Ugrás a fő tartalomhoz

🧩 Hogyan lophatnak adatot egyetlen rossz bővítménnyel?

Tegyük fel, hogy valaki a csapatodból telepít egy új bővítményt a rendszerbe.
A plugin működik. Nincs hiba. Minden rendben.

…egészen addig, amíg el nem kezditek észrevenni, hogy valaki figyeli a rendszereteket.

Egyetlen bővítmény is elég lehet ahhoz, hogy minden adatot ellopjanak.

💥 Mi a gond a bővítményekkel?​

A legtöbb modern rendszer (pl. WordPress, böngészők, CRM-ek, fejlesztői eszközök) lehetőséget ad bővítmények telepítésére.

Ez jó – de kockázatot is rejt.

Egy bővítmény képes lehet:

  • hozzáférni a fájlokhoz, adatbázishoz, API-khoz
  • módosítani megjelenítést, naplózni billentyűleütést
  • továbbítani adatot egy külső szerverre

👀 Hogyan használják ki a támadók?​

1. 🕵️‍♂️ Megvásárolnak egy népszerű plugint​

Több támadó cég felvásárolt már ismert bővítményeket, majd a következő frissítésben:

  • hátsó kaput telepítettek
  • rejtett adatgyűjtőt építettek bele
  • reklámkattintásokat generáltak, vagy épp jelszavakat küldtek el

2. ⚠️ Kiadnak egy hamis klónt​

„Népszerű bővítmény” – hasonló névvel, logóval, leírással.
De nem az igazi, hanem egy fertőzött változat, amit a felhasználók jóhiszeműen telepítenek.

3. 💻 Belépési pont rosszul írt kódon keresztül​

Nem minden támadó ír új plugint. Elég egy rosszul megírt, de legálisan letölthető bővítmény, ami:

  • sebezhető SQL injectionre
  • nem ellenőrzi a bemeneteket
  • engedi, hogy fájlokat töltsenek fel

Ez már belépési lehetőség a támadónak.

📉 Valós következmények​

  • Webshop adatbázis szivárgása
  • Jelszavak ellopása
  • Kártevők továbbterjesztése az oldalon keresztül
  • SEO spam (pl. rejtett linkek, átirányítások)
  • GDPR bírság adatvédelmi incidens miatt

🛡️ Hogyan védekezz?​

✅ Csak megbízható forrásból telepíts​

  • Hivatalos plugin áruház (pl. WordPress.org)
  • Nézd meg: mikor frissítették utoljára, hány értékelése van, kik a fejlesztők

✅ Ne használj olyan bővítményt, amit nem értesz​

Ha nem tudod, mit csinál a háttérben, ne engedd fel a rendszerre.

✅ Rendszeres auditálás​

  • Milyen pluginek vannak fent?
  • Melyiket használjátok valóban?
  • Van olyan, ami rég nem frissült?

Amit nem használsz: töröld.

✅ Korlátozd a telepítési jogokat​

Ne telepíthessen bővítményt akárki – csak az, aki ért hozzá és vállalja a felelősséget.

🧠 Összefoglalva​

  • A támadók nem mindig törnek be – néha csak megkérnek, hogy engedd be őket.
  • Egy rossz bővítmény = nyitott kapu
  • A biztonság nem ott kezdődik, hogy „megjavítjuk, ha baj van” – hanem ott, hogy mit engedünk be egyáltalán.

A kérdés nem az, hogy van-e bővítményed.
A kérdés az, hogy megbízhatsz-e benne.

➡️ Következő ajánlott cikk: Milyen IT-szerződéseket NEM ír alá egy hacker?