Selainten lisäosat voivat muodostaa tietoturvariskin - suojausvinkit organisaatioille ja omille laitteille

Toiminnallisuutta laajentavat, käytettävyyttä parantavat ja työskentelyä tehostavat selainten lisäosat voivat muodostaa merkittävän tietoturvariskin.

Lisäosille myönnettävät laajat käyttöoikeudet voivat antaa niille pääsyn kaikkeen selaimella käsiteltyyn sisältöön, mukaan lukien vieraillut verkkosivut sekä lomakkeisiin syötetyt tiedot.

Haitalliset tai tietoturvaltaan puutteelliset lisäosat voivat esimerkiksi ohjata käyttäjän huomaamatta haitallisille verkkosivuille, kerätä ja välittää arkaluonteisia tietoja kolmansille osapuolille tai manipuloida selaimen sisältöä mainosten tai muun ei-toivotun aineiston näyttämiseksi.

"Selainten lisäosat helpottavat arkea, mutta ne voivat myös avata uuden reitin väärinkäytöksille. Siksi on tärkeää kiinnittää huomiota siihen, mitä lisäosia selaimeen asentaa ja millaisia oikeuksia niille myöntää. Jo se, että tarkistaa omassa selaimessa käytössä olevat lisäosat ja pitää selaimen sekä lisäosat päivitettynä, on yksinkertainen ja konkreettinen tapa vahvistaa omaa tietoturvaa arjessa”, kertoo tietoturva-asiantuntija Miiro Pyysing.

Miten haitalliset lisäosat päätyvät selaimeen?

Haitalliset lisäosat voivat päätyä käyttäjien selaimiin useilla eri tavoilla. Yleisimpiä keinoja ovat muun muassa seuraavat:

• Virallisessa lisäosakaupassa julkaistaan haitallinen lisäosa, joka nimeltään tai ominaisuuksiltaan muistuttaa tunnettua ja luotettavaa lisäosaa, ja käyttäjä asentaa sen erehdyksessä.
• Lisäosan kehittäjän tili kaapataan, minkä seurauksena aiemmin turvallinen lisäosa päivitetään haitalliseksi.
• Lisäosa ostetaan alkuperäiseltä kehittäjältä ja sen toiminta muutetaan myöhemmin haitalliseksi.
• Haitallinen verkkosivusto edellyttää tietyn selaimen lisäosan asentamista sivuston sisällön tarkastelemiseksi.
• Selaimen lisäosa sisältää tietoturvahaavoittuvuuksia, joita hyväksikäyttämällä uhkatoimija voi saastuttaa selaimen tai laitteen, johon lisäosa on asennettu.

Kun selainvalmistajat saavat tiedon haitallisista lisäosista, ne poistetaan virallisista lisäosakaupoista ja mahdollisuuksien mukaan myös käyttäjien selaimista. Haitallisten lisäosien hyödyntäminen ei ole uusi ilmiö, vaan osa uhkatoimijoista on käyttänyt niitä toiminnassaan jo useiden vuosien ajan.

Mitä organisaatiot voivat tehdä?

Organisaatioiden on suositeltavaa ylläpitää ajantasaista tietoa asennetuista selainten lisäosista osana ohjelmisto- ja omaisuudenhallintaa. Toiminnan kannalta keskeisistä lisäosista laadittu rekisteri on olennainen osa kyberriskienhallintaa, sillä se mahdollistaa esimerkiksi versionumeroiden, asennusmäärien, käyttöoikeuksien laajuuden ja lisäosien kriittisyyden seurannan. Tällainen rekisteri tukee muiden kyberturvallisuuden hallintatoimien toteuttamista ja auttaa tunnistamaan laitteet ja selaimet, joissa on päivitystä vaativia tai riskialttiita lisäosia.

Mitä huolehdit oman laitteen selaimen lisäosien turvallisuudesta?

Voit vähentää selainten lisäosiin liittyviä riskejä pitämällä asennettujen lisäosien määrän mahdollisimman vähäisenä ja poistamalla säännöllisesti tarpeettomat lisäosat. Lisäosia tulisi asentaa vain virallisista lähteistä ja ennen asennusta on suositeltavaa arvioida kehittäjän luotettavuus sekä pyydetyt käyttöoikeudet, erityisesti silloin kun lisäosa pyytää laajoja pääsyoikeuksia verkkosisältöihin tai selaushistoriaan. Selain ja lisäosat on hyvä pitää ajan tasalla automaattisten päivitysten avulla.

Perjantaisin julkaistavassa Traficomin Kyberturvallisuuskeskuksen viikkokatsauksessa jaetaan tietoa ajankohtaisista kyberilmiöistä. Tällä viikolla kerromme lisäksi muun muassa verkossa ja puhelimessa tapahtuvien huijausten ajankohtaisista ilmiöistä sekä siitä, miten kiristysviestit, robottipuhelut ja sijoitushuijaukset pyrkivät kalastelemaan tietoja ja rahaa.