Microsoft ha smascherato la campagna SleeperWidget: 250 estensioni travestite da utility, oltre un milione di ID bloccati. Il browser aziendale è una porta che quasi nessuno sorveglia.
Un milione di installazioni bloccate, 250 estensioni smascherate
Quante estensioni ha installato sul browser l'ultima persona entrata in azienda? Quasi nessuno lo sa, ed è esattamente il buco da cui passa la storia di oggi. Microsoft ha individuato almeno 250 estensioni malevole sparse tra Edge Add-ons, Chrome Web Store e Mozilla Add-ons, parte di una campagna che il suo team di sicurezza ha battezzato SleeperWidget.
Si travestono da cose banali: mappe, cercatori di ricette, tracker dei pacchi. E funzionano davvero, proprio per questo nessuno sospetta nulla. Il trucco sta in come arrivano. L'utente clicca su un annuncio sponsorizzato — su Bing o su Google — e viene portato alla pagina ufficiale dello store. Installazione normale, nessun sideload, nessun avviso rosso. Ma la pagina dell'annuncio ha già passato all'estensione un “biglietto” che distingue chi arriva dalla pubblicità da chi scarica per conto suo. Solo ai primi si attiva, comandata da remoto, la parte nascosta.
Cosa fanno davvero
La parte nascosta spedisce a un server l'indirizzo e il titolo di ogni pagina che apri — quindi anche le tue ricerche — insieme ai dettagli di schede e finestre. Apre schede pubblicitarie non richieste e dirotta gli acquisti su link di affiliazione dell'operatore. E accetta URL inviati dal server senza controllarli: oggi una pubblicità, domani una pagina di phishing. Dettaglio non da poco: continuano a tracciare anche se disattivi l'opzione “contenuti sponsorizzati”, perché quel pulsante ferma solo gli annunci visibili, non la raccolta dati.
C'è un particolare che dice molto. Le estensioni della stessa famiglia condividono un identificativo dell'utente, così l'attività si incrocia tra l'una e l'altra: ne disinstalli una e le altre continuano a riconoscerti. Microsoft ha iniziato a rimuovere i listini da aprile 2026 e ha messo in stato “bloccato” oltre un milione di identificativi dei client coinvolti. Ha girato gli indicatori a Google e Mozilla, anche se non è detto che quei due store abbiano già fatto pulizia.
Fonte: CyberInsider
La tua azienda è pronta ad affrontare una minaccia come questa?
Richiedi una valutazione gratuita →
Il dettaglio che in questa storia passa sempre in sordina è che l'attacco non buca niente. Niente vulnerabilità, niente exploit: una persona clicca su un annuncio e installa una cosa dallo store ufficiale, procedura standard, zero avvisi. È un canale che quasi nessuna azienda presidia. Antivirus, firewall, patch tutto in ordine, e intanto sul browser del commerciale girano sei estensioni che nessuno ha mai approvato. Quando faccio un assessment e apro la gestione estensioni sui dispositivi salta fuori di tutto: convertitori PDF, “coupon finder”, barre di ricerca arrivate chissà come, e nessuno sa chi le ha messe né cosa fanno.
La buona notizia è che non siamo disarmati: gli strumenti per decidere quali estensioni si possono installare e quali no esistono già. Edge e Chrome in configurazione aziendale permettono di impostare un'allow-list gestita centralmente, così sul browser entra solo ciò che è stato approvato e tutto il resto viene semplicemente bloccato prima ancora di partire. Il punto, secondo me, è che una policy del genere non si imposta una volta e si dimentica: vuole qualcuno che la tenga aggiornata, che controlli periodicamente cosa c'è davvero sui dispositivi e che aggiunga o tolga voci man mano. In pratica è un lavoro da servizio gestito, dove il presidio del browser diventa una delle cose di cui ci occupiamo noi e non un pensiero in più per l'azienda. Mi resta un dubbio onesto: contro una campagna costruita così, che accende la parte sporca solo a chi arriva dalla pubblicità, perfino una revisione attenta dello store può non bastare, e proprio per questo la lista di ciò che è ammesso vale più di qualunque controllo a valle. Se vuoi capire quali estensioni girano oggi sui tuoi dispositivi e chiuderle dentro una gestione controllata, scrivimi e lo guardiamo insieme.