El sitio de información sobre tráfico web Nacho Analitycs recibe información recopilada por extensiones del navegador.
¿Escuchaste hablar de DataSpii ? En pocas palabaras, es la recopilación de tus hábitos de navegación, contraseñas y otros datos sensibles que hacen algunas extensiones de tu navegador Esa información termina, en muchos casos, en manos de empresas que comercializan los datos.
Lo peor de todo es que esta forma de violación de la privacidad es fruto de la desidia de los desarrolladores de navegadores y diseñadores de sitios web. Son los que permiten que quienes están detrás de las extensiones saquen unos euros extras vendiendo nuestra información.
¿Escuchaste hablar de DataSpii? Por qué deberíamos haberlo hecho
DataSpii es un verdadero agujero en la privacidad de los usuarios que se encuentra ampliamente comprobado. Sin embargo, no se han tomado las medidas suficientes como para proteger a los usuarios.
La mayoría de nosotros utilizamos el navegador web para tareas que requieren confidencialidad; realizar citas médicas, hacer operaciones en una entidad bancaria, interactuar con equpos de trabajo en proyectos delicados y, por qué no reconocerlo, ver películas que nuestra madre no aprobaría. Lo que al menos cuatro millones de usuarios de ciertas extensiones de Chrome y Firefox no sabían, es que algunas extensiones de su navegador recopilaban las URL, los títulos de las páginas web y, en algunos casos, los hipervínculos incrustados de todas las páginas que el usuario del navegador visitaba. Esa información era compartida con un sitio llamado Nacho Analytic, una empresa que brinda información sobre tráfico en Internet a cambio de un pago.
Entre la información recopilada se encontraban enlaces que en lugar de conducir a sitios protegidos por contraseñas usaban tokens (grupos de caracteres aleatorios y difíciles de predecir). Al conocer el enlace se puede acceder al sitio sin problemas.
Estos son algunos ejemplos de la información a la que se pudo acceder:
- Videos de vigilancia de hogares y empresas alojados en la nube de empresas de seguridad.
- Declaraciones de impuestos, datos de facturación, documentos comerciales y diapositivas de presentación alojadas en Microsoft OneDrive, Intuit.com y otros servicios en línea.
- Números de identificación de automóviles comprados recientemente, junto con los nombres y direcciones de los compradores.
- Los nombres de los pacientes y datos sobre los médicos que visitaron en plataformas de turnos online.
- Itinerarios de viaje alojados en Priceline, Booking.com y sitios web de aerolíneas .
- Archivos adjuntos de Facebook Messenger y fotos de Facebook, incluso cuando las fotos estaban configuradas para ser privadas.
Aún en aquellos casos en que los enlaces no permitieran acceso sin contraseña, se encontraban muchos que incluían información sensible.
Asi se descubrió el problema
La persona en dar la alarma sobre lo que estaba pasando fue Sam Jadali, creador de un servicio de hosting. Jadali descubrió que Nacho Analitics, una empresa que brinda información sobre tráfico web, incluía en sus informes enlaces de uno de los clientes de su empresa de hosting. Esos enlaces llevaban a conversaciones privadas en foros. Esas conversaciones solo deberían ser accesibles solo para el remitente y el destinatario. Después de revisar más de 200 extensiones encontró varias que subían el hsitorial de navegación a servidores externos.
El término DataSpii surje de juntar las palabras data (datos) Spy (espía) personal, identificable e information.
Para determinar cuales eran las extensiones culpables de enviar los datos de sus clientes a Nacho Analitics, Jadali hizo las siguientes pruebas:
- Configuró una nueva instalación de Windows y Chrome, y luego utilizó la herramienta de seguridad Burp Suite y la extensión FoxyProxy Chrome para observar cómo se comportaban las extensiones sospechosas.
- En esa instalación también probó extensiones de navegador para Firefox e instaló máquinas virtuales que ejecutan macOS y Ubuntu.
De las pruebas que hizo surgió la lista de sospechosos:
- Fairshare Unlock: una extensión de Chrome y Firefox para acceder a contenido premium de ese sitio en forma gratuita.
- SpeakIt!: una extensión para Chrome que lee textos.
- Hover Zoom: una extensión de Chrome para permitir ampliar imágenes.
- PanelMeasurement: Una extensión de Chrome para encontrar estudios de mercado.
- Super Zoom: Otra extensión para ampliar imágenes, disponible en este caso para Chrome o Firefox.
- SaveFrom.net Helper: Extensión para Firefox que facilita la descarga de contenidos.
- Branded Surveys: Esta extensión ofrece la posibilidad de recibir dinero en efectivo y otros premios a cambio de completar encuestas en línea.
- Panel Community Surveys: Otra aplicación que ofrece recompensas por responder encuestas en línea.
¿Notaste el patrón? Muchas de estas extensiones o permiten el acceso gratuito a servicios de pago o prometen ganar dinero fácilmente.
Aunque tanto Firefox como Chrome eliminan las extensiones denunciadas, éstas pueden descargarse muchas veces desde el sitio web de los desarrolladores.Por otra parte, no se deshabilitan las extensiones ya instaladas.
Lo aconsejable es tener dos navegadores instalados. Uno para la información sensible, en lo posible sin extensiones, y otro con las extensiones que quieras y que jamás debes usar para transmitir y recibir información sensible