در حالی که مفید هستند، افزونه‌های مرورگر می‌توانند نیاز به دسترسی زیادی به آنچه در مرورگر خود انجام می‌دهید داشته باشند. و اگر بدترین کابوس شما این باشد که یک ابزار شخص ثالث از مرور شما اسکرین‌شات بگیرد و آن را به یک شرکت شخص ثالث بفرستد، خبر بدی برای شما دارم.
در حالی که آنها مفید هستند، افزونه‌های مرورگر می‌توانند به دسترسی زیادی به کارهایی که در مرورگر خود انجام می‌دهید نیاز داشته باشند. و اگر بدترین کابوس شما این باشد که یک ابزار شخص ثالث اسکرین‌شات‌های مرور شما را بگیرد و به شرکت شخص ثالثی بفرستد، برای شما خبرهای بدی دارم.
یک افزونهٔ “Featured” کروم در حال جاسوسی از شما
Koi Security گزارشی منتشر کرده است که در آن توضیح می‌دهد افزونهٔ Chrome به نام FreeVPN.One چگونه از سیستم اجازه‌های افزونهٔ Chrome سوءاستفاده می‌کند تا اسکرین‌شات‌های مداوم از مرور شما بگیرد. و این افزونه‌ای تصادفی که هفتهٔ گذشته بارگذاری شده و کاربری ندارد نیست. صفحهٔ آن در Chrome Web Store بیش از ۱۰۰٬۰۰۰ نصب، نشان Featured و یک علامت چک دارد که تأیید می‌کند «ناشر رکورد خوبی داشته و تاریخچهٔ نقضی ندارد».
پس از نصب، این افزونه شروع به جمع‌آوری داده‌ها در پس‌زمینه می‌کند بدون اینکه شما از این کار آگاه باشید. هر بار که صفحه‌ای را بارگذاری می‌کنید، به‌صورت ساکت یک اسکرین‌شات می‌گیرد و همزمان اطلاعاتی دربارهٔ صفحه، مانند URL و هر شناسهٔ منحصر به‌فرد شما، ضبط می‌کند. سپس این اطلاعات را به سرور دیگری که توسعه‌دهندهٔ افزونه کنترل می‌کند، می‌فرستد.
در حالی که این افزونه در ابتدا صرفاً یک VPN بود، بعداً ویژگی «تشخیص تهدید هوش مصنوعی» را به سرویس خود افزود. این ویژگی صفحه‌ای فراهم می‌کند که می‌توانید هر URLای را در آن بچسبانید و هوش مصنوعی (به‌ظاهر) بررسی می‌کند آیا ایمن است یا خیر. سیاست حریم خصوصی این صفحه اشاره می‌کند که یک اسکرین‌شات بارگذاری می‌شود، اما از گرفتن مداوم اسکرین‌شات در پس‌زمینه خبر نمی‌دهد.
نظارت به مرور زمان افزایش یافت
گزارش Koi Security توضیح می‌دهد که این موضوع ناگهان رخ نداده است. افزونهٔ FreeVPN.One مدتی است که وجود دارد و نظرات آن به‌حداقل سال ۲۰۲۰ برمی‌گردد. با این حال، رفتار ردیابی تا آوریل ۲۰۲۵ شروع نشد. آن زمان افزونه به‌روز شد تا دسترسی به تمام URLهایی که بازدید می‌کنید را درخواست کند—مجوزی بسیار بزرگ‌تر از آنچه یک VPN به‌طور معمول نیاز دارد.
در ژوئن ۲۰۲۵، این افزونه به‌روزرسانی دیگری دریافت کرد تا ابزار «تشخیص تهدید هوش مصنوعی» مذکور را شامل شود، به‌همراه مجوز دیگری برای تزریق اسکریپت‌ها. به‌نظر می‌رسد این اسکنر به‌عنوان بهانه‌ای برای گرفتن و بارگذاری اسکرین‌شات اضافه شده باشد. سپس، در ۱۷ ژوئیه ۲۰۲۵، افزونه به‌روزرسانی دیگری دریافت کرد که قابلیت‌های جاسوسی کامل را فعال کرد. در ۲۵ ژوئیه، به‌روزرسانی دیگری افزوده شد که داده‌های صادراتی را رمزگذاری می‌کرد، به‌طوری که تشخیص رخدادها دشوارتر شد.
تیم Koi با توسعه‌دهنده تماس گرفت، اما ادعاهای او سازگار نبودند. او گفت که اسکرین‌شات‌ها باید فقط در سایت‌های مشکوک فعال شوند، اما تیم Koi اسکرین‌شات‌ها را در دامنه‌های شناخته‌شده‌ای مانند Google Photos مشاهده کرد.
او اظهار کرد که اسکرین‌شات‌ها ذخیره نمی‌شوند، اما هیچ راهی برای اثبات این وجود ندارد. و وقتی درخواست کردند مدرکی مبنی بر اینکه این موارد به یک شرکت معتبر مرتبط است، او پاسخ نداد. ایمیل تماس توسعه‌دهنده در صفحهٔ افزونهٔ Chrome به صفحهٔ عمومی Wix ارجاع می‌دهد.
از ابزارهای خطرناک که به شما جاسوسی می‌کنند اجتناب کنید
ما بارها دیده‌ایم که افزونه‌های Chrome می‌توانند تهدیدی شوند — حتی آن‌هایی که قبلاً قانونی بودند. و در حالی که عجیب به‌نظر می‌رسد این جاسوس‌افزار در حال حاضر «Featured» در فروشگاه Chrome است، درس‌هایی وجود دارد که می‌تواند به شما کمک کند در آینده از شرایط مشابه جلوگیری کنید.
اولاً، هنگام نصب افزونه‌های Chrome نسبت به مجوزها هوشیار باشید. وقتی روی Add to Chrome کلیک می‌کنید، پنجره‌ای ظاهر می‌شود که به شما می‌گوید چه مجوزهایی لازم دارد. دربارهٔ آن فکر کنید که این افزونه برای انجام وعدهٔ خود چه کاری باید انجام دهد. در این مورد، هیچ نیازی برای یک VPN ندارید تا افزونه‌های شما را مدیریت کند و داده‌ها را در تمام وب‌سایت‌ها تغییر دهد.
دوماً، همیشه عاقلانه است که یک بررسی سریع از مطالب مرتبط با برنامه‌ها یا افزونه‌هایی که قصد دانلود آنها را دارید انجام دهید. بخش «Overview» این افزونه حاوی نکات متعدد زبان نامناسب و دستور زبان ضعیف است، از جمله اینکه «chrome» و «ip» به حروف کوچک نوشته شده‌اند.
و عبارت «Free VPN بدون محدودیت و کاملاً رایگان برای هر کسی است» یک پرچم قرمز بزرگ است. در حالی که VPNهای رایگان معتبر قابل استفاده هستند، تمام VPNها به نحوی باید درآمد کسب کنند. هیچ ارائه‌دهندهٔ VPN نمی‌تواند خدمات خود را برای همیشه رایگان ارائه دهد. همانند پیشنهادهای «VPN برای عمر کل»، این نشان می‌دهد که یا ارائه‌دهندهٔ VPN تازه کار و نادان است، یا قصد مخرب دارد.
وب‌سایت این VPN نیز به‌طور شگفت‌انگیزی ساده است؛ انتظار می‌رود برای چیزی که سال‌هاست وجود دارد، طراحی حرفه‌ای‌تری داشته باشد. در حالی که توسعه‌دهندگان کوچک ممکن است سایت‌های جذابی که با شرکت‌های بزرگ رقابت کنند نداشته باشند، معمولاً حداقل یک صفحهٔ GitHub، صفحهٔ تماس یا چیزی که نشان دهد آنها در مخفی‌کاری کامل نیستند، دارند.
افزونه‌های مرورگری که استفاده می‌کنید را به‌دقت ارزیابی کنید و به VPNهای رایگان تصادفی که هیچ ارتباطی با شرکت‌های واقعی ندارند اعتماد نکنید. VPNهای شناخته‌شدهٔ کافی وجود دارند که نباید خود را با نصب یکی از این‌ها به خطر بیندازید.