読者です 読者をやめる 読者になる 読者になる

唯物是真 @Scaled_Wurm

プログラミング(主にPython2.7)とか機械学習とか

不正なChrome拡張の悪質化(マルウェア)に引っかかってしまった

最近Chrome拡張が突然悪質化してマルウェアになり情報を盗んだりする事例があるという話が話題になっていました

今日Chromeを起動したら「不正なChrome拡張を無効にしました」的なことを言われてChrome拡張が無効化されてしまいました
しかも悪質なことにアンインストールしたら怪しいサイトに飛ばされるというおまけ付きです

同様の事例のツイート

一応上の記事を読んだ時に使ってないChrome拡張を無効化してたのでもしかしたら被害がないかもしれないけど、IDやらクレジットカードやら盗み出されてる可能性もゼロではないです((((;゚Д゚))))

f:id:sucrose:20161111010106p:plain

事後の対策としてはどうすればよいんだろう
とりあえずセッションが無効になるとよいなぁと思って、いろいろとログアウトして入り直したりみたけど……パスワードも変えたりするべきなのかな

これを気に調べてみたら、結構多くのサイトでセッションIDっぽい名前のクッキーがHTTP Onlyになっていなくて、任意のJavaScriptが実行できればセッションを盗めるかもしれない感じだなーと思いました(どのCookieが何してるかわからないですが
世の中のCookieがHTTP Onlyになっていけば少しは安全になるんでしょうか

なんか乗っ取りとかで変なメッセージなどを送っている可能性もゼロではないのでそういうのがあったら教えて下さい

「サードパーティの拡張は信用できないから、最小限にしてどうしても欲しかったら自分で実装しよう」という学びを得ました

-->