Adobe Flash

Очень популярная в свое время технология Adobe Flash, применявшаяся для внедрения в сайты анимированной рекламы, игр и мультфильмов, не теряет популярности и по сей день, но уже только среди взломщиков. Это одна из самых уязвимых технологий представления контента, поэтому ее никогда не поддерживали iOS-устройства компании Apple. На смену Adobe Flash пришли более современные и безопасные, хотя и не лишенные недостатков, инструменты HTML5. В 2021 г. поддержка технологии Adobe Flash была прекращена[682] в связи с обнаружением многочисленных критических уязвимостей Flash, позволяющих выполнять вредоносный код на устройствах пользователей[683]. Кроме того, под видом инсталляторов Flash часто распространяются вредоносные приложения, в том числе и в операционной системе macOS[684].

КЕЙС В 2018 г. в продаже в интернете появилась база данных с личными сообщениями пользователей социальной сети Facebook. Приватная информация из более чем 81 000 аккаунтов пользователей, преимущественно из России и Украины, была похищена с помощью вредоносного расширения для браузера. Вредоносные браузерные дополнения способны делать скриншоты и регистрировать нажатия клавиш, а затем пересылать полученные данные на удаленные серверы. В этом случае не важно, защищена ли переписка сквозным шифрованием, так как кража данных происходит до ее шифрования[685].

КЕЙС В 2019 г. разработанный компанией Nacho Analytics аналитический сервис, действующий через различные расширения для браузеров Chrome и Firefox, позволял собирать данные более чем 4 млн сотрудников и клиентов (пользователей ПО) различных компаний, в том числе Apple, Facebook, Microsoft, Amazon, Skype, Zoom, Tesla Motors и Symantec. Клиенты компании Nacho Analytics могли вести в общем трафике поиск по разным параметрам. Например, они могли искать: GPS-координаты пользователей, налоговые декларации, деловые документы, слайды корпоративных презентаций, изображения с видеокамер Nest, VIN-номера недавно купленных автомобилей, имена и адреса их владельцев, вложения в сообщениях Facebook Messenger и фотографии Facebook (в том числе и в личной переписке); данные банковских карт и сведения о маршрутах путешествий. Некоторые расширения оповещали пользователя о сборе данных и собирали их только с его согласия, а другие делали это скрытно. Кроме того, для дополнительной маскировки некоторые расширения начинали пересылать собранные данные не сразу, а спустя 24 дня после установки. За $49 в месяц сервис позволял следить за действиями сотрудников или пользователей конкретной компании или сайта, например Apple, Facebook, Microsoft, Amazon, Tesla Motors или Symantec[687].

КЕЙС В августе 2019 г. российский программист Леонид Евдокимов на IT-конференции Chaos Constructions сообщил, что в открытом доступе в интернете оказались адреса электронной почты, мобильные телефоны, логины и в некоторых случаях GPS-координаты жителей России. В процессе дальнейшего анализа было обнаружено, что эти данные в числе прочих собирались оборудованием, предназначенным для анализа трафика, и размещались на FTP-серверах[691]. Впоследствии эти уязвимости были закрыты.