Платформа LinkedIn, принадлежащая Microsoft, оказалась в центре внимания сообщества по кибербезопасности после публикации отчета ассоциации Fairlinked e.V. Исследователи заявили, что сайт использует скрытые JavaScript-скрипты для масштабного фингерпринтинга браузера: проверяет наличие тысяч расширений и параллельно собирает детальные технические данные об устройствах посетителей.
Как LinkedIn использует JavaScript для сканирования расширений
Согласно отчету Fairlinked, LinkedIn внедряет специальный JavaScript-код в пользовательские сессии. Этот скрипт поочередно проверяет большое количество ID браузерных расширений и пытается получить доступ к их файловым ресурсам. Такая техника широко известна в кибербезопасности как один из способов определить, какие расширения установлены в браузере, без прямого доступа к их настройкам.
Журналисты BleepingComputer, проведя собственный технический анализ, обнаружили на сайте LinkedIn JavaScript-файл с рандомизированным именем, который сканировал 6236 браузерных расширений в Chromium-браузерах. Ранее подобные скрипты, по данным открытых репозиториев на GitHub, проверяли лишь несколько тысяч расширений, что указывает на постоянное расширение списка и системный характер этой практики.
Какие данные собираются и зачем они могут быть нужны
Масштаб проверки расширений и конкурентная разведка
Исследователи Fairlinked утверждают, что в список проверяемых расширений входят не только утилиты, связанные с LinkedIn, но и свыше 200 продуктов прямых конкурентов — таких, как Apollo, Lusha, ZoomInfo и другие B2B-сервисы. Учитывая, что LinkedIn знает работодателя, должность и имя каждого пользователя, платформа теоретически получает возможность строить карты клиентов конкурирующих компаний, сопоставляя рабочие аккаунты с установленными расширениями.
Помимо профессиональных инструментов, в списке замечены языковые и грамматические расширения, специализированные утилиты для налоговых консультантов и другие нишевые продукты. Набор установленных расширений нередко позволяет сделать выводы о должности, отрасли, уровне технической грамотности и даже внутренних бизнес-процессах компании.
Дополнительный сбор технических характеристик устройства
Отдельное внимание в отчете уделено тому, что скрипт LinkedIn не ограничивается проверкой расширений. Он формирует детальный браузерный отпечаток (browser fingerprint), собирая, среди прочего:
• количество ядер CPU и ориентировочный объем доступной памяти;
• разрешение экрана и схему масштабирования;
• часовой пояс и языковые настройки;
• состояние батареи устройства;
• характеристики аудио-системы;
• параметры доступного браузерного хранилища.
Комбинация этих параметров позволяет достаточно точно идентифицировать устройство даже при отсутствии классических cookies. В кибербезопасности это считается одним из наиболее устойчивых методов отслеживания, который трудно заблокировать на уровне обычных настроек браузера.
Позиция LinkedIn и спор вокруг отчета BrowserGate
Представители LinkedIn не отрицают самого факта сканирования расширений, однако подчеркивают, что делают это для защиты платформы и пользователей. В числе возможных целей обычно называются борьба с мошенничеством, обнаружение инструментов для автоматизированного сбора данных (scraping) и защита от злоупотреблений API.
Компания также указывает на контекст появления отчета BrowserGate: его автор связан с разработкой расширения Teamfluence, а его аккаунт в LinkedIn ранее был заблокирован за скрапинг контента. По информации LinkedIn, разработчик подал иск в суд в Германии, пытаясь оспорить блокировку, однако суд признал, что его практики обработки данных нарушали закон. Эта история LinkedIn использует как аргумент в пользу того, что критика мотивирована личным конфликтом.
Риски для конфиденциальности и юридический контекст
Несмотря на заявления LinkedIn о целях кибербезопасности, ключевой вопрос — пропорциональность и прозрачность таких методов. Список установленных расширений, привязанный к реальному имени и работодателю, в ряде юрисдикций может рассматриваться как персональные данные. В условиях действия GDPR в ЕС подобная обработка требует четкого правового основания и информирования пользователей.
Фингерпринтинг браузера активно обсуждается регуляторами как технология, позволяющая обходить ограничения на использование файлов cookie и баннеры согласия. Ранее аналогичные кейсы уже попадали в новости: например, eBay был уличен в автоматическом сканировании локальных портов на устройствах посетителей для поиска ПО удаленного доступа, а похожие скрипты находили на сайтах Citibank, TD Bank, Equifax и других крупных компаний.
Такие практики демонстрируют общий тренд: крупные онлайн-платформы используют все более агрессивные технические методы для повышения безопасности и конкурентного анализа, что одновременно усиливает риски для конфиденциальности пользователей.
Как пользователям и компаниям снизить риски отслеживания
Минимизировать набор расширений. Чем больше установленных плагинов, тем проще уникально идентифицировать браузер. Имеет смысл удалить редко используемые расширения и использовать только проверенные продукты из официальных магазинов.
Разделять контексты использования браузера. Практика «разделения профилей» — отдельный браузер или профиль для работы в социальных сетях и отдельный для корпоративных задач — снижает объем данных, доступных отдельным платформам.
Использовать инструменты против фингерпринтинга. Современные браузеры и расширения (например, ориентированные на конфиденциальность блокировщики трекеров) могут частично рандомизировать параметры среды или блокировать подозрительные скрипты отслеживания.
Усилить корпоративный контроль. Для организаций важно регулярно проводить аудит браузерных расширений сотрудников, внедрять политiki безопасности (Browser Security Policy) и использовать средства мониторинга фронтенд-скриптов на критичных веб-ресурсах, чтобы понимать, какие данные могут утекать внешним площадкам.
История с фингерпринтингом в LinkedIn показывает, что границы между кибербезопасностью, конкурентной разведкой и цифровой конфиденциальностью продолжают размываться. Пользователям и компаниям стоит внимательнее относиться к тому, какие данные о них может собирать любая крупная платформа, регулярно пересматривать настройки приватности и состав установленных расширений, а также следить за новыми исследованиями в области browser fingerprinting и защиты персональной информации.
