Браузерные расширения стали неотъемлемой частью повседневной работы большинства сотрудников — от простых проверок орфографии до инструментов на базе искусственного интеллекта. Однако новые данные свидетельствуют о том, что эти привычные инструменты формируют значительную и недооценённую поверхность для кибератак в организациях.
По данным отчёта Enterprise Browser Extension Security Report 2025, выпущенного LayerX, 99% сотрудников используют браузерные расширения. Более половины — 52% — установили свыше десяти расширений. Эксперты отмечают, что почти каждый сотрудник подвергается рискам, связанным с этими надстройками.
Особую тревогу вызывает то, что 53% расширений, используемых в корпоративной среде, имеют доступ к чувствительным данным: cookies, паролям, содержимому веб-страниц и истории просмотров. Любое компрометированное расширение на компьютере сотрудника способно поставить под угрозу всю организацию.
Проблемы начинаются уже на этапе идентификации разработчиков. 54% расширений опубликованы неизвестными издателями, зачастую зарегистрированными только через Gmail. Из них 79% выпустили всего одно расширение. Это существенно затрудняет проверку их надёжности и фактически исключает возможность полноценной верификации с помощью стандартных ресурсов ИТ-служб.
Отдельного внимания заслуживают расширения, использующие генеративный искусственный интеллект. Более 20% корпоративных пользователей установили хотя бы одно GenAI-расширение, причём 58% таких расширений обладают высокорисковыми уровнями доступа к данным. В условиях, когда границы между личными и корпоративными данными размыты, предприятиям рекомендуется тщательно регулировать использование подобных решений и обмен информацией через них.
Серьёзную угрозу представляют и устаревшие или неконтролируемые расширения. 51% всех расширений не обновлялись более года, а 26% установлены в обход официальных магазинов — так называемые sideloaded-расширения. Даже если такие расширения изначально не были вредоносными, отсутствие обновлений делает их уязвимыми для современных атак.
В ответ на эти вызовы LayerX разработала серию рекомендаций для ИТ-директоров и специалистов по информационной безопасности. В первую очередь, предлагается провести аудит всех расширений, используемых сотрудниками, чтобы получить полную картину потенциальных угроз. Далее рекомендуется категоризировать расширения по типу, количеству пользователей, уровню доступа и другим признакам.
Особое значение имеет инвентаризация разрешений каждого расширения. Такой подход позволяет определить, к каким данным и ресурсам может получить доступ каждое из них, и на этой основе выстроить модель угроз. Для оценки риска LayerX советует учитывать не только права доступа, но и репутацию издателя, популярность расширения, способ установки. Все эти параметры объединяются в единый интегральный показатель риска.
Последним ключевым шагом становится внедрение динамических политик управления — меры должны адаптироваться под конкретные нужды организации и уровень риска, выявленный на предыдущих этапах.
Главная задача отчёта Enterprise Browser Extension Security Report 2025 — предоставить объективную аналитику и практические инструменты для построения защищённой корпоративной среды. Документ доступен для скачивания и адресован прежде всего руководителям по информационной безопасности и специалистам, отвечающим за защиту корпоративных данных.
Изображение носит иллюстративный характер
По данным отчёта Enterprise Browser Extension Security Report 2025, выпущенного LayerX, 99% сотрудников используют браузерные расширения. Более половины — 52% — установили свыше десяти расширений. Эксперты отмечают, что почти каждый сотрудник подвергается рискам, связанным с этими надстройками.
Особую тревогу вызывает то, что 53% расширений, используемых в корпоративной среде, имеют доступ к чувствительным данным: cookies, паролям, содержимому веб-страниц и истории просмотров. Любое компрометированное расширение на компьютере сотрудника способно поставить под угрозу всю организацию.
Проблемы начинаются уже на этапе идентификации разработчиков. 54% расширений опубликованы неизвестными издателями, зачастую зарегистрированными только через Gmail. Из них 79% выпустили всего одно расширение. Это существенно затрудняет проверку их надёжности и фактически исключает возможность полноценной верификации с помощью стандартных ресурсов ИТ-служб.
Отдельного внимания заслуживают расширения, использующие генеративный искусственный интеллект. Более 20% корпоративных пользователей установили хотя бы одно GenAI-расширение, причём 58% таких расширений обладают высокорисковыми уровнями доступа к данным. В условиях, когда границы между личными и корпоративными данными размыты, предприятиям рекомендуется тщательно регулировать использование подобных решений и обмен информацией через них.
Серьёзную угрозу представляют и устаревшие или неконтролируемые расширения. 51% всех расширений не обновлялись более года, а 26% установлены в обход официальных магазинов — так называемые sideloaded-расширения. Даже если такие расширения изначально не были вредоносными, отсутствие обновлений делает их уязвимыми для современных атак.
В ответ на эти вызовы LayerX разработала серию рекомендаций для ИТ-директоров и специалистов по информационной безопасности. В первую очередь, предлагается провести аудит всех расширений, используемых сотрудниками, чтобы получить полную картину потенциальных угроз. Далее рекомендуется категоризировать расширения по типу, количеству пользователей, уровню доступа и другим признакам.
Особое значение имеет инвентаризация разрешений каждого расширения. Такой подход позволяет определить, к каким данным и ресурсам может получить доступ каждое из них, и на этой основе выстроить модель угроз. Для оценки риска LayerX советует учитывать не только права доступа, но и репутацию издателя, популярность расширения, способ установки. Все эти параметры объединяются в единый интегральный показатель риска.
Последним ключевым шагом становится внедрение динамических политик управления — меры должны адаптироваться под конкретные нужды организации и уровень риска, выявленный на предыдущих этапах.
Главная задача отчёта Enterprise Browser Extension Security Report 2025 — предоставить объективную аналитику и практические инструменты для построения защищённой корпоративной среды. Документ доступен для скачивания и адресован прежде всего руководителям по информационной безопасности и специалистам, отвечающим за защиту корпоративных данных.
