Estensioni Chrome ed Edge malevole: il rischio reale

Un nuovo gruppo di estensioni per Chrome ed Edge è stato individuato con capacità di furto credenziali, raccolta di dati sensibili e drenaggio di wallet crypto. Il punto che interessa davvero le aziende non è solo la presenza di 19 estensioni compromesse, ma il metodo: componenti apparentemente legittimi vengono pubblicati o acquistati, accumulano installazioni e solo dopo ricevono un aggiornamento malevolo.

Per una PMI questo significa una cosa semplice: anche strumenti apparentemente innocui del browser, usati magari per produttività, marketing o analisi, possono trasformarsi in un canale di compromissione silenzioso. E poiché gli aggiornamenti delle estensioni avvengono spesso in automatico, il rischio può materializzarsi senza alcun clic sospetto da parte dell’utente.

Cosa è successo

Il 28 agosto 2026 The Hacker News ha riportato una ricerca di Socket che identifica 19 estensioni malevole: 18 pubblicate sul Chrome Web Store e una su Microsoft Edge. Secondo il ricercatore Karlo Zanki, queste estensioni condividono codice, infrastruttura e tecniche operative riconducibili a una stessa campagna, tracciata con il nome “Superior”.

L’elemento più importante è temporale: gli indicatori raccolti suggeriscono che l’attività possa essere in corso almeno da febbraio 2024. Non si tratta quindi di un episodio isolato, ma di una campagna lunga, paziente e ben organizzata.

Le estensioni individuate rientrano in categorie molto comuni: strumenti per copiare contenuti, OCR, funzioni collegate a Google Lens, utility SEO, monitoraggio traffico web, strumenti per annunci social e vari tool in ambito criptovalute. È proprio questa normalità apparente a rendere il caso rilevante: molti utenti installano estensioni che promettono piccole comodità operative senza considerarle parte del perimetro di sicurezza aziendale.

Tra i nomi citati nella ricerca compare anche “Enable Right Click Copy Smart Unlock + OCR”, indicata come l’estensione con il potenziale impatto più ampio, con una base complessiva di 80.000 installazioni tra Chrome ed Edge.

Perché queste estensioni sono così pericolose

Il problema non è solo che rubano dati. Il problema è che si presentano come estensioni funzionanti, spesso utili davvero, e nel frattempo mantengono un canale aperto verso server controllati dagli attaccanti.

Secondo quanto riportato, queste estensioni possono:

• inviare dati utente a server remoti;
• ricevere istruzioni dai criminali;
• eseguire codice arbitrario nel browser;
• sottrarre credenziali, cronologia e dati immessi nei moduli;
• colpire account social e professionali come Facebook e LinkedIn;
• intercettare wallet e account legati a exchange o servizi crypto.

Dal punto di vista aziendale, il vero salto di rischio è la capacità di trasformare il browser in una piattaforma d’attacco. Se un’estensione può ricevere comandi dall’esterno e iniettare codice, non stiamo più parlando di un semplice add-on fastidioso: stiamo parlando di un punto d’ingresso attivo dentro la postazione di lavoro.

Il metodo usato dagli attaccanti

La tecnica descritta da Socket è particolarmente insidiosa perché sfrutta la fiducia accumulata nel tempo. Gli attaccanti operano in due modi:

• acquistano estensioni legittime già esistenti;
• pubblicano versioni inizialmente pulite, senza funzionalità malevole.

Quando l’estensione inizia a ottenere download, recensioni e una reputazione apparentemente credibile, arriva l’aggiornamento compromesso. Nella campagna analizzata, 14 estensioni sarebbero state create direttamente dagli attaccanti, mentre 5 sarebbero state acquistate dai precedenti proprietari.

Questo modello aggira una delle difese psicologiche più comuni nelle aziende: “l’estensione è nello store ufficiale, quindi è sicura”. Non è necessariamente così. La presenza nello store riduce alcuni rischi, ma non elimina il problema degli aggiornamenti successivi o dei passaggi di proprietà.

Inoltre, Chrome aggiorna normalmente le estensioni in automatico. Se un’estensione cambia comportamento dopo settimane o mesi, l’utente spesso non se ne accorge.

Cosa possono fare in pratica sui PC aziendali

Le analisi riportate mostrano che il framework malevolo supporta una connessione persistente verso un server di comando e controllo tramite WebSocket. Questo consente agli attaccanti di cambiare istruzioni in tempo reale e persino di ruotare l’infrastruttura di comando per distribuire le vittime su server diversi, riducendo il rischio di rilevamento.

Un altro aspetto grave è la possibilità di rimuovere o aggirare le Content Security Policy delle pagine visitate e di iniettare moduli JavaScript su siti specifici. Socket ha identificato 16 moduli, tra cui componenti per:

• drenaggio di wallet multi-chain;
• raccolta di seed phrase di hardware wallet;
• furto di account exchange e wallet;
• acquisizione universale di credenziali e moduli;
• furto di account Facebook e LinkedIn;
• sottrazione della cronologia del browser;
• esche in stile ClickFix.

Il riferimento a ClickFix merita attenzione anche fuori dal mondo crypto. Questo tipo di schema induce l’utente a eseguire manualmente un comando, spesso dopo aver visualizzato un falso aggiornamento del browser. In altre parole, il browser non è solo il bersaglio: diventa anche lo strumento per manipolare l’utente e aggirare le normali difese.

Un rischio che va oltre le criptovalute

Sebbene il titolo della notizia richiami wallet e drenaggio di criptovalute, sarebbe un errore considerarlo un problema limitato a chi opera in questo settore. Le funzionalità osservate includono furto di credenziali generiche, moduli web, cronologia e account professionali.

Per molte aziende italiane il danno più probabile non è la sottrazione di crypto, ma piuttosto:

• accesso non autorizzato a caselle email aziendali;
• compromissione di account LinkedIn usati per recruiting o commerciale;
• furto di sessioni o credenziali di portali fornitori e clienti;
• esposizione di dati personali trattati in browser;
• accesso a strumenti cloud di amministrazione, marketing o contabilità.

In pratica, una piccola estensione installata per comodità può diventare l’anello iniziale di una violazione più ampia, con effetti operativi, economici e anche di conformità.

Cosa significa per la tua azienda

Per una PMI italiana, la lezione non è “vietare tutto”, ma gestire il browser come un asset aziendale, non come uno spazio lasciato alla libera iniziativa del singolo dipendente.

Ecco le azioni più utili da fare subito:

1. Censisci le estensioni installate Verifica quali estensioni sono presenti su PC aziendali Chrome ed Edge, soprattutto quelle installate per marketing, SEO, social media, PDF, OCR e produttività. Sono proprio le categorie più semplici da giustificare e più facili da lasciar passare senza controlli.

2. Rimuovi ciò che non è strettamente necessario Meno estensioni ci sono, minore è la superficie d’attacco. Molte funzioni offerte da add-on di terze parti oggi sono già disponibili nel browser o in software aziendali più controllabili.

3. Blocca installazioni libere dove possibile Se l’azienda usa account gestiti o criteri centralizzati, è opportuno definire una lista di estensioni consentite. Nelle realtà con più postazioni, questo è molto più efficace di affidarsi al buon senso individuale.

4. Controlla cambi di proprietà e aggiornamenti sospetti Un’estensione affidabile ieri può non esserlo oggi. Se uno strumento cambia nome, editore, descrizione o permessi richiesti, va rivalutato.

5. Monitora i permessi richiesti dal browser Accessi ampi a “tutti i siti”, lettura dei dati delle pagine, possibilità di modificare contenuti o gestire download meritano attenzione. Non sempre indicano malevolenza, ma devono avere una giustificazione concreta.

6. Forma il personale sui falsi aggiornamenti Le campagne che mostrano popup di aggiornamento o istruzioni da copiare e incollare funzionano perché sembrano plausibili. Spiega chiaramente che browser e software aziendali non richiedono mai di eseguire comandi manuali per aggiornarsi.

7. Prepara una risposta rapida all’incidente Se emerge un’estensione compromessa, bisogna poter intervenire subito: rimozione centralizzata, cambio password, revoca sessioni attive, controllo dei log e verifica dei browser sincronizzati.

8. Proteggi dati e continuità operativa Se un account viene compromesso, il problema non è solo tecnico. Servono misure di contenimento, copie sicure e procedure di ripristino. Su questi aspetti sono centrali servizi di sicurezza informatica e soluzioni di remote backup.

9. Valuta anche il profilo privacy Se tramite browser transitano dati personali di clienti, dipendenti o fornitori, un’estensione malevola può diventare anche un tema di conformità. In questi casi ha senso riesaminare ruoli, misure e procedure legate al GDPR.

La lezione strategica: il browser è parte del perimetro IT

Per anni molte aziende hanno concentrato la sicurezza su antivirus, firewall, server e posta elettronica. È corretto, ma non basta più. Oggi una parte enorme del lavoro quotidiano passa dal browser: CRM, gestionali cloud, webmail, home banking, documenti condivisi, strumenti HR e piattaforme di marketing.

Se il browser viene compromesso, l’attaccante si ritrova già nel punto in cui l’utente lavora, con accesso a sessioni valide e a dati reali. È per questo che le estensioni non vanno considerate accessori innocui, ma software a tutti gli effetti.

Il caso emerso a fine agosto 2026 lo conferma bene: la tecnica più efficace non è sempre quella più rumorosa. A volte basta una utility comoda, un aggiornamento automatico e qualche permesso concesso senza leggere.

Domande frequenti

Se un’estensione è nello store ufficiale, posso fidarmi?

No. Lo store ufficiale riduce alcuni rischi, ma non garantisce che un’estensione resti sicura nel tempo, soprattutto se cambia proprietario o riceve aggiornamenti malevoli.

Questo problema riguarda solo chi usa criptovalute?

No. Le funzionalità osservate includono anche furto di credenziali, cronologia, moduli web e account professionali. Quindi il rischio riguarda anche aziende che non usano wallet crypto.

Cosa devo fare oggi stesso in azienda?

Controlla le estensioni installate sui browser aziendali, rimuovi quelle non necessarie, verifica eventuali permessi troppo ampi e informa il personale a non seguire falsi aggiornamenti o istruzioni da copiare nel sistema.