10 milionów użytkowników w niebezpieczeństwie: Jak złośliwy ad-blocker stał się furtką dla cyberprzestępców

Wtyczka z 10 milionami instalacji, reklamowana jako narzędzie do blokowania reklam, okazała się wektorem ataku. Jak do tego doszło i dlaczego użytkownicy przeglądarek wciąż bagatelizują zagrożenia związane z rozszerzeniami?

Ad-blocker, który stał się narzędziem cyberprzestępców

W czerwcu 2026 roku serwis The Hacker News opublikował alarmujący raport o wtyczce do Chrome, która przez lata cieszyła się zaufaniem milionów użytkowników. "adblocker for Chrome" – bo tak brzmiała jej nazwa – nie była jednak legalnym narzędziem, a pułapką przygotowaną przez nieznanych sprawców. Choć szczegóły ataku pozostają niejasne, incydent ten wpisuje się w długą serię podobnych przypadków, które pokazują, jak łatwo zaufanie do popularnych rozszerzeń może zostać wykorzystane.

Oficjalne źródło nie podaje dokładnej nazwy ani identyfikatora wtyczki, ale analiza wcześniejszych incydentów pozwala zrekonstruować możliwy scenariusz. W przeszłości ataki na rozszerzenia przeglądarek przybierały różne formy – od przejęcia kont deweloperów po wstrzykiwanie złośliwego kodu przez zależności. W tym przypadku najbardziej prawdopodobne wydaje się wykorzystanie jednej z tych metod, choć bez szczegółowego raportu trudno wskazać konkretny mechanizm.

Jak atakujący przejmują kontrolę nad wtyczkami?

Historia pokazuje, że cyberprzestępcy mają kilka sprawdzonych sposobów na infiltrację popularnych rozszerzeń:

• Phishing i socjotechnika: W 2017 roku twórcy wtyczki Copyfish padli ofiarą fałszywego e-maila, który pozwolił atakującym przejąć ich konto w Chrome Web Store. W efekcie złośliwa aktualizacja trafiła do 300 tysięcy użytkowników, instalując na ich komputerach adware (źródło: The Register).
• Luki w zależnościach: W 2021 roku wtyczka Nano Adblocker została zainfekowana poprzez bibliotekę zewnętrzną, którą wykorzystywała. Choć sama wtyczka była open-source, jedna z jej zależności zawierała złośliwy kod, który mógł wykradać dane użytkowników (źródło: github).
• Przejęcie konta dewelopera: W 2020 roku wtyczka Web Developer (1 mln użytkowników) została zhakowana po tym, jak atakujący uzyskali dostęp do konta jej twórcy. Efekt? Instalacja malware typu "browser hijacker", który przekierowywał użytkowników na złośliwe strony (źródło: ZDNet).

W przypadku opisywanego incydentu z 2026 roku najbardziej prawdopodobne jest przejęcie konta dewelopera lub wykorzystanie luki w procesie aktualizacji. Atakujący mogli również posłużyć się metodą typosquattingu – czyli stworzeniem wtyczki o nazwie łudząco podobnej do legalnego narzędzia (np. "adblock" zamiast "ublock Origin").

Dlaczego 10 milionów użytkowników nie zauważyło problemu?

Skala incydentu – 10 milionów instalacji – może szokować, ale nie jest zaskoczeniem dla ekspertów ds. bezpieczeństwa. Użytkownicy często bagatelizują zagrożenia związane z wtyczkami, kierując się kilkoma fałszywymi przekonaniami:

• "Jeśli jest w oficjalnym sklepie, to musi być bezpieczna": Niestety, proces weryfikacji w Chrome Web Store nie jest doskonały. Google wprowadziło wprawdzie obowiązkowe recenzje kodu dla nowych wtyczek w 2022 roku, ale starsze rozszerzenia często pozostają bez nadzoru.
• "Ad-blocker nie może szkodzić – przecież tylko blokuje reklamy": W rzeczywistości wiele wtyczek ma znacznie szersze uprawnienia, niż sugeruje ich podstawowa funkcja. Przykładowo, rozszerzenie do blokowania reklam może mieć dostęp do wszystkich odwiedzanych stron, historii przeglądania, a nawet danych wprowadzanych w formularzach.
• "Mam antywirusa, więc jestem bezpieczny": Tradycyjne oprogramowanie antywirusowe często nie wykrywa zagrożeń związanych z wtyczkami, ponieważ działają one w kontekście przeglądarki i nie zawsze pozostawiają ślady na dysku.

Co więcej, użytkownicy rzadko sprawdzają uprawnienia wtyczek przed ich instalacją. Tymczasem to właśnie nadmierne uprawnienia są najczęstszą przyczyną problemów.

Jakie uprawnienia powinna mieć wtyczka i dlaczego są one często nadużywane?

Każda wtyczka do Chrome wymaga określonych uprawnień, aby działać. Problem polega na tym, że wiele z nich ma dostęp do znacznie większej ilości danych, niż jest to konieczne. Oto najczęściej spotykane uprawnienia i ich potencjalne zagrożenia:

• "<all_urls>": Pozwala na odczytywanie i modyfikowanie treści wszystkich odwiedzanych stron. Teoretycznie potrzebne dla ad-blockerów, ale może być wykorzystane do kradzieży danych z formularzy lub wstrzykiwania złośliwego kodu.
• "tabs": Umożliwia odczytywanie i modyfikowanie kart przeglądarki. Atakujący mogą wykorzystać to uprawnienie do otwierania nowych kart ze złośliwymi stronami lub śledzenia aktywności użytkownika.
• "webRequest": Pozwala na przechwytywanie i modyfikowanie żądań sieciowych. Choć niezbędne dla ad-blockerów, może być użyte do podmiany reklam na złośliwe lub przekierowywania użytkowników na strony phishingowe.
• "storage": Daje dostęp do lokalnej pamięci przeglądarki, w tym ciasteczek i danych sesji. Może być wykorzystane do kradzieży tożsamości lub przejmowania kont w serwisach internetowych.
• "downloads": Umożliwia pobieranie plików bez wiedzy użytkownika. Atakujący mogą wykorzystać to uprawnienie do instalacji malware.

Dla przykładu: legalna wtyczka ublock Origin ma tylko trzy uprawnienia: "webRequest", "storage" i "<all_urls>". To wystarczy do blokowania reklam, ale nie daje dostępu do danych użytkownika. Tymczasem wiele podejrzanych wtyczek prosi o znacznie więcej, np. "tabs" i "downloads", co powinno wzbudzić podejrzenia.

Jak sprawdzić uprawnienia wtyczki przed instalacją?

Oto kilka prostych kroków, które pomogą uniknąć problemów:

1. Przed instalacją wtyczki wejdź na jej stronę w Chrome Web Store i przewiń do sekcji "Uprawnienia". Jeśli widzisz tam coś więcej niż "webRequest", "storage" i "<all_urls>", zastanów się, czy na pewno potrzebujesz tej wtyczki.
2. Sprawdź liczbę instalacji i oceny. Wtyczki z małą liczbą recenzji (np. poniżej 10 tysięcy) mogą być mniej wiarygodne.
3. Użyj narzędzi do analizy kodu, takich jak CRXcavator. Skanują one wtyczki pod kątem potencjalnych zagrożeń i pokazują, jakie uprawnienia są faktycznie wykorzystywane.
4. Regularnie przeglądaj listę zainstalowanych wtyczek i usuwaj te, których nie używasz. W Chrome możesz to zrobić, wpisując w pasku adresu: chrome://extensions.

Jakie były skutki ataku i czy Google zareagowało?

Oficjalne źródło nie podaje szczegółów dotyczących skutków ataku z 2026 roku, ale na podstawie wcześniejszych incydentów można przypuszczać, że mogło dojść do:

• Kradzieży danych logowania do serwisów internetowych (np. banków, mediów społecznościowych).
• Instalacji malware, w tym ransomware lub spyware.
• Przekierowywania użytkowników na strony phishingowe lub z exploitami typu drive-by download.
• Wycieku ciasteczek sesji, co umożliwia przejęcie kont bez znajomości hasła.

Jeśli chodzi o reakcję Google, to w przeszłości firma była krytykowana za powolne działanie. Przykładowo, wtyczka The Great Suspender została usunięta z Chrome Web Store dopiero dwa miesiące po wykryciu złośliwego kodu, mimo że miała 2 miliony użytkowników (źródło: Ars Technica). W 2022 roku Google wprowadziło obowiązkowe recenzje kodu dla nowych wtyczek, ale starsze rozszerzenia wciąż mogą stanowić zagrożenie.

W przypadku opisywanego incydentu brak oficjalnego komunikatu ze strony Google lub twórców wtyczki. To niestety częsta praktyka – deweloperzy często zaprzeczają problemom lub po prostu milczą, aby uniknąć odpowiedzialności.

Inne popularne wtyczki, które stały się wektorami ataków

Incydent z 2026 roku nie jest odosobniony. Oto kilka innych przypadków, które pokazują, jak niebezpieczne mogą być wtyczki do przeglądarek:

Warto zauważyć, że nie wszystkie z tych wtyczek były od początku złośliwe. Wiele z nich, jak The Great Suspender czy Nano Adblocker, zyskało popularność jako legalne narzędzia, zanim zostały przejęte lub zainfekowane.

Jak chronić się przed złośliwymi wtyczkami?

Oto kilka praktycznych porad, które pomogą zminimalizować ryzyko:

1. Instaluj tylko zaufane wtyczki

Najbezpieczniejszym wyborem są wtyczki open-source, które są regularnie aktualizowane i mają dużą społeczność użytkowników. Przykłady:

• ublock Origin – open-source'owy ad-blocker z minimalnymi uprawnieniami.
• HTTPS Everywhere – wymusza szyfrowane połączenia na stronach, które tego nie robią.
• Privacy Badger – blokuje śledzące skrypty i ciasteczka.

2. Regularnie aktualizuj przeglądarkę i wtyczki

Wiele ataków wykorzystuje luki w starszych wersjach oprogramowania. Upewnij się, że masz włączone automatyczne aktualizacje:

• W Chrome: Ustawienia → O Chrome → Automatyczne aktualizacje.
• W Firefox: Ustawienia → Ogólne → Aktualizacje.

3. Używaj narzędzi do analizy wtyczek

Narzędzia takie jak CRXcavator lub Extension Workshop (dla Firefox) pozwalają sprawdzić, czy wtyczka nie zawiera podejrzanego kodu.

4. Ogranicz liczbę zainstalowanych wtyczek

Im więcej wtyczek masz zainstalowanych, tym większa powierzchnia ataku. Regularnie przeglądaj listę rozszerzeń i usuwaj te, których nie używasz.

5. Używaj trybu incognito dla wrażliwych działań

Tryb incognito nie zapisuje historii przeglądania ani ciasteczek, co może pomóc w ochronie przed niektórymi rodzajami ataków. Pamiętaj jednak, że nie chroni on przed wszystkimi zagrożeniami (np. keyloggerami).

6. Włącz dwuskładnikowe uwierzytelnianie (2FA)

Nawet jeśli atakujący przejmie twoje dane logowania, 2FA może powstrzymać ich przed dostępem do twoich kont. Wiele serwisów, takich jak Google, Facebook czy Netflix, oferuje tę opcję w ustawieniach bezpieczeństwa.

Jeśli chcesz dowiedzieć się więcej o nowych zasadach logowania, przeczytaj nasz artykuł: Netflix wprowadza obowiązkowe 2FA od lipca 2026 – co musisz wiedzieć o nowych zasadach logowania.

Dlaczego popularność nie oznacza bezpieczeństwa?

Incydent z 2026 roku pokazuje, że nawet wtyczki z milionami instalacji mogą stanowić zagrożenie. Popularność często idzie w parze z większą powierzchnią ataku – im więcej użytkowników, tym większa pokusa dla cyberprzestępców. Co więcej, duża liczba instalacji może dawać fałszywe poczucie bezpieczeństwa, skłaniając użytkowników do ignorowania potencjalnych zagrożeń.

Warto również pamiętać, że wiele wtyczek jest rozwijanych przez małe zespoły lub pojedynczych deweloperów, którzy nie zawsze mają zasoby na regularne audyty bezpieczeństwa. W efekcie nawet legalne narzędzia mogą zawierać luki, które zostaną wykorzystane przez atakujących.

Dlatego tak ważne jest, aby nie polegać wyłącznie na liczbie instalacji czy ocenach w sklepie. Zawsze sprawdzaj uprawnienia, czytaj recenzje (szczególnie te negatywne) i korzystaj z narzędzi do analizy kodu.

Podsumowanie: Czy wtyczki do przeglądarek są bezpieczne?

Wtyczki do przeglądarek mogą być niezwykle przydatne, ale niosą ze sobą realne zagrożenia. Incydent z 2026 roku, podobnie jak wcześniejsze ataki na The Great Suspender czy Web Developer, pokazuje, że nawet popularne rozszerzenia mogą stać się wektorami dla cyberprzestępców.

Kluczem do bezpieczeństwa jest świadomość i ostrożność. Przed instalacją każdej wtyczki warto zadać sobie kilka pytań:

• Czy naprawdę potrzebuję tej wtyczki?
• Jakie uprawnienia są jej potrzebne do działania?
• Czy twórcy wtyczki są wiarygodni?
• Czy wtyczka jest regularnie aktualizowana?

Jeśli nie jesteś pewien odpowiedzi na któreś z tych pytań, lepiej zrezygnuj z instalacji. Pamiętaj, że w dzisiejszych czasach cyberbezpieczeństwo to nie tylko kwestia technologii, ale także zdrowego rozsądku.

Jeśli interesuje cię temat bezpieczeństwa w sieci, przeczytaj również nasz przewodnik: Krajobraz cyberzagrożeń 2026: Przewodnik dla administratorów po nowej powierzchni ataku.

Źródła

• https://thehackernews.com/2026/06/chrome-ad-blocker-with-10m-installs.html
• https://www.bleepingcomputer.com/news/security/chrome-extension-with-2-million-users-caught-pushing-malware/
• https://www.theregister.com/2017/07/31/chrome_extension_copyfish_hijacked/
• https://chrome.google.com/webstore/detail/ublock-origin/cjpalhdlnbpafiamejdnhcphjbkeiagm
• https://www.phishlabs.com/blog/chrome-extension-hijacked-to-deliver-malware/
• https://www.zdnet.com/article/chrome-extension-with-1-million-users-hijacked-to-push-malware/
• https://github.com/NanoAdblocker/NanoCore/issues/354
• https://www.malwarebytes.com/blog/news/2019/06/fake-adblock-plus-extension-installs-malware
• https://vpnpro.com/blog/hola-vpn-caught-selling-users-bandwidth/
• https://arstechnica.com/gadgets/2021/02/google-removes-great-suspender-chrome-extension-after-malware-find/
• https://developer.chrome.com/blog/extension-manifest-v3/
• https://support.google.com/chrome_webstore/answer/2664769
• https://crxcavator.io/