Durante mais de sete anos , uma operação de cibercrime em larga escala conseguiu infiltrar-se nos principais navegadores da internet, incluindo o Google Chrome e o Microsoft Edge, através de extensões aparentemente inofensivas. O alcance do ataque é tão vasto que se estima que pelo menos 8,8 milhões de utilizadores em todo o mundo possam ter sido afetados, muitos deles na Europa e em Espanha.
A investigação, liderada por especialistas em cibersegurança como a empresa Koi.ai , revelou uma rede criminosa altamente organizada, denominada DarkSpectre , que supostamente explorava a confiança em lojas de extensões oficiais para distribuir malware. O mais preocupante é que a maioria dos afetados não fazia ideia de que seus dados bancários, credenciais ou informações corporativas estavam sendo capturados em segundo plano.
Um ataque silencioso que explorou extensões do Chrome e do Edge.
Segundo dados revelados por pesquisadores, o DarkSpectre construiu uma infraestrutura complexa para publicar e manter quase 300 extensões maliciosas nas lojas oficiais do Chrome, Edge, Firefox e Opera. Muitas dessas extensões eram apresentadas como utilitários do dia a dia: de gerenciadores de abas e tradutores a bloqueadores de anúncios e ferramentas de produtividade.
O truque era oferecer inicialmente funcionalidades legítimas, ganhando assim downloads e uma boa reputação com base em avaliações e classificações positivas geradas artificialmente . Quando as extensões atingiam um número significativo de usuários, os atacantes lançavam atualizações secretas que incorporavam código malicioso sem que o usuário percebesse qualquer mudança óbvia na funcionalidade.
No caso de navegadores baseados no Chromium, como o Google Chrome e o Microsoft Edge , foi detectada uma rede de extensões do tipo cavalo de Troia, disfarçadas de ferramentas de personalização ou bloqueadores de anúncios. Em uma determinada fase do ataque, pelo menos 30 extensões particularmente populares foram identificadas como capazes de roubar credenciais bancárias, senhas de redes sociais e dados de preenchimento automático de formulários, enviando todas essas informações em tempo real para servidores controlados por cibercriminosos.
Além do roubo de dados, várias dessas extensões incluíam recursos de injeção de anúncios e redirecionamento de pesquisa . Isso permitia a exibição de anúncios intrusivos, redirecionando os usuários para sites de phishing e aumentando o potencial para fraudes, incluindo a falsificação de sites de bancos ou serviços de pagamento amplamente utilizados na Espanha e no resto da Europa.
Mais de 8,8 milhões de vítimas e três grandes campanhas coordenadas.
A dimensão do ataque se reflete nos números divulgados por serviços de inteligência e empresas de cibersegurança: estima-se que 8,8 milhões de usuários em todo o mundo tenham sido afetados pelas diversas campanhas associadas ao DarkSpectre. Para alcançar esse resultado, o grupo teria mantido três linhas de ataque distintas , conhecidas como ShadyPanda, GhostPoster e Zoom Stealer.
A campanha ShadyPanda foi a mais agressiva em termos de volume. Através de mais de 100 extensões maliciosas , destinadas principalmente a manipular o tráfego de comércio eletrônico, comprometeu os dados de aproximadamente 5,6 milhões de usuários . Uma vez ativadas, essas extensões podiam modificar links em portais de compras, redirecionar pagamentos para páginas fraudulentas ou injetar código adicional para continuar rastreando a atividade do usuário.
Especialistas apontam que essas manobras afetaram lojas online e serviços de pagamento amplamente utilizados na União Europeia, abrindo caminho para fraudes financeiras transfronteiriças e potenciais problemas de conformidade regulatória para plataformas que não detectaram a manipulação de tráfego a tempo.
A segunda grande ofensiva, denominada GhostPoster , teve como alvo principal os navegadores Firefox e Opera , que possuíam controles de segurança um pouco menos rigorosos do que o Chrome e o Edge. Nesse caso, a principal diferença residia no uso de esteganografia : os atacantes ocultavam código JavaScript malicioso em arquivos de imagem PNG, permitindo-lhes executar comandos remotos e baixar novos módulos de malware sem levantar suspeitas.
Um dos exemplos mais impressionantes foi a clonagem de uma extensão do Google Tradutor para o Opera , que à primeira vista parecia ser uma ferramenta legítima. No entanto, em segundo plano, ela instalava um backdoor usando um iframe oculto , desativava as proteções antifraude do navegador e estabelecia uma conexão com servidores previamente ligados a outras operações da DarkSpectre, criando um canal de acesso permanente ao sistema da vítima.
Zoom Stealer: O salto para a espionagem em videochamadas corporativas
A terceira fase do ataque, identificada como Zoom Stealer , deu um salto significativo ao se concentrar inteiramente no ambiente corporativo . Até o final de 2025, os pesquisadores detectaram pelo menos 18 extensões específicas direcionadas a plataformas de videoconferência como Zoom, Microsoft Teams e Google Meet, com um impacto estimado em 2,2 milhões de usuários.
Essas extensões foram promovidas como complementos ideais para o trabalho e reuniões remotas: prometiam resumir vídeos, salvar links de interesse, gerar listas de participantes e criar um resumo automático de cada sessão. Essa era uma proposta muito atraente para empresas espanholas e europeias que haviam consolidado o trabalho híbrido e remoto nos últimos anos.
Após a instalação, as ferramentas começaram a interceptar informações críticas de videochamadas: links de acesso, IDs de reuniões, senhas de convidados e, em alguns casos, conteúdo compartilhado ou metadados relacionados a apresentações e documentos discutidos durante as sessões.
Com esses dados, os atacantes obtiveram acesso a reuniões privadas, muitas delas de alto nível, e criaram repositórios de informações profissionais e de negócios com enorme valor estratégico. Segundo as fontes consultadas, comunicações internas referentes a planos de negócios, acordos de investimento, estratégias de mercado e outros assuntos altamente sensíveis à competitividade das empresas envolvidas foram comprometidas.
Em paralelo, o Zoom Stealer aproveitou as amplas permissões concedidas às extensões para realizar a exfiltração de credenciais em tempo real . Isso incluía credenciais de login corporativas, chaves de acesso a ferramentas na nuvem e perfis profissionais, que podiam então ser reutilizados em ataques direcionados, como campanhas de phishing altamente personalizadas contra funcionários de organizações europeias.
Impacto nos utilizadores e empresas na Europa e em Espanha.
O caso DarkSpectre evidenciou o quanto a cadeia de confiança em repositórios de extensões pode se tornar um ponto fraco para indivíduos e organizações. Embora o ataque tenha tido alcance global, autoridades europeias e equipes de resposta a incidentes em diversos países, incluindo a Espanha, estão monitorando de perto o impacto sobre os usuários locais.
Para usuários individuais, as consequências se traduzem em vigilância secreta de suas atividades online , potencial roubo de identidade, cobranças não autorizadas em compras online e vazamento de dados pessoais que podem acabar em fóruns clandestinos. Muitas vítimas nem sequer percebem que foram alvo, já que a maioria das extensões parece continuar funcionando normalmente.
No âmbito corporativo, o impacto é ainda mais grave. Empresas europeias que dependem fortemente de ferramentas baseadas na nuvem e videoconferência enfrentam riscos de espionagem industrial , vazamento de acordos estratégicos e exposição de informações confidenciais sobre clientes, fornecedores e parceiros. Além disso, as empresas podem ser obrigadas a relatar incidentes de segurança de acordo com regulamentações como o Regulamento Geral de Proteção de Dados (RGPD) , incorrendo em custos de reputação e possíveis penalidades.
Relatórios preliminares indicam que a rede criminosa construiu verdadeiros repositórios de dados corporativos a partir de conversas privadas, documentos compartilhados em reuniões e acesso não autorizado a intranets ou serviços internos. Essas informações são extremamente valiosas para venda em mercados negros, bem como para campanhas de extorsão ou concorrência desleal.
As autoridades europeias estão colaborando com fornecedores de tecnologia para aprimorar os sistemas de detecção em salões de extensão capilar e reforçar os controles sobre o uso de dados pessoais. No entanto, especialistas lembram que nenhum sistema automatizado é infalível e que a última linha de defesa continua sendo o usuário e seus próprios hábitos de segurança.
Como se proteger após o ataque cibernético massivo ao Chrome e ao Edge
Diante de um cenário tão prolongado e sofisticado, especialistas em cibersegurança recomendam uma série de medidas imediatas para reduzir o impacto do ataque e prevenir novas infecções, especialmente entre usuários do Chrome e do Edge na Espanha e no resto da Europa.
O primeiro passo é realizar uma auditoria completa das extensões instaladas em todos os navegadores. É recomendável revisá-las uma a uma e desinstalar quaisquer complementos que não sejam reconhecidos, não sejam usados regularmente ou não sejam de um desenvolvedor confiável. Em caso de dúvida, é melhor remover e reinstalar apenas a partir da fonte oficial do fornecedor, se absolutamente necessário.
Também é crucial garantir que seu navegador esteja atualizado para a versão mais recente . Tanto o Google quanto a Microsoft têm lançado correções para bloquear algumas das técnicas usadas pelo DarkSpectre, portanto, as versões mais recentes incluem melhorias específicas na detecção de comportamentos suspeitos e no gerenciamento de permissões de extensões.
Em relação às contas online, recomenda-se alterar as senhas de serviços críticos (e-mail, internet banking, redes sociais, ferramentas corporativas) caso suspeite ter utilizado uma extensão comprometida. Também é uma boa prática usar senhas únicas e fortes para cada serviço, idealmente com o auxílio de um gerenciador de senhas.
Além disso, especialistas enfatizam a importância de habilitar a autenticação de dois fatores (2FA) sempre que possível. Esse mecanismo adiciona uma camada extra de proteção, de modo que, mesmo que um invasor obtenha a senha, será muito mais difícil para ele acessar a conta sem o código temporário ou o segundo elemento de verificação.
Por fim, para organizações que dependem fortemente de plataformas como Zoom, Teams ou Google Meet, recomenda-se realizar revisões regulares das extensões instaladas nos navegadores corporativos, implementar políticas de segurança que limitem a instalação de complementos não autorizados e treinar os funcionários para detectar possíveis golpes, tanto em extensões quanto em e-mails ou links que possam acompanhar campanhas semelhantes.
Tudo o que foi descoberto sobre a DarkSpectre e suas campanhas ShadyPanda, GhostPoster e Zoom Stealer reflete o quanto as extensões de navegador se tornaram um alvo principal para cibercriminosos. A combinação da confiança em lojas oficiais, recursos úteis e avaliações manipuladas permitiu que eles mantivessem um ataque silencioso por anos, com um enorme impacto em usuários individuais e empresas. Isso nos obriga a repensar como instalamos e gerenciamos esses complementos em nosso dia a dia digital.
