Extensões de navegador empresariais são a superfície de ataque que ninguém gerencia
A maioria dos programas de segurança corporativa consegue dizer exatamente quais laptops estão inscritos no gerenciamento de dispositivos, quais aplicativos SaaS têm login único, e quais portas USB estão bloqueadas. Pergunte à mesma equipe de segurança quantas extensões de navegador estão instaladas em toda a empresa, e o que cada uma pode ler, e a resposta geralmente é um dar de ombros. Essa lacuna é agora uma das maiores superfícies de ataque não gerenciadas em um escritório típico.
O Relatório de Segurança de Extensões de Navegador Corporativo 2026 da LayerX descobriu que 99% dos usuários corporativos têm ao menos uma extensão instalada, e aproximadamente um quarto tem mais de dez. As extensões operam com permissões amplas por design — ler conteúdo de página, interceptar requisições de rede, injetar scripts — porque é isso que torna útil um gerenciador de senhas ou um corretor gramatical. Essas mesmas permissões tornam uma extensão comprometida ou maliciosa quase tão poderosa quanto um malware que já está dentro da sua rede.
Um exemplo concreto de como isso acontece
Em abril de 2026, pesquisadores da Socket identificaram um cluster coordenado de 108 extensões maliciosas do Chrome compartilhando infraestrutura de comando e controle, instaladas coletivamente cerca de 20.000 vezes através da Chrome Web Store oficial. Dessas, 54 coletavam dados de identidade de contas Google por meio de abuso de fluxos OAuth, e 45 continham funcionalidade de backdoor. O que tornou o cluster difícil de detectar não foi um exploit exótico — foi o uso pelas extensões de capacidades totalmente legítimas do Chrome: permissões de host, scripts de conteúdo, e a API declarativeNetRequest destinada a bloqueadores de anúncios e ferramentas de privacidade.
Por que a escala do problema é contestada
Os próprios dados do Google dizem que menos de 1% das instalações da Chrome Web Store em 2024 envolveram malware — um número que a empresa usa para defender que seu processo de revisão funciona. Pesquisadores acadêmicos de Stanford e CISPA, estudando o mesmo ecossistema de fora, estimaram que 280 milhões de pessoas instalaram uma extensão do Chrome infectada com malware durante um período de três anos. Ambos os números podem ser verdadeiros simultaneamente.
Extensões de IA são um risco novo e de crescimento mais rápido
A novidade mais recente são as extensões de navegador com IA — resumidores, assistentes de escrita, e ferramentas do tipo agente que leem o conteúdo da página para alimentar um modelo. O relatório da LayerX descobriu que essas extensões têm 60% mais chance de ter um CVE conhecido do que a população geral de extensões. A razão é estrutural: uma extensão de IA normalmente precisa de acesso de leitura mais amplo ao conteúdo da página do que uma extensão utilitária tradicional.
Como é a governança real de extensões
As organizações que lidam bem com isso não tentam banir extensões completamente. Em vez disso, o conjunto de controles práticos é assim: manter uma lista de permissões aplicada através do gerenciamento de navegador corporativo; exigir que qualquer extensão que solicite acesso a todos os sites passe por uma etapa de aprovação específica; monitorar extensões que alteram suas permissões solicitadas após a instalação; e tratar extensões de IA como uma categoria de revisão distinta com restrições padrão mais rígidas.
Nada disso requer ferramentas exóticas. A lacuna é organizacional, não técnica: a maioria das equipes de TI construiu uma governança madura de dispositivos e SaaS anos atrás e nunca estendeu a mesma disciplina ao que cada funcionário usa dezenas de vezes por dia.