Chrome-extensies stelen ChatGPT-gesprekken bij meer dan 20.000 organisaties
Het gaat om de extensies ‘Chat GPT for Chrome with GPT-5, Claude Sonnet & DeepSeek AI’ en ‘AI Sidebar with Deepseek, ChatGPT, Claude and more’. Samen zijn ze al meer dan 900.000 keer gedownload, laat Microsoft weten in een analyse.
Extensies verzamelen volledige chats
De extensies vragen gebruikers bij installatie toestemming om zogezegd “anonieme, niet-identificeerbare analyticsdata” te verzamelen. In werkelijkheid wordt echter veel meer informatie doorgestuurd. Zo blijken volledige gesprekken met ChatGPT en DeepSeek te worden opgeslagen en verzonden. Opvallend is dat één van de extensies zelfs de ‘Featured’-badge van Google had gekregen. Die badge wordt normaal toegekend aan extensies die volgens Google voldoen aan technische best practices en een hoge standaard halen op vlak van gebruikservaring en ontwerp.
Naast chatgesprekken kunnen de extensies nog andere informatie verzamelen. Denk aan volledige URL’s die een gebruiker bezoekt, zoekopdrachten, URL-parameters waarin gevoelige gegevens kunnen zitten en zelfs interne bedrijfs-URL’s.
Beveiligingsbedrijf OX Security waarschuwde begin dit jaar al voor de twee extensies. Nu komt ook Microsoft met een waarschuwing. Op basis van detecties door Microsoft Defender stelt het bedrijf dat de extensies in meer dan 20.000 zakelijke omgevingen actief zijn. Dat zijn net omgevingen waar werknemers vaak met AI-tools werken en regelmatig gevoelige informatie invoeren. Microsoft verduidelijkt niet precies welke gegevens als “gevoelige invoer” worden beschouwd, maar in de praktijk kan het bijvoorbeeld gaan om bedrijfsinformatie, interne documenten of klantgegevens die gebruikers in AI-chatbots plakken.
Bedrijven krijgen beveiligingsadvies
Microsoft raadt organisaties aan om na te gaan of systemen binnen hun netwerk data naar de domeinen van de extensies hebben verstuurd. Daarbij is het belangrijk om ook te controleren welke informatie precies is gedeeld.
Daarnaast adviseert het bedrijf om duidelijke regels op te stellen rond het gebruik van AI-tools binnen de organisatie. Gebruikers moeten beter worden geïnformeerd over de risico’s van niet-geverifieerde browserextensies, en onbekende extensies op bedrijfsapparaten worden best zo snel mogelijk verwijderd.
