كشفت حملة برمجيات خبيثة جديدة عن اختراق خصوصية أكثر من 900,000 مستخدم لمتصفح كروم، وذلك من خلال تسريب محادثاتهم مع «تشات جي بي تي» و«ديب سيك» خلسة عبر إضافتين خبيثتين في المتصفح.
محتويات المقالة:
- مقدمة: اكتشاف التهديد الأمني
- الإضافات المتورطة في الهجوم
- كيفية عمل البرمجيات الخبيثة
- آلية سرقة البيانات وإرسالها
- انتحال صفة إضافات شرعية
- موقف جوجل وشارة التميز
- الخاتمة والتوصيات
مقدمة: اكتشاف التهديد الأمني
اكتشفت شركة «أو إكس سكيورتي» هذه البرمجيات الخبيثة التي تحاكي مكوناً إضافياً شرعياً لمساعد الذكاء الاصطناعي لتجنب إثارة الشكوك، بل إن إحدى الإضافات كانت معتمدة من قبل جوجل كإضافة «مميزة» في متجر كروم الإلكتروني. تم الكشف عن الحملة بواسطة فريق أبحاث الشركة خلال تحليل روتيني للتهديدات، مما يسلط الضوء على المخاطر المتزايدة التي تهدد بيانات المستخدمين في عصر الذكاء الاصطناعي.
الإضافات المتورطة في الهجوم
كشف التحقيق أن الإضافات الخبيثة انتحلت صفة إضافة «آيتوبيا» الشرعية، والتي تضيف شريطاً جانبياً للتفاعل مع نماذج اللغة الكبيرة الشهيرة. وبدلاً من مجرد تكرار هذه الوظيفة، قامت النسخ المستنسخة بحصاد بيانات الدردشة الحساسة ونشاط التصفح سراً. الإضافتان الخبيثتان اللتان تم الكشف عنهما في هذه الحملة هما:
- «Chat GPT for Chrome with GPT-5, Claude Sonnet & DeepSeek AI» – ولديها 600 ألف عملية تثبيت.
- «AI Sidebar with Deepseek, ChatGPT, Claude, and more» – ولديها 300 ألف عملية تثبيت.
كيفية عمل البرمجيات الخبيثة
تتخفى هذه الإضافات كأدوات دردشة محسنة لنماذج اللغة الكبيرة ولكنها تقوم بهدوء بسحب المحادثات الكاملة، وعناوين الروابط التي يتصفحها المستخدم، ورموز الجلسات، وحتى معلومات الشركة الداخلية. وتتلاعب الإضافات بنظام الأذونات في كروم من خلال طلب الوصول تحت ستار جمع «تحليلات مجهولة المصدر وغير قابلة للتحديد»، والتي يسيئون استخدامها بعد ذلك للمراقبة واسعة النطاق.
بمجرد التثبيت، تقوم البرمجية الخبيثة بتعيين معرف مستخدم فريد وتبدأ في مراقبة علامات تبويب المتصفح. إذا قام المستخدم بزيارة «تشات جي بي تي» أو «ديب سيك»، تقوم البرمجية بكشط محتوى الدردشة مباشرة من هيكل الصفحة.
آلية سرقة البيانات وإرسالها
بالإضافة إلى المحادثات، تحصد الإضافات جميع عناوين الروابط النشطة في علامات التبويب، مما يكشف عن عادات تصفح المستخدمين، وكلمات البحث المفتاحية، ومعايير الاستعلام التي قد تكون حساسة. يتم تشفير هذه البيانات وإرسالها إلى خوادم القيادة والتحكم كل 30 دقيقة.
انتحال صفة إضافات شرعية
قام المهاجمون باستنساخ واجهة مستخدم «آيتوبيا» وسلوكها، مقدمين تجربة مستخدم متطابقة تقريباً. وتفصح إضافة «آيتوبيا» الشرعية في سياسة الخصوصية الخاصة بها أنها تخزن محادثات المستخدم على خوادمها المستضافة في منطقة أمازون الأمريكية، لكنها لا تقوم بتسريب محتوى المتصفح أو بيانات أخرى غير ذات صلة. أما المنتحلون فقد ذهبوا إلى حد الإشارة إلى «آيتوبيا» في سياسات الخصوصية الخاصة بهم، مما أدى إلى إرباك المستخدمين الباحثين عن الشرعية.
موقف جوجل وشارة التميز
أبلغت شركة «أو إكس سكيورتي» جوجل بالمشكلة في 29 ديسمبر 2025. واعتباراً من 30 ديسمبر، ظلت كلتا الإضافتين متاحتين للجمهور في متجر كروم الإلكتروني، ولا يزال البديل الأكثر شعبية يحمل شارة «مميز» من جوجل، وهي تسمية تهدف إلى الإشارة إلى الامتثال لأفضل الممارسات. هذا الحادث يتبع اكتشافاً مماثلاً في وقت سابق من هذا الشهر، حيث كشفت «كوي سكيورتي» أن العديد من إضافات «الشبكات الافتراضية الخاصة المجانية» كانت تلتقط محادثات الذكاء الاصطناعي منذ يوليو 2025.
الخاتمة والتوصيات
في كلتا الحالتين، تدور استراتيجية الهجوم الأساسية حول إساءة استخدام أذونات إضافات المتصفح الموثوقة وحصاد تفاعلات الذكاء الاصطناعي بصمت، وهي فئة حساسة بشكل متزايد من البيانات في سياقات المستهلكين والمؤسسات. يُنصح المستخدمون بالتحقق الدقيق من الإضافات التي يقومون بتثبيتها، ومراجعة الأذونات الممنوحة لها، وإزالتها فوراً إذا كانت من المصادر المذكورة أعلاه.
أسئلة شائعة
السؤال: كيف أعرف إذا كنت مصاباً بهذه الإضافة الخبيثة؟
الإجابة: تحقق من قائمة الإضافات في متصفح كروم لديك. إذا وجدت إضافات بالأسماء المذكورة (مثل Chat GPT for Chrome with GPT-5)، فقم بإزالتها فوراً.
السؤال: ماذا تفعل هذه الإضافات ببياناتي؟
الإجابة: تقوم بنسخ محادثاتك مع بوتات الذكاء الاصطناعي وسجل تصفحك وترسلها إلى خوادم المهاجمين، مما يعرض خصوصيتك ومعلوماتك الحساسة للخطر.
السؤال: هل إشارة “مميز” من جوجل تعني أن الإضافة آمنة تماماً؟
الإجابة: للأسف، أثبت هذا الحادث أن شارة “مميز” لا تضمن الأمان بنسبة 100%، حيث تمكنت هذه البرمجيات الخبيثة من خداع عمليات المراجعة والحصول على الشارة.
