🧩 Extensões de Navegador Que Já Foram Removidas Por Roubar Seus Dados

Olá, eu sou Ronaldo Cardoso! Extensão de navegador é uma das ferramentas mais úteis do dia a dia — bloqueador de anúncio, tradutor, gerenciador de senha, corretor de texto. O problema é que, junto com essa utilidade real, extensões pedem acesso a algo extremamente sensível: o conteúdo de todas as páginas que você abre, incluindo banco, e-mail e redes sociais. E, com uma frequência maior do que a maioria das pessoas imagina, esse acesso é usado para coletar e vender dados de navegação sem consentimento claro do usuário — até a Google ou a Mozilla descobrirem e remover a extensão da loja.

Neste guia eu explico, com base em casos reais e recentes de remoção, como esse tipo de coleta indevida funciona por dentro, o que significam as permissões que você aceita sem ler, como checar rapidamente o que as extensões instaladas no seu navegador têm acesso, e quais sinais de alerta indicam que está na hora de desconfiar e desinstalar.

🎯 Resposta Direta: Sim, Isso Acontece Com Frequência

Google e Mozilla removem extensões por coleta indevida de dados com uma regularidade que passa longe de ser exceção — é rotina de segurança das duas lojas. A diferença entre um caso e outro costuma ser a escala: às vezes são algumas dezenas de milhares de instalações, às vezes alguns milhões. O padrão se repete: a extensão pede (ou já tem, desde a instalação) permissão para ler o conteúdo de todos os sites visitados, e usa esse acesso para capturar histórico de navegação, identificadores do dispositivo e, em alguns casos, dados de formulário — tudo isso enviado para servidores de terceiros, geralmente sem qualquer aviso visível na interface da extensão.

🚨 O Caso Mais Recente: 4,3 Milhões de Usuários Espionados

Em dezembro de 2025, a empresa de cibersegurança Koi publicou um relatório detalhando uma campanha de extensões maliciosas que já somava 4,3 milhões de usuários afetados no Chrome e no Edge combinados. Duas das extensões identificadas — o "limpador de sistema" Clean Master (da desenvolvedora Starlab Technology, cerca de 300 mil usuários) e a extensão WeTab (cerca de 3 milhões de usuários) — capturavam, segundo o relatório, o histórico completo de URLs visitadas, cabeçalhos HTTP de referência, identificadores persistentes e informações de fingerprint do sistema, além de carimbos de data e hora usados para montar um perfil detalhado de atividade de cada pessoa ao longo do tempo. A extensão WeTab ia além: enviava em tempo real também pesquisas, cliques e cookies para servidores controlados pelo grupo responsável, apelidado pelos pesquisadores de "ShadyPanda", com infraestrutura de servidores identificada na China.

Depois da publicação do relatório, o Google confirmou a remoção das extensões identificadas da Chrome Web Store. A Microsoft declarou que removeu "todas as extensões identificadas como maliciosas" da loja do Edge — mas um detalhe importante do próprio relatório é que cinco extensões adicionais da mesma campanha ainda seguiam ativas na loja do Edge até dezembro de 2025, mesmo depois do alerta inicial. Ambas as empresas reforçaram que a extensão continua instalada e ativa no navegador de quem já a baixou, mesmo depois de removida da loja — a remoção impede novas instalações, não desinstala automaticamente quem já está com ela no computador.

📜 Outros Casos Reais de Remoção por Coleta Indevida

O caso de dezembro de 2025 chama atenção pela escala, mas está longe de ser único. Casos anteriores documentados por pesquisadores de segurança e cobertos por veículos especializados mostram o mesmo padrão se repetindo ao longo dos anos:

• Mais de 70 extensões maliciosas foram removidas da Chrome Web Store depois que pesquisadores documentaram coleta de dados de navegação e histórico de usuários vinculada a uma rede de domínios suspeitos usados como infraestrutura de comando das extensões.
• Uma campanha ligada à registradora de domínios Galcomm resultou na remoção de cerca de 100 extensões maliciosas depois que a empresa de segurança Awake Security identificou coleta massiva de dados de navegação, incluindo credenciais e capturas de tela em alguns casos.
• Extensões que abusavam do recurso de sincronização do Chrome foram flagradas usando essa função legítima do navegador como canal de exfiltração de dados coletados, driblando parte da análise automática da loja.
• No Brasil, casos de extensões maliciosas retornando à loja com nova identidade depois de removidas já foram documentados por veículos de tecnologia e por sindicatos de profissionais de TI alertando sobre golpes reincidentes.

O ponto em comum entre todos esses episódios: a extensão nunca é barrada de cara na revisão inicial da loja — ela passa, ganha usuários, e só depois de meses (às vezes anos) uma pesquisa de segurança externa identifica o comportamento indevido e força a remoção. Isso significa que, na prática, você nunca tem 100% de garantia de que uma extensão hoje "limpa" vai continuar assim para sempre.

⚙️ Como Funciona a Coleta de Dados por Extensão

Toda extensão de navegador roda com um nível de acesso definido no momento da instalação, descrito em um arquivo de configuração chamado manifest. Esse arquivo declara quais permissões a extensão precisa para funcionar — e é justamente aqui que mora o problema: muitas extensões pedem permissões muito mais amplas do que a função anunciada exigiria, e a imensa maioria dos usuários aceita sem examinar o que está sendo concedido.

Uma vez com a permissão ampla concedida, o código da extensão consegue, tecnicamente, ler o conteúdo (texto, formulários, cookies acessíveis via JavaScript) de qualquer página aberta naquela aba, capturar o endereço de cada site visitado e enviar esses dados para um servidor externo controlado pelo desenvolvedor — tudo isso rodando silenciosamente em segundo plano, sem qualquer indicação visual na tela de que isso está acontecendo. A parte mais insidiosa é que essa coleta nem sempre está presente desde o primeiro dia: é comum que uma extensão comece limpa, ganhe uma base grande de usuários confiando na reputação construída, e só depois receba uma atualização que adiciona o código de coleta — muitas vezes sem pedir nenhuma permissão nova, porque a permissão ampla concedida na instalação original já é suficiente.

🔓 A Permissão Mais Perigosa: "Ler e Alterar Todos os Seus Dados"

Se você já instalou qualquer extensão no Chrome, provavelmente já viu (e ignorou) uma frase parecida com "Ler e alterar todos os seus dados em todos os sites". Essa é a permissão mais ampla que existe no modelo de extensões — tecnicamente chamada de acesso a "todos os hosts" (<all_urls> no manifest) — e concede à extensão a capacidade de interagir com o conteúdo de qualquer página aberta no navegador, sem exceção: banco, e-mail corporativo, prontuário médico online, tudo.

A pergunta prática que vale sempre fazer antes de aceitar: essa função realmente precisa desse nível de acesso? Um conversor de moeda ou um cronômetro de produtividade, por exemplo, dificilmente têm motivo legítimo para pedir acesso a todos os sites — se pedem, é sinal de alerta, mesmo que a extensão pareça inofensiva à primeira vista.

💰 Por Que Empresas Compram Dados de Navegação

Existe um mercado inteiro, pouco visível para o usuário comum, dedicado a comprar e revender dados agregados de navegação — chamado no setor de dados de cliques (clickstream data). Empresas de análise de mercado, consultorias e plataformas de inteligência competitiva pagam por esse tipo de dado para entender tendências de consumo: quantas pessoas visitaram o site de uma loja concorrente, qual porcentagem completou uma compra, quais outros sites um público específico costuma visitar antes de fechar uma venda.

Extensões de navegador são um dos canais mais eficientes para coletar esse tipo de dado em escala, porque rodam com permissão ampla e conseguem observar a navegação de forma contínua, em qualquer site — diferente de um cookie de terceiro isolado, que só enxerga a atividade dentro de sites que carregam aquele script específico. É esse valor comercial que explica por que uma extensão gratuita e aparentemente simples (um conversor de arquivo, um bloco de notas, um gerador de captura de tela) pode ser lucrativa mesmo sem cobrar nada do usuário: o produto sendo vendido não é a função anunciada, é o dado de navegação coletado enquanto a função roda.

🔍 Como Checar Permissões das Suas Extensões no Chrome

Confira agora mesmo o que cada extensão instalada no seu Chrome tem acesso a fazer:

1. Digite chrome://extensions na barra de endereço e aperte Enter.
2. Para cada extensão listada, clique em Detalhes.
3. Procure a seção Permissões do site — ela mostra se o acesso está configurado como "Em todos os sites", "Em sites específicos" ou "Ao clicar" (esse último é o mais seguro: a extensão só age quando você clica no ícone dela).
4. Se estiver como "Em todos os sites" e a função da extensão não justificar isso, mude para Ao clicar ou para um conjunto específico de sites, direto nessa mesma tela.
5. Revise também a data da última atualização e o número de usuários — quedas bruscas de avaliação recentes costumam ser o primeiro sinal público de um problema.

Vale reforçar: restringir o acesso "ao clicar" não quebra a maioria das extensões — muitas continuam funcionando perfeitamente, só passam a agir apenas quando você efetivamente aciona a função, em vez de rodar em segundo plano o tempo todo em cada aba aberta.

🦊 Como Checar Permissões no Firefox

No Firefox, o caminho para revisar permissões concedidas a complementos instalados é parecido:

1. Digite about:addons na barra de endereço e aperte Enter (ou vá em Menu → Complementos e temas).
2. Clique em cada extensão instalada e depois na aba Permissões.
3. Revise a lista de permissões concedidas — o Firefox costuma detalhar de forma mais explícita o que cada uma significa em linguagem simples, comparado a outros navegadores.
4. É possível revogar permissões opcionais diretamente nessa tela, sem precisar desinstalar a extensão inteira.

A Mozilla mantém documentação pública detalhando como funcionam as mensagens de solicitação de permissão exibidas ao instalar ou atualizar uma extensão — vale a leitura para quem quer entender a diferença entre permissão obrigatória (concedida na instalação) e permissão opcional (que pode ser negada sem impedir o uso básico da extensão).

🌐 Como Checar Permissões no Edge

Como o Edge é construído sobre o mesmo motor do Chrome (Chromium), o processo de checagem é praticamente idêntico:

1. Digite edge://extensions na barra de endereço e aperte Enter.
2. Clique em Detalhes na extensão que quer revisar.
3. Vá até Permissões do site e ajuste entre "Em todos os sites", "Em sites específicos" ou "Ao clicar", da mesma forma que no Chrome.
4. O Edge também mostra, na mesma tela, se a extensão foi verificada pela Microsoft (selo de "verificado") — um sinal a mais, mas não uma garantia absoluta, como o próprio caso das cinco extensões que seguiram ativas na loja do Edge mesmo após o alerta de dezembro de 2025 deixou claro.

⚠️ Sinais de Alerta: Quando Desconfiar de uma Extensão

Nenhum sinal isolado é prova definitiva de má-fé, mas a combinação de dois ou mais desses pontos justifica revisão imediata:

• Pedido de permissão nova numa atualização sem explicação clara do motivo — especialmente se a extensão não mudou de função aparente.
• Mudança de nome do desenvolvedor ou da política de privacidade sem aviso destacado.
• Queda recente na nota média de avaliações, acompanhada de comentários mencionando lentidão, anúncios inesperados ou comportamento estranho.
• Extensão continua recebendo atualizações mesmo depois de meses sem nenhuma novidade de função visível — atualização sem mudança aparente às vezes é justamente quando o código de coleta é inserido.
• Consumo de processador ou rede fora do padrão mesmo com o navegador ocioso, visível no Gerenciador de Tarefas do navegador (Shift+Esc no Chrome).
• A extensão pede permissão ampla ("todos os sites") para uma função que, logicamente, não precisaria disso — como uma calculadora ou um bloco de notas.

🔄 Extensão Mudou de Dono? Fique Atento

Um padrão documentado em vários dos casos de remoção ao longo dos anos: o desenvolvedor original de uma extensão popular e legítima vende os direitos (ou a conta que administra a extensão na loja) para outra empresa ou pessoa — muitas vezes por uma quantia relativamente pequena, já que o valor real está na base de usuários instalada, não no código em si. O novo dono então publica uma atualização que insere código de coleta de dados, aproveitando a reputação e a confiança já construídas pela versão anterior, sem que o usuário perceba a troca de mãos.

✅ Boas Práticas Para Reduzir o Risco

1. Instale só o que você realmente usa. Cada extensão instalada é uma superfície de risco a mais — revise periodicamente e remova o que não usa há meses.
2. Prefira permissão "ao clicar" ou por site específico sempre que a extensão permitir escolher, em vez de aceitar o padrão de acesso amplo.
3. Leia a política de privacidade antes de instalar — não precisa ler tudo, mas confira se ela menciona venda de dados a terceiros, o que já é um alerta direto.
4. Prefira extensões com código aberto (open source) quando existir alternativa, porque o código pode ser auditado publicamente por qualquer pessoa.
5. Desconfie de extensões com poucos avaliadores mas número alto de instalações — pode indicar avaliações compradas ou manipuladas.
6. Mantenha o navegador atualizado — as próprias lojas reforçam verificações automáticas de segurança em versões recentes, complementando (nunca substituindo) o cuidado do usuário.
7. Considere um antivírus com proteção de navegador ativa, que costuma sinalizar comportamento suspeito de extensão em tempo real — se você ainda não tem um configurado, vale revisar nosso guia de como instalar e configurar um antivírus gratuito.

🧹 O Que Fazer Se Você Já Instalou uma Extensão Removida

Remoção da loja não desinstala automaticamente nada do seu navegador — é preciso agir manualmente:

1. Desinstale a extensão imediatamente, direto na tela de gerenciamento de extensões do seu navegador (não basta desativar, remova por completo).
2. Troque senhas de contas sensíveis acessadas enquanto a extensão estava ativa, priorizando e-mail, banco e redes sociais.
3. Ative a verificação em duas etapas nessas contas, caso ainda não esteja ativa — reduz bastante o risco mesmo que uma senha tenha vazado.
4. Rode uma varredura completa de antivírus no computador, já que algumas campanhas de extensão maliciosa vêm acompanhadas de outros componentes indesejados no sistema.
5. Monitore extratos bancários e faturas nas semanas seguintes, especialmente se a extensão tinha acesso amplo a sites de pagamento.

Se você não tem certeza sobre alguma extensão específica que já usa, o mais seguro é presumir a permissão mais ampla possível como risco e revisar como descrito nas seções acima — o modo anônimo do navegador, aliás, não ajuda em nada nesse cenário específico, já que boa parte das extensões continua desativada mesmo em aba anônima; para entender melhor os limites reais desse recurso, vale a leitura do nosso guia sobre o mito do modo anônimo do navegador e o que ele realmente esconde.

📖 Glossário Rápido

• Manifest: arquivo de configuração de uma extensão que declara, entre outras coisas, quais permissões ela pede para funcionar.
• Permissão "todos os hosts" (<all_urls>): nível de acesso mais amplo possível para uma extensão, liberando leitura e alteração de conteúdo em qualquer site aberto no navegador.
• Fingerprint do sistema: combinação de características técnicas do aparelho (tela, fontes, hardware) usada para identificar um dispositivo de forma consistente, mesmo sem cookies.
• Clickstream data (dados de cliques): registro agregado de páginas visitadas e interações feitas por usuários, comercializado por empresas de análise de mercado e inteligência competitiva.
• Exfiltração de dados: ato de extrair informação de um dispositivo ou sistema e enviá-la para um destino externo controlado por terceiros, geralmente sem consentimento claro.
• Atualização silenciosa: atualização de software aplicada automaticamente em segundo plano, sem exigir ação nem aviso destacado ao usuário.
• Permissão opcional: permissão que uma extensão pode pedir só quando necessária para uma função específica, podendo ser negada sem impedir o uso básico do restante da extensão.

FAQ