Transcription
Cześć. Wyobraź sobie takiego junior dewelopera. Pracuje od pół roku w jakimś softwarehie, robi swoje, dowozi taski. W lutym tego roku zainstalował w przeglądarce wtyczkę o nazwie Clode Assistant, Code Helper. 4,5 gwiazdki w ocenach, ponad 50 000 pobrań. W opisie można przeczytać, że twój kod w każdej karcie pomaga pisać kod i podsumowywać dokumenty.
Nasz junior deweloper instaluje, klika dodaj rozszerzenie, przechodzi przez okienko z uprewnieniami szybko, bo przecież każda wtyczka tego wymaga. działa od razu, pisze za niego szybciej, podsumowyje dokumenty z PDF-ów, pomaga przy review kodu. Wszystko ładnie, pięknie, tylko tydzień później do działu sprzedaży dzwoni klient. Pyta, dlaczego fragmenty ich umowy ramowej, której podpisanie negocjowali z jego firmą od trzech miesięcy, krąży po jednym z forów dyskusyjnych. Deweloper wraca w głowie do ostatniego tygodnia. Otwierał ten dokument tylko raz. patrzył na niego w przeglądarce i przecież nikomu go nie wysyłał. Jak to się stało? Zapraszam.
To, co zainstalował ten deweloper, udawało Cloda, ale on wtedy jeszcze tego nie wiedział. dowiedział się dopiero w lutym 2026 wraz z opublikowaniem przez firmę Layer X raportu o wtyczkach do Chroma, które robiły dokładnie to samo. Okazało się, że był jednym z 260 000 ludzi z całego świata, którzy podobnie jak on zainstalowali fałszywych asystentów AI. To grono pełne deweloperów, marketerów, prawników czy ludzi, którzy pracują z dokumentami klientów.
Nim powiemy sobie szerzej o tym, jak działa kampania AI Frame, porozmawiajmy najpierw o tym czym właściwie jest rozszerzenie do przeglądarki, bo z punktu widzenia użytkownika to jest taki mały dodatek, który robi jakąś konkretną rzecz, tłumaczy stronę, sprawdza pisownię, blokuje reklamy czy pomaga zarządzać hasłami. Natomiast z punktu widzenia systemu Chrome to fragment kodu, który po zainstalowaniu może czytać i modyfikować wszystko, co dzieje się w twojej przeglądarce. Każdą stronę, którą otwierasz, każdy formularz, który wypełniasz, każde pole tekstowe, w które wpisujesz hasło albo komentarz.
Każda wtyczka prosi przy instalacji o jakieś uprawnienia. Niektóre potrzebują dostępu tylko do swojej własnej ikony i do jednej zakładki. Inne proszą o odczyt i zmianę wszystkich danych na wszystkich stronach. Ta druga grupa to wtyczki funkcjonalne i to jednocześnie dokładnie ta sama grupa co wtyczki, które dają sprawcy oszustwa klucz do całego twojego życia w przeglądarce. I tu jest pewien haczyk, bo wtyczki, które oferują przydatne funkcje, prawie zawsze potrzebują tak szerokich uprawnień. Tłumacz przecież musi przeczytać tekst na stronie, żeby go przetłumaczyć. Asystent AI nie pomoże ci napisać maila, jeśli nie zobaczy, co masz na ekranie. Menadżer haseł musi rozpoznawać formularze logowania, żeby coś do nich wpisać. To jest imzbędne, aby w ogóle działać. Ale to automatycznie oznacza jedno, musisz im zaufać. No nie ma innej możliwości.
W Chrome Webstore jest dzisiaj ponad 150 000 wtyczek. Każda twierdzi, że jest tą wartą zaufania. A jak jest naprawdę? Badacze wspomnianej firmy Layer X wypuścili raport pod tytułem AI Frame. W wielkim skrócie znaleźli aż 30 wtyczek w Chrome Webstore, które udawały popularnych asystentów AI. Cloda, chata GPT, Gemini, Grocka, generyczne AI dla Gmaila. Wszystkie te wtyczki łączyły dwie rzeczy. Po pierwsze dzieliły ten sam kod, te same uprawnienia, tę samą infrastrukturę. Pisał je jeden zespół. Po drugie, razem zebrały ponad 260 000 instalacji. Najpopularniejsza nazywała się po prostu AI Assistant i udawała Cloda. Ponad 50 000 pobrań, dobre oceny. Miesiącami wisiała w sklepie.
Jak działała? Wtyczka po instalacji pokazywała pełnoekranowy interfejs identyczny z prawdziwym clodem. Logo to samo, paleta kolorów ta sama, układ rozmowy ten sam. Tylko pod spodem nie było cloda, tylko ifframe wyświetlający stronę z adresu, który nawet brzmiał wiarygodnie. Na przykład clod.ttaic.pro. Ale są to strony, których nie znajdziesz w Googleu, bo nikt do nich nie linkuje. Działają tylko z poziomu zainstalowanej wtyczki.
Wtyczka oprócz tego, że pokazywała interfejs udający cloda, miała uprawnienia do czytania i zmiany wszystkich danych na każdej stronie. wykorzystywała open sourceową bibliotekę o nazwie Readability, tę samą, której Mozilla używa w trybie czytania w Firefoxie. I tutaj wtrącę. Readability robi jedną rzecz dobrze. Bierze stronę, wyciąga z niej tekst tak, żeby zostało tylko to, co jest treścią artykułu, dokumentu, maila, a wszystko inne odrzuca.
By zobrazować ci jak to działa w praktyce, wróćmy do naszego dewelopera. Wtyczka po cichu w tle na każdej stronie, którą odwiedzał odpalała readability, wyciągała z niej treść, pakowała w żądanie sieciowe i wysyłała na ten sam serwer, z którego pobierała interfejs Cloda. Deweloper tego nie widział, bo niby jak miał zobaczyć. Wtyczka nie robiła nic w sposób widoczny dla ludzkiego oka. po prostu przeglądała strony razem z nim i odsyłała to, co widział gdzie indziej.
Layer X nazwał tę technikę extension spraying. Działa to tak. Zamiast jednej wtyczki sprawca publikuje ich wiele, 20, 30. Każda pod inną nazwą, każda udaje inną markę. Gdy Google jedną z nich usuwa po skardze od jakichś użytkowników, pozostałe nadal działają. Gdy usuwa kilka, sprawca publikuje je ponownie pod nowymi nazwami z tych samych pakietów. To jak z Hydrą odcinasz jedną głowę, a na jej miejsce zaraz wyrastają trzy kolejne.
Nasz deweloper miał na komputerze jeszcze jedną wtyczkę, której nie miał powodu o nic podejrzewać. Quick lens. Znasz ją? To taka mała użyteczna rzecz. Pozwala szybko sprawdzić obraz przez Google Lens jednym kliknięciem prawego przycisku. Korzystał z niej od dwóch lat. działała dobrze. Twórca jej nie aktualizował często. No ale po co miała aktualizować, skoro nic się nie psuło?
To co się wydarzyło z Quicklands jest osobnym rozdziałem historii o ekonomii wtyczek, bo wtyczki to dziś produkty z własną dodaną wartością, własną bazą użytkowników, własnym kapitałem zaufania i można je normalnie sprzedawać. Istnieją platformy takie jak Extension Hub, na których to się dzieje legalnie i otwarcie. Wystawiasz swoją wtyczkę, wpisujesz ilu użytkowników masz, ilu aktywnych, jakie uprawnienia, czy są jakieś aktualne problemy i kupcy się zgłaszają. Bywa, że są to firmy reklamowe, które chcą dotrzeć do twojej bazy. Bywa, że to konkurencja, a bywa, że to ktoś, komu nie powinieneś tej wtyczki sprzedać.
Twórca Quicklands zrobił tak w październiku zeszłego roku. 1 lutego 2026 roku właściciel zmienił się na konto z dziwnym adresem w domenie doodlebugle.top. Już samo to powinno być sygnałem ostrzegawczym, ale platforma nie weryfikuje takich rzeczy. To po prostu jakiś zarejestrowany właściciel. 16 dni później, 17 lutego, w sklepie pojawiła się aktualizacja wersja 5.8. Dla użytkowników to było niewidoczne, bo Chrome aktualizuje wtyczki automatycznie w tle, nie pytając cię o nic. Deweloper, jeżeli w ogóle to zauważył, to tylko jako powiadomienie wtyczka Quicklands została zaktualizowana.
I w tej wspomnianej aktualizacji 5.8 nowy właściciel dodał dwie rzeczy. Pierwsza to klasyczny info steeler, czyli kod, który czytał cookies sesji. Dane z formularzy, hasła z menagżerów haseł, jeżeli te są mniej szczelne. Druga to coś nowszego, co Microsoft we własnym raporcie z zeszłego roku zaczął nazywać Clickfix. Co to takiego? Clickfix wygląda tak. Wchodzisz na stronę, którą ktoś podstawił. Często to nie jest wcale żadna sztucznie wygenerowana podróbka, tylko prawdziwa legalna strona, na której sprawca uruchomił JavaScripta. W twojej przeglądarce wyskakuje to, co wygląda jak normalne capcha. Bardzo często w stylu Cloudfera z tym samym niebieskim kółkiem do kliknięcia, z tym samym tekstem Verify your human. Klikasz, pojawia się instrukcja. Żeby zakończyć weryfikację, wciśnij Windows + R, potem Ctrol + V, potem Enter.
Teraz o co tutaj chodzi? Trona, na której jesteś w momencie pokazania Kapcha już skopiowała do twojego schowka długie polecenie PowerShella. Ty wciskasz Windows + R, otwiera się okno uruchom. Wciskasz ctrol+ V, w okno wkleja się polecenia. Wciskasz enter, polecenie się wykonuje. Chrome nigdy nic nie pobierał, więc nie ma żadnego ostrzeżenia, nie ma żadnego okienka uruchomić ten plik. To ty, dosłownie ty własnymi palcami wgrałeś sobie malware do systemu. Microsoft we wspomnianym raporcie potwierdził, że Clickfix jest dziś trudny do obrony, bo cały łańcuch ataku składa się z normalnych działań użytkownika i nadużycia zaufanych narzędzi systemowych. Klasyczne antywirusy nie widzą tu nic złego, bo Powershell jest narzędziem Windowsa. Antywirus go zna i mu ufa. Po wykonaniu polecenia w systemie ląduje jeden z trzech czy tam czterech popularnych payloadów. Luma Steeler, Net Support, Steel Sea. Wszystkie kradną dane logowania i ciasteczka. Wszystkie wysyłają je dalej do sprzedawców na forach.
Wróćmy jednak na chwilę do liczb, bo ważne jest to, że nie są to pojedyncze incydenty. Sama kampania AI Frame to 260 000 ofiar w jednej tylko grupie wtyczek. Quicklands to 7000. W kwietniu tego roku The Hacker News opisał osobną falę. 108 złośliwych rozszerzeń, które kradły dane skąd Google i Telegrama. 20 000 zainfekowanych użytkowników. To są setki kampanii, miliony ofiar. Na forach handlowych pojawiło się około miliarda 800 milionów zestawów loginów wykradzionych infosteerami. To jest osiem razy więcej niż rok wcześniej i dużą część tego dostarczają właśnie wtyczki przeglądarkowe.
I cały ten model biznesowy działa nie dlatego, że Google nie sprawdza wtyczek. Właśnie, że sprawdza. Wtyczki przechodzą review. Tylko, że review patrzy na kod w momencie publikacji. To, co kod pobierze z internetu trzy tygodnie później jest poza zasięgiem tego review. AI Frame wczytuje swój prawdziwy interfejs z zewnętrznego serwera, a Quicklands został zaktualizowany przez nowego właściciela. W obu przypadkach Chrome WebStore nie miał szans na to, by wyłapać to w pierwszej iteracji. Zauważył dopiero, gdy ofiary zaczęły zgłaszać nieprawidłowość.
co robić i jak żyć, bo właśnie o to tu chodzi. To nie jest tak, że to są ataki na ludzi nieuważnych, klikających jakieś przypadkowe ikonki i mi się to na pewno nie przytrafi, bo tego nie robię. Sprawcy żerują na naszym zaufaniu do tego, co znamy i czego używamy bez zastanowienia automatycznie, bo ufamy, że Chrome Webstore sprawdza autorów wtyczek, więc my już tego nie robimy. No bo po co? Widzimy, że coś ma dużo ocen i pobrań, no więc instalujemy bez mrugnięcia okiem.
Co możemy zrobić, by w takiej sytuacji zminimalizować szansę stania się ofiarą tego procederu? Otwierasz Chromea, w pasku adresu wpisujesz Chrome dwukropek dwa ukośniki Extensions. Naciskasz enter, wyświetla się lista wszystkich rozszerzeń, które masz dziś zainstalowane. Większość ludzi widzi tam po raz pierwszy ile ich jest. Przy każdej zadaj sobie trzy pytania. Czy faktycznie jej używam, czy wiem kto ją napisał, czy uprawnienia, których wymaga, mają sens dla tego co naprawdę robi. Jeżeli nie pamiętasz kiedy ostatnio z niej skorzystałeś, idzie do kosza. Jeżeli autor nic ci nie mówi i wtyczka jest mało popularna, też do kosza. A jeżeli prosi o odczyt i zmianę wszystkich danych na wszystkich stronach tylko po to, by zmienić kolor zakładek, to oczywiście również do kosza.
Druga część dotyczy konkretnie wtyczek AI. Jeżeli chcesz Cloda, Chota GPT czy Gemini w przeglądarce, idź na stronę producenta, Antropic, Open AI czy Google. Każda z tych firm ma dziś natywną integrację, którą wpisujesz w adresie albo dodajesz przez ich własny przycisk. Wtyczek AI z Chrome Web Store nie instaluj, a wszystko co znalazłeś przez wyszukiwarkę w sklepie traktuj domyślnie jak podróbkę.
Po trzecie, ważne jest też, abyś wyrobił w sobie odruch, żeby się zatrzymać. Jeśli kiedykolwiek na jakiejkolwiek stronie ktokolwiek prosi cię, żebyś wcisnął Windows R, a potem coś wkleił, to zatrzymaj się natychmiast. To nigdy, ale to nigdy nie jest normalna kapcza. Żadna prawdziwa weryfikacja Cloudfa, Googlea, twojego banku, ani administracji państwowej, ani w sumie jakakolwiek inna, nie wymaga od ciebie naciskania klawiszy systemowych. W takiej sytuacji po prostu zamknij kartę i nic nie wpisuj.
I ostatnie, jeżeli pracujesz z czymś, co ma znaczenie zawodowe, dokumentami klientów, bankowością firmową czy kodem produkcyjnym, używaj na to osobnej przeglądarki bez żadnych wtyczek. poza tymi, których naprawdę potrzebujesz. Druga przeglądarka z całym zooo rozszerzeń niech służy do codziennego internetu, do YouTubea, do zakupów, do mediów społecznościowych, bo przeglądarka jest dziś najczęstszym wektorem ataku na firmę. Nasz deweloper miał Cloda i quickigensa w tej samej przeglądarce, w której otwierał umowę klienta. Wystarczyło, że jedno z tych rozszerzeń okazało się fałszywe, żeby pociągnęło za sobą wszystko, co miał w tle.
Jeżeli chcesz dowiedzieć się więcej, jak AI dziś wchodzi w cyberbezpieczeństwo jako narzędzie obrońców i jednocześnie broń atakujących, zerknij na ebooka Jak zacząć hakować nauczmnie.pl. Link znajdziesz w opisie pod filmem. A jeżeli uważasz, że ten materiał może być wartościowy dla kogoś z twoich znajomych i warto wypchnąć go na szersze wody, zostaw komentarz albo prześlij go dalej. Zaobserwuj też mój kanał, żeby nie przegapić kolejnych materiałów. I to już wszystko na dziś. Tymczasem dziękuję za waszą uwagę i do zobaczenia.