Riepilogo

Il trasferimento di proprietà delle estensioni Chrome è una minaccia concreta perché consente a nuovi proprietari, potenzialmente malevoli, di sfruttare i permessi già concessi dagli utenti senza notifica. Attori avversi possono introdurre codice dannoso in modo graduale tramite C2, aggirando controlli iniziali e colpendo estensioni molto installate con permessi ampi. Per proteggersi: limitare l’accesso ai siti delle estensioni (al clic o su domini specifici), attivare la Protezione avanzata di Chrome e usare strumenti come “Under New Management” per ricevere avvisi su cambi del developer. La combinazione di controllo dei permessi, protezioni del browser e monitoraggio riduce sensibilmente il rischio.

---

Il trasferimento di proprietà delle estensioni Chrome è un rischio reale: come proteggerti

Sei attento quando scegli quali estensioni installare su Chrome? Ottimo. Ma cosa succede se, dopo l’installazione, quell’estensione viene venduta e finisce nelle mani sbagliate? I trasferimenti di proprietà sono comuni e, soprattutto, gli utenti non vengono avvisati. Vediamo perché rappresentano una minaccia concreta e come difendersi.

Perché il trasferimento di proprietà di un’estensione Chrome è pericoloso

Installare un’estensione non significa solo aggiungere del codice al browser: significa accordare fiducia a chi la sviluppa e concedere permessi per accedere ai tuoi dati. Il punto critico è che questa fiducia può essere “venduta”: per il proprietario è semplice cedere l’estensione a terzi, senza che gli utenti abbiano voce in capitolo.

• Tu concedi permessi sensibili a un developer di cui ti fidi.
• Quel developer può cedere l’estensione a qualcun altro mantenendo invariati i permessi che gli hai concesso.
• Se il nuovo proprietario ha intenzioni malevole, può raccogliere i tuoi dati e modificare il codice per attività dannose.

La compravendita di estensioni è pratica diffusa e la procedura è fin troppo semplice: si trovano regolarmente su marketplace come Flippa o Acquire.com e il passaggio di proprietà, lato Google, spesso si riduce alla compilazione di un modulo. Dopo il trasferimento, l’unico segnale è il cambio dei dati dello sviluppatore nella scheda dello Store. Nessuna notifica agli utenti.

Come un attore malevolo può “infettare” un’estensione legittima

Potresti chiederti: qual è la differenza tra un’estensione nata malevola e una che viene compromessa in un secondo momento? E il controllo di Google non dovrebbe intercettarle comunque? I malintenzionati giocano sul lungo periodo e adottano tattiche a più fasi per restare sotto traccia.

• Di solito non inseriscono subito codice dannoso. L’estensione diventa una “conchiglia” che si affida a un server di Command & Control (C2) per scaricare, in un secondo momento, le istruzioni malevole.
• Se usano content script o iframe, all’inizio li giustificano con funzionalità legittime. Solo più avanti, su specifici trigger, il server C2 invia i comandi reali: esfiltrare credenziali, iniettare link affiliati, o arruolare il browser in una botnet.
• Questo approccio aggira i controlli automatici iniziali. Con il tempo, tra segnalazioni manuali e analisi di sicurezza, l’estensione compromessa finisce scoperta. Ma spesso è troppo tardi.

Per massimizzare l’impatto, puntano su estensioni con molte installazioni e permessi ampi, come:

• Strumenti di automazione
• Estensioni per il download o la gestione di contenuti (spesso usate da designer e copywriter)

Quando l’abuso viene alla luce, migliaia o decine di migliaia di utenti possono essere già stati colpiti. Un caso recente è stato il takeover dell’estensione “Save Image as Type”, poi sfruttata per frodi su commissioni affiliate: un esempio di come un semplice cambio di proprietario possa sbloccare attacchi silenziosi.

Come proteggerti dopo un trasferimento di proprietà

Chrome non ti avvisa se un’estensione cambia proprietario e controllare periodicamente tutte le pagine dello Store è poco realistico. Tuttavia, puoi mettere in atto alcune misure preventive efficaci.

Limita l’accesso ai siti per le estensioni

Molte estensioni richiedono il permesso “Leggere e modificare tutti i dati sui siti web visitati” — esattamente il tipo di accesso che i criminali cercano di sfruttare. Puoi però restringerlo:

1. Clic destro sull’icona dell’estensione nella toolbar e seleziona “Gestisci estensione”.
2. Alla voce “Accesso ai siti”, imposta “Al clic” per attivarla solo quando la avvii manualmente, bloccando attività in background.
3. Se l’estensione deve funzionare in automatico, scegli “Su siti specifici” e inserisci solo i domini dove realmente ti serve.
4. Ripeti per tutte le estensioni che hanno accesso ai siti.

Questa semplice regolazione riduce drasticamente la superficie d’attacco.

Attiva la Protezione avanzata di Chrome

La modalità Protezione avanzata di Chrome offre difese aggiuntive contro molti stratagemmi usati dalle estensioni compromesse. Tra le varie funzioni, analizza in tempo reale le pagine e rileva comportamenti sospetti, avvisandoti quando qualcosa non torna. Dato che molte azioni malevole alterano la pagina o il modo in cui interagisci con essa, questa protezione può fare la differenza. Segui la guida ufficiale di Google per attivarla e conoscerne i benefici.

Ricevi avvisi quando cambia il proprietario di un’estensione

Chrome non ha un sistema integrato di notifiche per i cambi di proprietà, ma puoi colmare la lacuna con l’estensione “Under New Management”.

• Monitora automaticamente le pagine del Chrome Web Store delle estensioni installate.
• Ti avvisa se cambiano i dati dello sviluppatore (nome, email, sito).
• Controlla periodicamente e mostra un badge rosso sull’icona quando rileva modifiche.
• Cliccando sull’icona, vedi un log dettagliato dei cambiamenti.

Ricorda: non tutti i passaggi di proprietà sono sospetti. Spesso sono normali operazioni commerciali. Se ricevi un alert, verifica i nuovi dati del developer e valuta se continuare a fidarti. Per un ulteriore livello di sicurezza, puoi considerare anche altre estensioni orientate alla protezione su Chrome.

• Under New Management
  • Prezzo: gratuito
  • Download: disponibile nel Chrome Web Store

---

Prendere il controllo dei permessi, attivare le protezioni del browser e monitorare i cambi di proprietà riduce in modo significativo il rischio. La fiducia è preziosa: proteggila con qualche accorgimento in più.