你可能認為瀏覽器擴充功能都是為了幫助你，終端用戶。你錯了。
雖然某些擴充功能如書籤工具、廣告攔截器和翻譯插件無疑為用戶提供了許多好處，但許多看似無辜的擴充功能有更黑暗的一面 — 最近圍繞 Hola VPN 的醜聞就是一例。
無論這些是利用其他應用程式和網站漏洞的擴充功能，還是單純向想成為駭客的人提供信息流，毫無疑問，你需要對添加到瀏覽器的內容保持越來越警惕。
問題有多普遍？
去年底的研究分析了 Chrome 商店中超過 48,000 個擴充功能。他們的結果確定超過 4,700 個「可疑」，130 個「惡意」。雖然未具名，但研究人員聲稱其中一個擁有超過 550 萬用戶。
當時，安全研究員、Tripwire 漏洞與暴露研究團隊成員 Tyler Reguly 說，"Google Chrome 外掛程式在許多方面類似於 Android 應用程式。它們要求過度權限，卻不給最終用戶任何真正理解它們在做什麼的機會。在這兩種情況下，Google Chrome 和 Android，問題在於 Google"。
這裡只是幫助駭客鎖定受害者的瀏覽器擴充功能的一小部分樣本：
Marauders Map
Marauders Map [sic] 屬於上述兩類中的前者，它利用合法的 Facebook Messenger 應用程式在一張地圖上繪製你朋友的位置。
當然，我們早就知道 Facebook 與朋友分享我們的位置，但你可能不知道數據有多準確，或者提取和使用有多容易。該擴充功能由美國一名學生開發，所以我們談論的不是高度複雜的代碼和演算法 — 這是任何具有良好編碼能力、好奇心和大量空閒時間的人都可能偶然發現的東西。
報告表明數據可以追溯到 2013 年，儘管它只適用於在 Facebook 訊息上啟用位置共享的朋友（該選項在 Android 和 iOS 上預設啟用）。
如果你是那種嚴格管理 Facebook 好友列表的人，這可能不是什麼大問題，但如果你習慣接受邀請並擁有成千上萬個朋友，其中一些你幾乎不認識，那麼你應該仔細考慮你的下一步。
使用這個應用程式，駭客完全有可能知道（或根據過去行為推斷）你什麼時候不在家、你常去哪些商店、以及你和誰花最多時間。這顯然是你為了自身安全應盡可能保持私密的信息。
Hover Zoom
Hover Zoom 屬於開頭提到的第二類。它直接監控你的線上行為。
該擴充功能背後的原理既簡單又吸引人 — 它讓你通過將滑鼠懸停在圖片上，而不點擊縮圖，就能瀏覽幾個熱門網站（如 Reddit、Amazon、Pinterest、eBay、Facebook 等）上的圖片庫。
自推出以來，它已累積超過 110 萬用戶。
許多用戶可能不知道的是，該擴充功能正在積極監控絕大多數用戶的線上習慣。
但這是怎麼發生的？他們怎麼被允許逃脫？
Hover Zoom 最初是一個誠實獨立的擴充功能，完全按照其說明運作，不多不少。然而，隨著其知名度增加，對廣告軟體和惡意軟體公司的吸引力也增加了。
它被其中一家公司收購，從那時起就有很長一段「壞行為」歷史 — 開發者被抓到收集線上表單數據並出售你的按鍵記錄。
他們之所以能逃脫，是因為他們在說明頁面上揭露了這一點。上面寫著，"Hover Zoom 要求擴充功能用戶授予 Hover Zoom 收集瀏覽活動的權限，供內部使用並與第三方共享，所有用於匿名和聚合基礎上的研究目的"。實際上這意味著他們追蹤你訪問的每一個網頁並為該數據獲利，同時在你最常訪問的網站上到處放置廣告。
總結來說，超過一百萬人僅被這個擴充功能監視。
BBC News Reader 和 Autocopy
擴充功能被出售並變成追蹤器的問題不僅限於 Google Chrome。
Firefox 上的（非官方）BBC News Reader 也被發現是有罪一方，連同 Autocopy — 一個自動將選取文字複製到剪貼簿的工具。
這給用戶關於第三方擴充功能、應用程式和網站的重要教訓。雖然某些服務的官方應用程式常因隱私和安全方法受到（通常合理的）批評，但現實是它們受制於用戶群 — 足夠大的抗議聲會迫使它們解決擔憂並修改政策。第三方應用程式和擴充功能通常不受此類消費者壓力約束 — 他們可以繼續追蹤你並出售你的數據，往往你甚至沒有意識到。
自担风险使用。
Hola Unblocker
沒有 Hola 的惡意擴充功能列表是不完整的。研究人員將其描述為"執行目標網絡攻擊的理想平台"，曾經備受喜愛的免費 VPN 服務現在位於「應避免的擴充功能」列表頂端。
擁有全球 4600 萬用戶，它舒適地佔據 Chrome 商店中最大的惡意擴充功能寶座。
問題在一位論壇擁有者指稱 Hola 用戶不知情地為僵屍網絡提供動力，對其網站進行多次攻擊後曝光。開發者隨後承認，免費版擴充功能用戶的頻寬被出售以支付運營成本。
實際上，這意味著每個用戶成為網絡的端點，每個端點都可能被駭客和攻擊者利用。
Hola 創始人為公司辯護稱是創新者，說 "我們創新很快，但看來 Steve Jobs 是對的。我們犯了一些錯，現在我們要快速修復它們" — 但這對受害用戶幾乎不算安慰。
如何知道你的擴充功能是否惡意？
確定擴充功能是否惡意的最有效方法是使用 Shield For Chrome [No Longer Available]，諷刺的是，這本身也是另一個擴充功能！
安裝後，它會自動掃描瀏覽器中的所有擴充功能，並告訴你它們中是否有在其黑名單上。然後你可以刪除任何違規者。
它還有一些額外的實用功能；例如，它會顯示每個擴充功能目前擁有的權限，監控未來的安裝和網站行為以檢測任何惡意活動，很快它將擁有在擴充功能所有權變更或擴充功能開始表現異常時通知你的能力。
你也可以看看 Extension Defender [No Longer Available]。它做類似 Shield For Chrome 的工作，但根據用戶評論，似乎標記的誤報較少。
你被坑了嗎？
你被惡意擴充功能燒過嗎？你是什麼類型的瀏覽器用戶 — 擁有數百個很少使用的擴充功能，還是保持機器精簡？
也許你知道我們錯過的惡意擴充功能？
無論你的情況如何，我們都想聽聽你的聲音。在下面的評論中讓我們知道你的想法、反饋和意見。
