زنگ خطر برای امنیت سازمان ها : افزونه های مرورگر به داده های حساس سازمانی دسترسی دارند!

گزارش جدیدی نشان می دهد که اکثریت قریب به اتفاق افزونه های مرورگر مورد استفاده کارمندان در محیط های سازمانی، قادر به دسترسی به داده های حساس مانند رمزهای عبور، کوکی ها و محتوای صفحات وب هستند. این گزارش که توسط LayerX منتشر شده، بر اساس ترکیبی از آمار عمومی و داده های استفاده واقعی در شرکت ها تهیه شده و نشان می دهد که بیش از نیمی از این افزونه ها توسط ناشران ناشناس منتشر شده و بسیاری از آن ها برای مدت طولانی به روزرسانی نشده اند. این یافته ها، افزونه های مرورگر را به عنوان یک سطح تهدید جدی و غالباً نادیده گرفته شده برای امنیت سایبری مدرن معرفی می کند.

هشدار جدی LayerX: اکثر افزونه های مرورگر به داده های حساس سازمانی دسترسی دارند!

به گزارش زوم تک از هکر نیوز، همه می دانند که افزونه های مرورگر، از غلط یاب های املایی گرفته تا ابزارهای هوش مصنوعی مولد (GenAI)، تقریباً در گردش کار روزانه هر کاربری تعبیه شده اند. اما چیزی که اکثر متخصصان فناوری اطلاعات و امنیت از آن بی خبرند، این است که مجوزهای بیش از حد افزونه های مرورگر، ریسک فزاینده ای برای سازمان ها محسوب می شوند.

گزارش امنیت افزونه های مرورگر سازمانی 2025

شرکت LayerX امروز انتشار گزارش امنیت افزونه های مرورگر سازمانی 2025 را اعلام کرد. این گزارش، اولین و تنها گزارشی است که آمار مارکت پلیس عمومی افزونه ها را با داده های تله متری استفاده واقعی در سازمان ها ادغام می کند. با انجام این کار، این گزارش یکی از دست کم گرفته شده ترین سطوح تهدید در امنیت سایبری مدرن، یعنی افزونه های مرورگر، را روشن می سازد.

این گزارش یافته های متعددی را آشکار می کند که برای مدیران فناوری اطلاعات و امنیت، به ویژه هنگام برنامه ریزی برای نیمه دوم سال 2025، جالب توجه خواهد بود. این یافته ها شامل اطلاعات و تحلیل هایی در مورد تعداد افزونه هایی با مجوزهای پرخطر، انواع مجوزهای اعطا شده، میزان قابل اعتماد بودن توسعه دهندگان افزونه ها و موارد دیگر است. در ادامه، آمار کلیدی این گزارش را بررسی می کنیم.

نکات برجسته گزارش امنیت افزونه های مرورگر سازمانی 2025

1. فراگیری افزونه ها در محیط های سازمانی: 99 درصد، یعنی تقریباً همه کارمندان، افزونه های مرورگر را نصب کرده اند. 52 درصد بیش از 10 افزونه نصب شده دارند.

   تحلیل امنیتی: تقریباً همه کارمندان در معرض خطر افزونه های مرورگر قرار دارند.

2. اکثر افزونه ها می توانند به داده های حیاتی دسترسی پیدا کنند: 53 درصد از افزونه های کاربران سازمانی می توانند به داده های حساس مانند کوکی ها، رمزهای عبور، محتویات صفحات وب، اطلاعات مرور و موارد دیگر دسترسی داشته باشند.

   تحلیل امنیتی: یک نفوذ در سطح کارمند می تواند کل سازمان را به خطر بیندازد.

3. چه کسی این افزونه ها را منتشر می کند؟ هیچ کس نمی داند!: بیش از نیمی (54 درصد) از ناشران افزونه ها ناشناخته هستند و فقط از طریق جیمیل شناسایی می شوند. 79 درصد از ناشران فقط یک افزونه منتشر کرده اند.

   تحلیل امنیتی: ردیابی اعتبار افزونه ها، اگر با منابع IT اصلاً ممکن باشد، دشوار است.

4. افزونه های GenAI تهدیدی فزاینده هستند: بیش از 20 درصد کاربران حداقل یک افزونه GenAI دارند و 58 درصد از این افزونه ها دارای دامنه های مجوز پرخطر هستند.

   تحلیل امنیتی: سازمان ها باید سیاست های روشنی برای استفاده از افزونه های GenAI و اشتراک گذاری داده ها تعریف کنند.

5. نگرانی از افزونه های مرورگر نگهداری نشده و ناشناخته: 51 درصد افزونه ها بیش از یک سال است که به روزرسانی نشده اند و 26 درصد از افزونه های سازمانی به صورت Sideload (نصب از منابع غیررسمی) نصب شده اند که حتی بررسی های اولیه فروشگاه را نیز دور می زنند.

   تحلیل امنیتی: افزونه ها حتی اگر عمداً مخرب نباشند، می توانند آسیب پذیر باشند.

پنج توصیه کلیدی برای تیم های امنیتی و IT

این گزارش نه تنها داده ها را ارائه می دهد، بلکه راهنمایی های عملی برای تیم های امنیتی و IT نیز فراهم می کند و نحوه مقابله با تهدید افزونه های مرورگر را توصیه می کند. در اینجا توصیه های LayerX به سازمان ها آمده است:

1. ممیزی تمام افزونه ها: داشتن تصویری کامل از افزونه ها، اساس درک سطح تهدید است. بنابراین، اولین قدم برای ایمن سازی در برابر افزونه های مخرب مرورگر، ممیزی تمام افزونه های مورد استفاده توسط کارمندان است.
2. دسته بندی افزونه ها: انواع خاصی از افزونه ها وجود دارند که آن ها را برای حمله جذاب می کند. این می تواند به دلیل پایگاه کاربری گسترده آن ها (مانند افزونه های GenAI) یا به دلیل مجوزهای اعطا شده به چنین افزونه هایی باشد. دسته بندی افزونه ها می تواند به ارزیابی وضعیت امنیتی افزونه های مرورگر کمک کند.
3. شمارش مجوزهای افزونه ها: مرحله بعدی، فهرست کردن اطلاعاتی است که افزونه ها می توانند به آن دسترسی داشته باشند. این به ترسیم بیشتر سطح حمله و پیکربندی سیاست ها در مراحل بعدی کمک می کند.
4. ارزیابی ریسک افزونه ها: اکنون زمان مدیریت ریسک است. این به معنای ارزیابی ریسک برای هر افزونه بر اساس مجوزهای آن ها و اطلاعاتی است که می توانند به آن دسترسی داشته باشند. علاوه بر این، یک ارزیابی ریسک جامع شامل پارامترهای خارجی مانند شهرت، محبوبیت، ناشر و روش نصب است. این پارامترها باید با هم ترکیب شده و به یک امتیاز ریسک واحد تبدیل شوند.
5. اعمال سیاست های اجرایی تطبیقی و مبتنی بر ریسک: در نهایت، سازمان ها می توانند از تحلیل خود برای اعمال سیاست های اجرایی تطبیقی و مبتنی بر ریسک، متناسب با کاربردها، نیازها و پروفایل ریسک خود استفاده کنند.

نتیجه گیری: افزونه ها به عنوان یک بردار حمله نادیده گرفته شده

افزونه های مرورگر فقط یک ابزار بهره وری نیستند، بلکه یک بردار حمله هستند که اکثر سازمان ها از وجود آن بی خبرند. گزارش 2025 LayerX یافته های جامع و تحلیل های مبتنی بر داده را برای کمک به مدیران ارشد امنیت اطلاعات (CISO) و تیم های امنیتی ارائه می دهد تا این ریسک را مهار کرده و محیط های مرورگر قابل دفاعی ایجاد کنند.