružiti nekom događaju.

Zamislite da jedan od zaposlenika koji je primio ovu vezu u svom pretraživaču instalira proširenje koje šifrira podatke strancima. Čim se pridruži konferenciji, ovaj beskrupulozni dodatak šalje svoj URL na tržište. Napadač koji pokušava prikupiti podatke o vašoj kompaniji ili samo traži priliku kupuje istoriju preglednika vašeg zaposlenog iz koje može videti da se trenutno održava jedan od pristupačnih sastanaka.

Ništa ne sprečava kupca ove veze da se pridruži sastanku. Naravno, ostali učesnici dobit će obaveštenje da se neko pridružio događaju. Ali ako nekoliko desetina ljudi pohađa i ne znaju se svi, onda jedva da će iko ispitivati ko je taj nepoznati učesnik. Kao rezultat, sve što se kaže tokom konferencije postat će poznato autsajderima.

Online fakture dobavljača

Možda će dobavljači vaše kompanije koristiti usluge naplate putem Interneta. Nekim se uslugama može pristupiti fakturama za plaćanje pomoću jedinstvene veze koja je ipak javno dostupna. Ako napadač ima pristup takvoj fakturi, može otkriti ime i adresu vaše kompanije i kompanije dobavljača, plaćeni iznos i druge informacije.

Tačno je da se u većini slučajeva neće dogoditi ništa loše ako takve informacije padnu u pogrešne ruke. Ali nekome ko koristi socijalni inženjering, te fakture sadrže vredne informacije.

Radna dokumentacija

Mnoge kompanije koriste internetske usluge kao što su Google Drive za potrebe saradnje. Teoretski vam omogućavaju da ograničite pristup datotekama kako biste sprečili da ih stranci ne otvaraju. Međutim, ne postavljaju sva ograničenja za zajedničke datoteke. Često svako ko ima vezu do datoteke može pregledati i čak urediti dokument.

A takav dokument može sadržavati bilo koju vrstu informacija , od citata do ličnih podataka zaposlenih.

Kako se zaštititi od velikih curenja podataka

Da biste umanjili rizik od takvog propuštanja, podsetite zaposlene da trebaju biti oprezni pre instaliranja bilo kojeg proširenja preglednika, a također i da ako internetski servis koji koriste to moraju ograničiti pristup dokumentu pre deljenja. Najbolja praksa za upravljanje bila bi odobriti listu proverenih proširenja preglednika i zabraniti bilo šta drugo što bi moglo biti opasno.

Pored toga, izvršite analizu internetskih usluga koje firma koristi i identificirajte one koji omogućuju pristup vezom bez potrebe za autentifikacijom. Ako neka usluga omogućuje pristup bilo kome s vezom, potražite sigurniju alternativu.

Konačno je neophodno instalirati pouzdano sigurnosno rješenje na svaki kompjuter kompanije kako bi se blokirao svaki pokušaj instaliranja zlonamernog nastavka, kao i ostalih cyberthreatures. 
Sergej Golubev