Що збирає розширення

Розширення ніколи не читає те, що ви вводите. Воно знає, на якому ви сайті, перевіряє його на вашому пристрої та повідомляє лише про сайти, що порушують правило. Усе, що воно повідомило про вас, ви можете переглянути.

Ця сторінка написана для працівників, робочих рад і фахівців, які перевіряють безпеку.

Що робить розширення

• Перевіряє сайти на вашому пристрої. Чи схожа адреса на відомий бренд або на домен вашої компанії, вирішується в браузері.
• Повідомляє лише домен і лише тоді, коли спрацьовує правило. Коли сайт викликає попередження, звіт містить тип події, домен сайту (для спільних хостинг-платформ, як-от *.pages.dev, — повну адресу сайту без шляху, бо сам домен платформи нічого б не сказав), час і те, що сталося далі (вас попередили, ви все одно продовжили, сайт заблокували або подію лише записали в журнал). Ніколи — повну адресу, шлях, пошукові запити чи заголовок сторінки.
• Вік домену перевіряється рідко. Список нещодавно зареєстрованих доменів завантажується у ваш браузер і перевіряється локально. Лише коли домен водночас виглядає підозріло й може бути новим, RansomLeak дізнається дату його реєстрації через публічну службу реєстрів (RDAP, через rdap.org і реєстр домену). Надсилається тільки назва домену, без жодних відомостей про вас чи вашу компанію. Результат зберігається лише для вас і не передається іншим людям.
• Екрани згоди читаються лише для попереджень. На екранах Google і Slack, де застосунок просить доступу (а також на сторінці авторизації Microsoft, коли Microsoft показує згоду там), розширення читає назву застосунку, чи перевірено видавця та які дозволи запитано, щоб попередити вас про ризиковані. Те, що ви вводите, воно не читає. Коли показано попередження про згоду, а також якщо ви вибрали Усе одно продовжити, звіт містить лише постачальника (Microsoft, Google або Slack), домен сторінки згоди та ваш вибір. Назви застосунків, відомості про видавців і списки дозволів залишаються у вашому браузері й ніколи не надсилаються.
• Інструменти ШІ лише підраховуються, а не відстежуються. Коли ви відкриваєте відомий інструмент ШІ (як-от ChatGPT, Claude чи Gemini), розширення додає одиницю до лічильника цього інструмента за день (UTC). Воно надсилає тільки щоденну кількість для кожного інструмента й оновлює лічильник поточного дня приблизно кожні 30 хвилин. Ніколи — адресу, те, що ви вводите чи вставляєте, або вміст сторінки. За замовчуванням ці лічильники зберігаються без вашого імені чи ідентифікатора користувача: лише із закодованим ідентифікатором пристрою, за яким RansomLeak рахує, скільки пристроїв користувалися інструментом. З вашим ідентифікатором користувача вони зберігаються, лише якщо адміністратор увімкне персональну атрибуцію, і лише з наступного дня після ввімкнення; раніші лічильники залишаються анонімними. Спливне вікно показує, чи ввімкнено атрибуцію, і якщо так, ви бачите там і свій список інструментів. Адміністратор також може вимкнути підрахунок.
• Додатковий захист необов’язковий. Якщо ви ввімкнете в розширенні додатковий захист (воно попросить у браузера ще один дозвіл), розширення зможе попереджати, коли ви завантажуєте файл ризикованого типу з позначеного сайту. Попередження про завантаження надсилає лише домен сайту й категорію файлу (як-от програма, скрипт чи файл Office з макросами), але ніколи не назву файлу чи його вміст.
• Вставлення в інструменти ШІ перевіряються у вашому браузері. Лише якщо адміністратор увімкнув цю перевірку, а ви ввімкнули додатковий захист: коли ви вставляєте текст в інструмент ШІ (один із тих, що підраховуються вище), розширення на вашому пристрої перевіряє, чи схожий він на пароль, API-ключ або токен, номер платіжної картки, список адрес пошти чи дуже великий фрагмент тексту. Вставлений текст ніколи не зберігається, не записується в журнал і не надсилається. Якщо ви виберете Усе одно вставити, розширення вставить той самий текст замість вас і одразу його забуде. Звіт містить лише домен інструмента ШІ, тип даних (пароль або ключ, номер картки, адреси пошти чи великий фрагмент) і вашу дію (не вставили, все одно вставили або вставлення заблоковано) — не частіше ніж раз на день для кожного поєднання інструмента, типу даних і дії.
• Повідомлення про сайт містить лише сайт. Коли ви повідомляєте про підозрілий сайт, звіт містить тільки ім’я хоста сайту й примітку, якщо ви її додали.
• Короткі уроки лише фіксують, що ви їх пройшли. Коли ви завершуєте урок Чому це небезпечно, у звіті є лише тип уроку й домен сайту. Він надсилається не частіше одного разу на день для кожного типу уроку й сайту. Ваші відповіді ніколи не надсилаються, а урок не змінює ваш рейтинг ризику. Адміністратори бачать це на вкладці Активність, а ви — у розділі Що ми про вас знаємо.
• Ваше призначене навчання завантажується, а не надсилається. Щоб показати список Завдання і число на значку розширення, розширення запитує в RansomLeak назви, терміни й посилання ваших власних відкритих кампаній і навчальних шляхів, приблизно раз на 30 хвилин і коли ви відкриваєте спливне вікно. Нічого нового про вас для цього не надсилається. Список зберігається у вашому браузері й видаляється, коли браузер виходить з облікового запису.
• Нагадування необов’язкові. Якщо адміністратор це дозволив і ви вибрали Увімкнути нагадування, розширення просить у браузера дозвіл показувати сповіщення. Нагадування створюються у вашому браузері з того самого списку. Коли нагадування показується чи вибирається, нічого не надсилається.
• Ви можете переглянути все. Розділ Що ми про вас знаємо у спливному вікні показує всі сигнали браузера та ідентичності, записані про вас розширенням і під’єднаними сервісами ідентичності, — саме так, як їх бачать адміністратори. Якщо налаштування вашої організації приховують сигнал від адміністраторів, він прихований і від вас.

Інтеграції ідентичності та браузера

Якщо адміністратор під’єднав Microsoft або Google (див. Сигнали браузера та ідентичності), RansomLeak також щогодини читає з них події безпеки. До цих записів застосовується те саме правило, що й до подій розширення:

• Зберігається: тип події, час, лише домен (ніколи не повна адреса) для повторного використання пароля й небезпечних сайтів, назва застосунку та назви наданих йому дозволів, ідентифікатор і назва розширення, версія браузера.
• Ніколи не зберігається: повні вебадреси, шляхи чи пошукові запити, IP-адреси, назви пристроїв.
• Люди, які не є користувачами: події для адрес пошти, що не відповідають жодному користувачу організації, відкидаються. Підраховується лише кількість відкинутих.
• Дані підключення. Для Google ми також зберігаємо адресу пошти адміністратора, який його під’єднав, і домен вашого клієнта Google — їх показано на картці. Токен доступу Google (токен оновлення) зберігається в зашифрованому вигляді й видаляється, коли ви від’єднуєте Google.
• Ви можете їх переглянути. Вони з’являються в розділі What we know about you, як і будь-який інший сигнал.

Чого розширення не робить

• Не збирає історію переглядів. Сайти, що не порушили правило, не повідомляються (інструменти ШІ лише підраховуються за день, як описано вище).
• Не читає вміст сторінок.
• Не читає паролі, поля форм чи будь-що, що ви вводите.
• Не читає буфер обміну. Розширення ніколи не звертається до буфера обміну самостійно. Необов’язкова перевірка вставлень в інструменти ШІ бачить лише текст, який ви вставляєте в інструмент ШІ, у момент вставлення, і ніколи його не надсилає.
• Не збирає назви чи вміст файлів. З додатковим захистом ризиковане завантаження надсилає лише категорію файлу.
• Не блокує за замовчуванням. Одразу після встановлення розширення попереджає й записує. Блокування адміністратор може ввімкнути окремо для кожного детектора.

Де зберігаються дані

• Регіон. Події залишаються в регіоні, де розміщена ваша організація. Організації в ЄС обслуговуються з європейської інфраструктури.
• Строк зберігання. Події браузера зберігаються стільки ж, скільки інші сигнали ризику в RansomLeak, а потім видаляються.
• Де вони враховуються. Події браузера зберігаються для кожної організації. Вони впливають на оцінку людського ризику лише там, де оцінка вже використовується.
• Дані про вік доменів. Список нових доменів складається з публічних джерел, які не отримують жодних даних клієнтів.
• Списки довірених сайтів. Розширення також завантажує публічний список популярних вебсайтів і списки доменів, які Microsoft і Google публікують для власних сервісів. RansomLeak отримує їх безпосередньо від видавців, не надсилаючи їм жодних даних клієнтів.
• Сайти, позначені як небезпечні. Розширення щодня завантажує список сайтів, про які дослідники безпеки повідомили як про фішингові чи шкідливі (з публічних дослідницьких стрічок OpenPhish і URLhaus). Перевірка сайту за цим списком відбувається на пристрої, а стрічки не отримують жодних даних клієнтів.

Вихідний код

Вихідний код розширення опубліковано на github.com/ransomleak/ransomleak-browser-extension, тож ви можете перевірити, що саме воно робить і що надсилає. Ваша команда безпеки може прочитати код і зібрати його самостійно.

Код доступний за ліцензією Business Source License 1.1: його можна переглядати, перевіряти, збирати й тестувати, зокрема у вашій організації, але не можна використовувати для створення конкурентного продукту. Кожна версія переходить під ліцензію Apache-2.0 через чотири роки після випуску. Про вразливості повідомляйте приватно на support@ransomleak.com.

Пов’язані статті

• Огляд розширення для браузера
• Розгортання розширення (з повним списком дозволів)