Przeglądarka internetowa jest wszechobecnym narzędziem, a co za tym idzie jednym z najbardziej popularnych wektorów ataków dla hakerów. Niestety, internauci zazwyczaj nie zdają sobie z tego sprawy.
W dynamicznie zmieniającym się krajobrazie pełnym innowacyjnych technologii, takich jak sztuczna inteligencja, przetwarzanie w środowisku chmurowym, automatyzacja, zapomina się o roli, jaką spełniają przeglądarki internetowe. Tymczasem to one prowadzą nas do wyszukiwarek, stron internetowych, sklepów online i mediów społecznościowych. Nie bez przyczyny często mówi się o nich jako oknie na świat. Niemniej specjaliści ds. cyberbezpieczeństwa patrzą na przeglądarki bardziej chłodnym okiem i ostrzegają, że każda sesja internetowa jest trochę jak stąpanie po polu minowym. Cyberprzestępcy nie próżnują i za pośrednictwem przeglądarek próbują osiągnąć swoje niecne cele.
– Przeglądarka internetowa przez lata była wykorzystywana do ataków wymierzonych w użytkowników indywidualnych. To się nie zmieniło, aczkolwiek od czasu pandemii i wzrostu popularności pracy hybrydowej, stała się dla hakerów również furtką do przedsiębiorstw. Dzieje się tak, ponieważ wielu pracowników korzysta z własnych komputerów, a także profili osobistych w przeglądarkach internetowych, które nie podlegają firmowej kontroli bezpieczeństwa – wyjaśnia Michał Łabęcki z G DATA Software.
Rozszerzenia niczym koń trojański
Użytkownicy przeglądarek chętnie korzystają z różnego rodzaju wtyczek i rozszerzeń, aby poprawić bezpieczeństwo, blokować reklamy, bądź po prostu zwiększyć komfort surfowania w sieci. Zasadniczy problem polega na tym, że dodatki najczęściej tworzą osoby niezależne od twórców przeglądarek. W związku z tym bardzo trudno jest się rozeznać, co jest bezpieczne, a co nie. Niestety, dodatki będące zagrożeniem dla bezpieczeństwa danych i naruszające prywatność użytkowników, pojawiają się permanentnie. Jak wynika z danych raportu „Browser Security Annual Report 2024” opracowanego przez Layer X, aż 33 procent wszystkich dodatków do przeglądarek zagraża bezpieczeństwu internauty, zaś 1 procent stanowią złośliwe rozszerzenia.
Najlepszą metodą, aby zapobiec pobieraniu niebezpiecznych dodatków, jest mieszanka kontroli technologicznej i społecznej. Z jednej strony należy ograniczyć do niezbędnego minimum instalowanie rozszerzeń, tym bardziej że ich wartość rzadko przekracza szkody wywołane przez ewentualny cyberatak, zaś z drugiej zastosować narzędzia służące do sprawdzania rozszerzenia lub wtyczek. Takie rozwiązania oferują między innymi programy antywirusowe, na przykład G DATA, które posiadają rozszerzenia ochrony dla przeglądarek internetowych Mozilla Firefox, Microsoft Edge i Google Chrome.
Groźne są nie tylko rozszerzenia
Cyberprzestępcy nie ograniczają swoich działań wyłącznie do dystrybucji złośliwych rozszerzeń, bądź poszukiwania w nich luk. Inną często zastawioną przez nich pułapką jest tak zwane „zatruwanie DNS”. Domain Name System (DNS) to usługa zapewniająca powiązanie domeny z adresem IP danego serwera. Internauta, aby uzyskać dostęp do danej strony internetowej, nie musi znać jej dokładnego adresu IP. Oszuści fałszują rekordy DNS, aby przekierować użytkownika z legalnej strony internetowej na fałszywą, która przechwytuje dane logowania, kradnie dane osobowe lub przesyła poprzez przeglądarkę złośliwy ładunek do urządzenia końcowego. Tego rodzaju ataki często kończą się sukcesem, bowiem witryny spreparowane przez napastników do złudzenia przypominają legalne serwisy.
– Ta pułapka jest niebezpieczna, aczkolwiek wpadają w nią zazwyczaj nieostrożni internauci. Można jej uniknąć, jeśli nie kilka się podejrzanych adresów URL, ani nie pobiera podejrzanych załączników. Warto też zwrócić uwagę czy na początku adresu znajduje się skrót HTTPS, a ostatnia litera „S” oznacza, że witryna jest zabezpieczona przez certyfikat SSL. – doradza Michał Łabęcki.
Bardzo podstępną metodą ataku na strony internetowe jest Cross-Site Scripting (XSS). Cyberprzestępca umieszcza na bezpiecznej witrynie złośliwy skrypt, często w postaci JavaScript, HTML lub Visual Basic Script. Na przykład zainfekowana strona internetowa może przesłać do przeglądarki skrypt wykradający dane użytkownika. Przeglądarka uruchamia złośliwy kod, ponieważ zakłada, iż pochodzi on z zaufanego źródła. Zapobieganie tego rodzaju atakom jest wyjątkowo trudne. Jedną z metod jest analiza kodu pobieranej strony w celu sprawdzenia, czy nie zawiera niepasującego skryptu. Jednak to zadanie, z którym poradzą sobie jedynie bardziej zaawansowani technologicznie internauci. Pewnego rodzaju pocieszeniem pozostaje fakt, iż najpopularniejsze przeglądarki posiadają wbudowane funkcje bezpieczeństwa wykrywające i blokujące niektóre rodzaje ataków XSS.
Co z tą prywatnością?
Jednym z największych zmartwień internautów jest utrata anonimowości w sieci. Konsumenci uskarżają się na marketerów, śledzących niemal ich każdy krok w Internecie, zaś dziennikarze, czy aktywiści narzekają na inwigilację ze strony organów rządowych. Tego typu przykłady można mnożyć. Nie bez przyczyny rośnie zainteresowanie tak zwanymi przeglądarkami zorientowanymi na prywatność. Eksperci zaliczają do tej grupy narzędzi zarówno powszechnie znaną Mozillę, jak i mniej popularne Brave, DuckDuckGo, Firefox, Ghostery, czy Tor. Wymienione przeglądarki nie udostępniają historii przeglądania stronom trzecim, takim jak na przykład reklamodawcy, i ograniczają do minimum zbieranie danych użytkownika. Są one przyjazne dla użytkowników, aczkolwiek zdarzają się sytuacje, że strony internetowe nie ładują się lub nie działają prawidłowo. Może to być spowodowane tym, że przeglądarka blokuje trackery i pliki cookie ze względu na ich zbyt dużą agresywność lub z powodu błędu programistycznego. Innym mankamentem wynikającym z używania tych narzędzi jest utrata personalizacji internetowej. W praktyce oznacza to, że reklamy wyświetlane użytkownikowi mogą być nieadekwatne do jego potrzeb i zainteresowania. Użytkownicy powinni mieć też świadomość, że nie wszystkie przeglądarki zapewniają ponadprzeciętną prywatność oferują ten sam poziom domyślnej ochrony i mogą zawierać luki w ich zabezpieczeniach.