Мне понадобился американский IP, чтобы оплатить ChatGPT. Сервера в США под рукой не было, поэтому я пошёл простым путём: открыл магазин расширений Chrome, ввёл «VPN» и установил одно из первых бесплатных расширений.
Красивый зелёный значок, обещания безопасности — всё как положено.
VPN заработал. Страница оплаты открылась. Я ввёл данные карты и успешно оплатил подписку.
А через некоторое время с карты начали списывать деньги.
В итоге сняли всё, что на ней было. К счастью, сумма небольшая, но карту пришлось заблокировать и отправить на перевыпуск. Её реквизиты уже засвечены, пользоваться ей нельзя.
Что произошло
Доказать, что данные украло именно это расширение, я не могу. Для этого нужно полноценное расследование.
Но совпадение слишком красивое: установил неизвестный бесплатный VPN, ввёл данные карты — вскоре получил посторонние списания.
До этого никаких подозрительных операций по карте не было.
Чем опасны бесплатные VPN-расширения
VPN пропускает через себя ваш трафик, а браузерное расширение может получить доступ к содержимому открываемых страниц.
В зависимости от выданных разрешений оно потенциально способно:
- видеть посещаемые сайты;
- читать и изменять содержимое страниц;
- отслеживать ввод данных;
- красть cookie и токены авторизации;
- подменять формы оплаты;
- собирать логины, пароли и реквизиты карт.
Наличие расширения в официальном магазине Chrome ещё ничего не гарантирует. Красивый значок, тысячи установок и отзывы тоже не являются сертификатом безопасности.
[Скриншот результатов поиска VPN в Chrome Web Store]
Что пришлось сделать
После обнаружения списаний я:
- заблокировал карту;
- удалил VPN-расширение;
- заказал перевыпуск карты;
- проверил остальные расширения;
- сменил важные пароли;
- завершил активные сессии в аккаунтах.
Если вы вводили через подозрительный VPN данные карты, одной сменой пароля не обойтись. Карту лучше сразу заблокировать. Деньги, может быть, ещё не списали — но это не значит, что её данные не украдены.
Не повторяйте мою ошибку
Не используйте первое попавшееся бесплатное VPN-расширение для оплаты, входа в почту, интернет-банк или рабочие сервисы.
Если нужен VPN для важных операций, используйте собственный сервер или проверенный платный сервис. Для оплаты лучше завести отдельную виртуальную карту и держать на ней только нужную сумму.
Я хотел сэкономить десять минут. В результате потерял деньги, заблокировал карту и теперь жду новую.
Бесплатный VPN оказался не таким уж бесплатным.