La extensión de Chrome 'Save Image as Type', usada por millones para guardar imágenes WebP como JPG o PNG, fue eliminada por Google tras ser identificada como malware. La herramienta, que solicitaba permisos amplios para acceder a datos de navegación, contenía código malicioso. Este caso expone el riesgo de otorgar acceso sin límites a extensiones de terceros.
El riesgo del 'cookie stuffing' y los permisos excesivos 🚨
La técnica maliciosa detectada es el 'cookie stuffing', donde la extensión inyectaba cookies de afiliado sin consentimiento para generar ingresos fraudulentos. Al tener permisos para all_urls, podía leer y modificar datos en cualquier sitio visitado. Esto convierte a la extensión en una llave maestra que puede acceder a sesiones activas, formularios y información sensible en correo o banca online.
Tu conversor de imágenes ahora trabaja de afiliado 😒
Resulta que mientras tú te esforzabas en convertir ese WebP a PNG para subirlo al foro, la extensión tenía un segundo empleo no declarado. Sin que lo supieras, estaba ahí, en un segundo plano, haciendo malabares con cookies de afiliados para sacar una comisión extra. Un servicio de conversión de imágenes con un extra de marketing no solicitado. Al menos era multifunción.