گزارش امنیت مرورگر ۲۰۲۵ تصویری دقیق و دادهمحور از واقعیتی ارائه میدهد که در آن مرورگر به مهمترین و در عین حال آسیبپذیرترین نقطه امنیتی سازمانها تبدیل شده است. این گزارش با تحلیل میلیونها نشست واقعی، نشان میدهد ابزارهای سنتی در کجا ناکارآمدند و حملات مدرن از کجا آغاز میشوند.
به گزارش افتانا، طبق گزارش امنیت مرورگر ۲۰۲۵، کارشناسان امنیتی دریافتهاند که امروزه بیشترِ تهدیدهای مرتبط با هویت دیجیتال، سرویسهای SaaS و ابزارهای هوش مصنوعی، همگی در یک نقطه به هم میرسند: مرورگر کاربر. با این حال، ابزارهای سنتی مانند DLP، EDR و SSE هنوز در لایهای پایینتر از محل وقوع واقعی خطر عمل میکنند. در واقع، ما با یک نقطه کور ساده روبهرو نیستیم؛ بلکه با سطح جدیدی از تهدید مواجهیم: افزونههای بینظارت که مانند زنجیره تأمین آلوده رفتار میکنند، ابزارهای GenAI که از طریق حسابهای شخصی مورد استفاده قرار میگیرند، دادههایی که مستقیماً در کادرهای هوش مصنوعی کپی میشوند و نشستهایی که بدون SSO اجرا میشوند.
افزایش استفاده از GenAI در محیطهای کاری، شکاف بزرگی در مدیریت دادهها ایجاد کرده است. تقریباً نیمی از کارکنان از ابزارهای هوش مصنوعی مولد استفاده میکنند، اما بیشترشان این کار را با حسابهای شخصی و خارج از دید بخش IT انجام میدهند. ۷۷٪ از کارکنان دادههایی را در کادر گفتوگوی هوش مصنوعی جایگذاری میکنند. ۸۲٪ از این موارد از طریق حسابهای شخصی است. ۴۰٪ از فایلهای آپلودشده شامل دادههای حساس هستند. GenAI عامل ۳۲٪ از انتقال دادهها از حسابهای سازمانی به شخصی است.
ابزارهای سنتی DLP برای این نوع ریسک طراحی نشدهاند. مرورگر حالا به مسیر اصلی خروج داده از طریق کپی/پیست تبدیل شده است؛ بدون هیچ نظارتی یا سیاست مشخصی.
نوع جدیدی از خطر در حال ظهور است: مرورگرهای هوش مصنوعی (AI Browsers) که ویژگیهای مرورگرهای معمولی را با قابلیتهای هوش مصنوعی ترکیب میکنند. مرورگرهایی مانند OpenAI Atlas، Arc Search و Perplexity Browser شیوه تعامل کاربران با وب را دگرگون کردهاند؛ آنها جستوجو، گفتوگو و مرور را در یک تجربه هوشمند ادغام میکنند. این مرورگرها مدلهای زبانی بزرگ را مستقیماً در لایه مرورگر ادغام کردهاند و میتوانند محتوای هر صفحه را در لحظه بخوانند، خلاصه و تحلیل کنند. برای کاربر، نتیجه این است که بهرهوری افزایش مییابد. اما برای سازمانها، سطحی کاملاً جدید و بدون نظارت از خطر ایجاد میشود: دستیار هوشمندی که همیشه فعال است و هر چیزی را که کاربر میبیند، بدون هیچ کنترلی از سوی سازمان بر دادههایی که به فضای ابری ارسال میشود.
خطرات این مرورگرها متعدد و جدیاند، ازجمله نشت داده از طریق حافظه نشستها و شخصیسازی خودکار، ارسال پنهانی محتوای صفحات به مدلهای خارجی و اشتراکگذاری کوکیها که مرز بین حسابهای شخصی و سازمانی را از بین میبرد. در غیاب کنترلهای سازمانی، این مرورگرها عملاً ابزارهای DLP و SSE را دور میزنند و مسیری نامرئی برای خروج داده ایجاد میکنند.
طبق این گزارش، تقریباً ۹۹٪ از کارکنان سازمانی حداقل یک افزونه مرورگر نصب کردهاند و بیش از نیمی از این افزونهها مجوزهای پرخطر دارند. بسیاری از آنها از طریق منابع ناشناس یا حسابهای Gmail منتشر شدهاند؛ بدون فرایند تأیید، بهروزرسانی یا مسئولیت مشخص.
۲۶٪ از افزونهها بهصورت sideload نصب شدهاند. ۵۴٪ توسط حسابهای Gmail منتشر شدهاند. ۵۱٪ بیش از یک سال بهروزرسانی نشدهاند و ۶٪ از افزونههای مرتبط با GenAI مخرب شناسایی شدهاند. در واقع، مسئله دیگر صرفاً بهرهوری نیست؛ بلکه تبدیل به زنجیره تأمین نرمافزاری بینظارتی شده که در هر سیستم کاربر حضور دارد.
گزارش نشان میدهد بیش از دو سوم از ورودها به سرویسها خارج از SSO انجام میشود و تقریباً نیمی از آنها از حسابهای شخصی است.
در چنین شرایطی، تیمهای امنیتی نمیدانند چه کسی به چه منبعی دسترسی دارد و از کجا. ۶۸٪ از ورودهای سازمانی بدون SSO انجام میشود. ۴۳٪ از ورودهای SaaS با حساب شخصی است. ۲۶٪ از کاربران رمزهای عبور تکراری دارند و ۸٪ از افزونهها به کوکیها یا هویت کاربران دسترسی دارند. حملاتی مانند Scattered Spider نشان دادند که امروزه توکنهای نشست مرورگر، نه رمزهای عبور، هدف اصلی مهاجمان هستند.
فرایندهای کاری که قبلاً با آپلود فایل انجام میشد، حالا به کپیپیست در مرورگر، گفتوگو با AI و افزونههای شخص ثالث تغییر یافته است.
بیشتر این فعالیتها در خود مرورگر رخ میدهد، نه در سطح اپلیکیشن. ۶۲٪ از دادههای جایگذاریشده در پیامرسانها شامل اطلاعات حساس هستند. ۸۷٪ از این موارد از طریق حسابهای غیرسازمانی انجام میشود. هر کاربر بهطور میانگین روزانه ۴ بار داده حساس را در ابزارهای غیررسمی کپی میکند. نمونههایی مانند نشت داده در Rippling و Deel نشان میدهد که منشأ حمله دیگر بدافزار یا فیشینگ نیست، بلکه چتهای مرورگرِ بدون نظارت هستند.
ابزارهای سنتی دیگر پاسخگو نیستند. EDR تنها فرایندها را میبیند، SSE ترافیک شبکه را و DLP فایلها را. اما هیچکدام نمیتوانند ببینند درون مرورگر چه اتفاقی میافتد، اینکه کدام تب SaaS باز است، چه دادهای کپی شده یا کدام افزونه کد تزریق کرده است. تیمهای امنیتی عملاً از استفاده پنهان از ابزارهای هوش مصنوعی و دادههای ورودی آنها، فعالیت یا تغییرات افزونهها، تداخل میان حسابهای شخصی و سازمانی و سرقت نشستها و کوکیها بیخبرند. برای بازپسگیری کنترل، تیمهای امنیتی باید به ابزارهایی مجهز شوند که در سطح نشست مرورگر عمل میکنند، بدون اینکه تجربه کاربر را مختل کنند. این کنترلها باید شامل نظارت بر کپی/پیست و آپلود دادهها، شناسایی ابزارهای هوش مصنوعی و افزونههای غیرمجاز، جداسازی نشستها و اجبار به SSOو اعمال سیاست DLP برای تعاملات بدون فایل باشند پلتفرمهای امنیتی مدرن میتوانند همه این قابلیتها را بدون نیاز به تغییر مرورگر کاربران فراهم کنند.
