Sıradan bir salı günü hayal edin. Ofisinizde biri, dönüştürmeyi reddeden bir PDF'le boğuşuyor ya da 20 dakika sonraki bir görüşme için çevrilmesi gereken bir madde var. Arama yapıyor, neşeli bir simgeye ve birkaç bin yoruma sahip ücretsiz bir tarayıcı uzantısı buluyor ve "Chrome'a Ekle"ye tıklıyor. Hiçbir şifre istemi çıkmıyor. BT departmanından kırmızı uyarı gelmiyor. Her şey dört saniye sürüyor ve ekranda korkutucu bir şey olmadığı için beyin bunu sessizce zararsızlar kategorisine atıyor.
Muhtemelen siz de bunu yapmışsınızdır. Bahse girerim. Bu içgüdü aptalca değil, sadece yaklaşık yirmi yıl güncel değil ve nedenini anlamak beş dakikanızı ayırmaya değer.
Kurumsal güvenlik bir çevreyi korumak için inşa edildi: güvenlik duvarları, ağ kuralları, iyi izlenen bir kapısı olan ofis duvarı. Sorun şu ki artık kimse o duvarın arkasında çalışmıyor. Tek oturum açma (SSO) ile kurumsal e-postanıza veya bulut sürücünüze giriş yaptığınız an, elinizde rozetle binanın içinde duruyorsunuz demektir.
Bir tarayıcı uzantısının içeri girmesine gerek yoktur. Sadece izin ister ve çoğu kişi neye izin verdiğini okumadan kabul eder. Aşırı uzantı izinleri buradaki sessiz kötü adamdır: geniş ana bilgisayar erişimi, bir uzantının tam kimliğinizi ve oturumunuzu devralmasına, okuduğunuzu okumasına, yazdıklarınızı yakalamasına ve oturumunuzu açık tutan çerezlere erişmesine olanak tanır. Bazıları daha da ileri giderek sayfanın Belge Nesne Modeli'nden (DOM) doğrudan veri kazır; bu, ekranda görünen her şeyin altında yatan yapıdır. Buna DOM kazıma denir ve bir form alanına, müşteri portalına veya sohbet penceresine yazılan her şeyin gerçek zamanlı olarak çekilebileceği anlamına gelir; dosya aktarımı gerekmez, antivirüs yazılımınızın yakalamak için tasarlandığı hiçbir şey yoktur. Ağ açısından bakıldığında, bunların hiçbiri bir izinsiz giriş gibi görünmez. Sıradan bir salı günü gibi görünür.
Nadiren de olsa kendini belli eder. Bu uzantıların çoğu aylarca tam olarak reklamı yapıldığı gibi çalışır. Gerçek beş yıldızlı yorumlar ve sadık küçük bir kullanıcı tabanı kazanırlar çünkü güven inşa etmek tüm stratejidir. Sonra, hiçbir uyarı olmadan dönerler.
Güvenlik araştırmacıları 2026'nın başlarında böyle bir yayılımı çözmek için uğraştı: 300'den fazla Chrome uzantısı, toplamda 37 milyondan fazla indirme, tamamen inandırıcı dış görünüşlerinin arkasında tarama geçmişini ve kişisel verileri sızdırırken yakalandı. Haziran ayında Microsoft daha da ileri giderek StegoAd adını verdiği bir kampanyayı dağıttı: 119 uzantı, 2,6 milyona kadar kullanıcı, reklam engelleyiciler, hesap makineleri ve PDF araçları gibi sıradan şeyler vaat ediyordu. Kötü amaçlı kod, uzantıların kendi simge görsellerinin içine gizlenmişti; gözle ve çoğu tarayıcıyla görünmezdi ve erken incelemecilerin yalnızca dostça sürümü görmesi için kasıtlı olarak gecikmeli olarak etkinleşiyordu.
Etkinleştiğinde, oturum açma kimlik bilgilerini ve oturum çerezlerini, bir şifreye asla dokunmadan bir hesabı ele geçirecek kadar iyi topluyordu; ders kitabı niteliğinde bir oturum ele geçirme ve çerez toplama işlemi, her tarayıcı tarafından kontrol edildiğinde tamamen masum bir hesap makinesi gibi görünen bir şey tarafından gerçekleştiriliyordu. Bunların hiçbiri birini şüpheli bir web sitesini ziyaret etmeye kandırmayı gerektirmiyordu. Surrey Üniversitesi'ndeki araştırmacılar 21.000 gerçek Chrome uzantısını analiz etti ve kabaca altıda birinin, toplamda 600 milyondan fazla kişi tarafından kullanılan, kurulumdan sonraki 60 saniye içinde üçüncü taraf izlemeye başladığını ve genellikle kimsenin okumadığı gizlilik politikasında bundan hiç bahsedilmediğini buldu.
Personelinize onaylanmamış uzantıları yüklememelerini söyleyen yazılı bir politika bunu düzeltmeyecektir; tıpkı diyetlerin ofis bisküvi kutusundan nadiren kurtulması gibi. Bu, en saf haliyle gölge BT'dir ve temelindeki kolaylık tuzağı basittir: kimse bir ihlale neden olma niyetiyle bir çeviri aracı yüklemez; sadece 10 dakika sonra başlayacak toplantıdan önce maddenin çevrilmesini ister. Kolaylık her an kazanır ve an her şeydir.
Bu açığı gerçekten kapatan şey, tarayıcı düzeyinde teknik yönetimdir: tarayıcıyı, insanların ona ulaşmak için kullandığı bir uygulama olarak değil, savunmaya değer ağın bir parçası olarak ele almak. Bu, sıfır güven iş akışı haritalamasıyla başlar: hassas verilerin güvenli bir sistemden çıkıp bir tarayıcı sekmesine girdikten sonra tam olarak nereye aktığını izlemek; birinin hassas bir şeyi yapıştırmak üzere olduğu noktada görünürlük ve kontrol sağlamak, oryantasyon gününden beri kimsenin açmadığı bir PDF politikasında değil.
Kıbrıs, kendisini uluslararası iş ve teknoloji firmaları için ciddi, güvenilir bir üs olarak konumlandırmakla meşgul. Bu itibar yalnızca güvenlik duvarlarıyla kazanılmayacak. Bunu, iyi yönetişimi tarayıcı sekmesine kadar genişletmiş firmalar kazanacak; böylece bir müşteri verilerinin gerçekte nasıl korunduğunu sorduğunda, dürüst cevap bir umut değil, bir mimari olur.
