Bezpečnostní analytici upozornili na škodlivé rozšíření pro Firefox, které se vydává za nástroj pro otevírání chráněných dokumentů PDF. Doplněk může zneužít už aktivní přihlášení v prohlížeči a získat přístup k účtu Google. Rozšíření se ve Firefox Add-ons Store objevilo 3. září 2026. Na škodlivé chování přešlo ve verzi 1.4 o osm dní později, tedy 11. září. Riziko se týká hlavně uživatelů, kteří v prohlížeči současně používají některou ze služeb Googlu.
Podle Cyber Security News, které popsalo zjištění analytiků ze Socket.dev, má doplněk malou uživatelskou základnu, takže jeho dosah je zatím omezený. Samotný způsob útoku je ale navržen tak, aby obešel běžnou kontrolu při zveřejnění v katalogu rozšíření. Doplněk totiž při instalaci neobsahuje všechny instrukce potřebné k útoku. Ty si stáhne až později z externí stránky, což může ztížit automatické skenování i dodatečné posuzování jeho chování. Bezpečnostní problém proto nespočívá jen v názvu nebo popisu doplňku.
Rozšíření cílí především na uživatele mluvící portugalsky a španělsky. Jako záminku používá ověření identity prostřednictvím dokumentu PDF, což má vysvětlit požadovaná oprávnění. Doplněk žádá přístup k úložišti, síťovým požadavkům a stránkám Googlu. Současně zasahuje do ověřování pomocí přístupových klíčů v prohlížeči Firefox. Jednotlivá oprávnění mohou u podobného nástroje působit přijatelně, jejich kombinace ale podle popsané analýzy umožňuje sledovat komunikaci mezi uživatelem a službami Google.
Přibližně pět sekund po instalaci doplněk automaticky otevře stránku kontrolovanou útočníkem. Ta napodobuje službu hostovanou u Googlu a pomocí skriptu odešle nastavení do nově nainstalovaného rozšíření. Komunikace probíhá přes takzvaný most zpráv, díky němuž doplněk uloží přijaté instrukce a začne sledovat provoz související s Googlem. Útočná stránka zároveň využívá skutečné přihlašovací rozhraní Googlu. Jeho prostřednictvím dokáže zjistit, který účet je v prohlížeči právě aktivní.
Dalším cílem je relace, tedy stav přihlášení, který umožňuje používat účet bez opakovaného zadávání hesla. Rozšíření podle analýzy sleduje odpovědi Googlu a hledá v nich hodnotu související s aktivní relací. Nalezená data může následně odeslat útočníkovi společně s informacemi o účtu. V některých situacích může doplněk také potichu změnit heslo. Úspěšný útok by tak mohl pokračovat i v případě, že uživatel nevidí běžnou přihlašovací obrazovku nebo žádné zjevné varování.
Bezpečnostní výzkumníci proto upozorňují, že samotné odinstalování doplňku nemusí automaticky ukončit dříve získaný přístup. Uživatelé, kteří si nástroj nainstalovali, by měli zkontrolovat zabezpečení svého účtu Google a projít přehled aktivních relací. Důležité je také ověřit nedávné změny hesla, nastavení přístupových klíčů a další neobvyklé aktivity. Pokud existuje podezření na zneužití, je nutné změnit přihlašovací údaje a odebrat neznámé relace. Samotná přítomnost doplňku v oficiálním katalogu proto nemůže být zárukou bezpečnosti.
Případ ukazuje na změnu v chování škodlivých rozšíření, která nemusí být nebezpečná už v okamžiku kontroly v obchodě. Podezřelý doplněk může začít jednat až po instalaci a potřebné instrukce získat z internetu. Pro uživatele to znamená, že při instalaci nestačí hodnotit pouze název, počet stažení nebo účel uvedený v popisu. Pozornost si zaslouží také vydavatel, požadovaná oprávnění a nečekané stránky otevřené bezprostředně po instalaci. Socket.dev nyní případ spojuje s rizikem převzetí účtů Google, zatímco Firefox doplněk odstraňuje ze svého katalogu.
