افزونه‌های «VPN» برای کروم، اج و فایرفاکس محبوب‌اند، چون زود نصب می‌شوند و به دسترسی مدیر سیستم نیازی ندارند. اما بیشترشان VPN به معنای کامل نیستند، و افزونه در جای بسیار حساسی قرار دارد: درون مرورگر، همان‌جا که ایمیل می‌خوانید، کارهای بانکی می‌کنید و با دستیارهای هوش مصنوعی گفت‌وگو می‌کنید.

در دسامبر ۲۰۲۵، پژوهشگران امنیتی نشان دادند این اعتماد تا چه حد ممکن است سوءاستفاده شود؛ معلوم شد یک افزونهٔ رایگانِ «VPN» با کاربران فراوان، گفت‌وگوهای کاربران با هوش مصنوعی را جمع‌آوری می‌کرد. این راهنما توضیح می‌دهد افزونهٔ مرورگر از چه چیزی می‌تواند و از چه چیزی نمی‌تواند محافظت کند، در آن ماجرا چه گذشت و پیش از نصب چه چیزهایی را بررسی کنید.

افزونهٔ پراکسی مرورگر در برابر VPN برای کل دستگاه

این دو اغلب با یک نام عرضه می‌شوند، اما کارکردشان فرق دارد.

افزونهٔ پراکسی مرورگر تنظیمات پراکسی مرورگر را تغییر می‌دهد تا ترافیک مرورگر از یک سرور دوردست عبور کند. وب‌سایت‌ها به جای نشانی IP شما، نشانی سرور را می‌بینند. این افزونه تونل رمزگذاری‌شده‌ای در سطح سیستم نمی‌سازد. اتصال شما به سایت‌هایی که با HTTPS باز می‌کنید همچنان سرتاسر رمزگذاری‌شده است، همان‌طور که بدون افزونه هم بود، اما خودِ افزونه لایهٔ رمزگذاری تازه‌ای به ترافیک دستگاه اضافه نمی‌کند.

اپلیکیشن VPN برای کل دستگاه در سطح سیستم‌عامل یک تونل رمزگذاری‌شده می‌سازد. هر چیزی که دستگاه می‌فرستد، از هر مرورگر و اپلیکیشن، به‌علاوهٔ سرویس‌های پس‌زمینه و به‌روزرسانی‌ها، از این تونل می‌گذرد.

در عمل:

  • پوشش: افزونه فقط یک مرورگر را پوشش می‌دهد؛ اپلیکیشن VPN همهٔ اپلیکیشن‌های دستگاه را.
  • رمزگذاری: افزونه به HTTPS هر سایت تکیه می‌کند؛ اپلیکیشن VPN همهٔ ترافیک میان دستگاه و سرور VPN را رمزگذاری می‌کند.
  • نصب: افزونه‌ها معمولاً به دسترسی مدیر نیاز ندارند؛ اپلیکیشن‌های VPN معمولاً نیاز دارند.
  • کاربرد معمول: افزونه‌ها برای تغییر سریع IP هنگام وب‌گردی و تعیین قاعده برای هر سایت مناسب‌اند؛ اپلیکیشن‌های VPN برای Wi-Fi عمومی، دیگر اپلیکیشن‌ها و حریم خصوصی کل دستگاه.

نوشتهٔ ما VPN چیست؟ جنبهٔ محافظت از کل دستگاه را با جزئیات بیشتری توضیح می‌دهد.

چرا افزونه جای حساسی است

افزونهٔ پراکسی یا «حریم خصوصی» برای انجام کارش اغلب مجوزهای گسترده‌ای می‌خواهد. صفحهٔ راهنمای فروشگاه وب کروم دربارهٔ مجوزها توضیح می‌دهد افزونه‌ای که به «داده‌های شما در همهٔ وب‌سایت‌هایی که بازدید می‌کنید» دسترسی دارد، می‌تواند داده‌ها را در هر صفحه بخواند، درخواست کند یا تغییر دهد، از جمله در سایت‌های بانکی و شبکه‌های اجتماعی. همچنین یادآور می‌شود که هشدار لزوماً به معنای خطرناک بودن افزونه نیست. بسیاری از ابزارهای پراکسی مشروع برای کار کردن به چنین دسترسی‌ای نیاز دارند.

مشکل اینجاست که شما نه‌فقط امروز، بلکه با هر به‌روزرسانی آینده هم به ناشر اعتماد می‌کنید. مرورگرها افزونه‌ها را خودکار به‌روز می‌کنند، معمولاً بی‌آنکه از شما بپرسند.

ماجرای ۲۰۲۵: گفت‌وگوهای هوش مصنوعی در دست یک افزونهٔ «برگزیده»

در دسامبر ۲۰۲۵، Malwarebytes و The Register دربارهٔ پژوهش شرکت امنیتی Koi Security روی یک افزونهٔ رایگان پراکسی VPN گزارش دادند که بیش از ۶ میلیون کاربر در کروم و ۱٫۳ میلیون کاربر در اج داشت.

بر اساس این گزارش‌ها:

  • یک به‌روزرسانی بی‌صدا رفتارش را عوض کرد. نسخهٔ ۵٫۵٫۰ که ۹ ژوئیهٔ ۲۰۲۵ منتشر شد، شروع به رهگیری گفت‌وگوهای کاربران با پلتفرم‌های هوش مصنوعی کرد، از جمله ChatGPT، Claude، Gemini، Microsoft Copilot، Perplexity، DeepSeek، Grok و Meta AI. نسخه‌های قبلی چنین کاری نمی‌کردند و مرورگرها کاربران را خودکار به‌روز کردند.
  • جمع‌آوری به‌طور پیش‌فرض روشن بود. به گزارش The Register، این کار با تنظیمی که در کد ثابت شده بود فعال می‌شد و هیچ کلیدی برای کاربر وجود نداشت؛ تنها راه توقفش حذف افزونه بود. گفته می‌شود حتی وقتی VPN خاموش بود هم داده جمع می‌کرد.
  • داده‌ها به یک دلال داده می‌رسید. Malwarebytes گزارش داد گفت‌وگوها به BiScience، شرکت مادرِ ناشر، فرستاده می‌شد که داده‌های وب‌گردی را جمع‌آوری می‌کند.
  • تنها نبود. هفت افزونهٔ دیگر از همان ناشر همان کد را داشتند و مجموع کاربران به بیش از ۸ میلیون می‌رسید.
  • نشان اعتماد داشت. امتیاز افزونه ۴٫۷ ستاره بود و در فروشگاه وب کروم نشان «برگزیده» (Featured) گوگل را داشت.

به گفتهٔ Malwarebytes، ناشر در صفحهٔ رضایت و سیاست حریم خصوصی از «ChatAI communication» نام برده بود، اما کسانی که افزونه را پیش از ژوئیهٔ ۲۰۲۵ نصب کرده بودند هرگز آن صفحه را ندیدند. توصیهٔ Malwarebytes به کاربران آسیب‌دیده این بود که افزونه‌ها را حذف کنند و «فرض را بر این بگذارند که هر گفت‌وگو با هوش مصنوعی از ۹ ژوئیه به بعد» ممکن است لو رفته باشد، و به تغییر گذرواژه‌ها و پاک کردن کوکی‌ها فکر کنند.

درس این ماجرا این نیست که همهٔ افزونه‌ها مخرب‌اند؛ این است که امتیازها، شمار دانلودها و حتی نشان‌های فروشگاه تضمینی به شمار نمی‌آیند.

چه کسی پشت محصول است؟

مالکیت برای هر VPN یا پراکسی مهم است، چون ارائه‌دهنده می‌تواند ببیند ترافیک شما به کجا می‌رود، و گزارش ۱ آوریل ۲۰۲۵ پروژهٔ شفافیت فناوری (Tech Transparency Project) دربارهٔ اپلیکیشن‌های VPN رایگانی که مالکانشان را اعلام نکرده بودند نشان می‌دهد چرا باید پرسید چه کسی سرویس را اداره می‌کند (روش بررسی را در VPN رایگان یا پولی توضیح داده‌ایم).

فهرست بررسی پیش از نصب

  • ناشر را بررسی کنید. آیا نام واقعی شرکت، وب‌سایت و نشانی تماس وجود دارد؟ آیا با سیاست حریم خصوصی می‌خواند؟
  • مجوزها را بخوانید. دسترسی گسترده به همهٔ سایت‌ها برای افزونه‌های پراکسی رایج است، اما از خود بپرسید آیا افزونه چیزهایی هم می‌خواهد که نباید لازم داشته باشد، مثل تاریخچهٔ مرور یا کلیپ‌بورد.
  • در سیاست حریم خصوصی دنبال جزئیات باشید. چه چیزی جمع می‌شود، آیا هم‌رسانی یا فروخته می‌شود، و مراقب عبارت‌های مبهم دربارهٔ «داده‌های وب‌گردی» یا «شرکای تحلیلی» باشید.
  • به «رایگان برای همیشه» بدون مدل درآمدی روشن بدبین باشید. نگهداری سرورها هزینه دارد؛ بپرسید سرویس از کجا هزینه‌اش را تأمین می‌کند.
  • تعداد افزونه‌ها را کم نگه دارید. هر افزونه یعنی یک ناشر دیگر که به‌روزرسانی‌های آینده را به او سپرده‌اید. افزونه‌هایی را که دیگر استفاده نمی‌کنید حذف کنید.
  • پس از به‌روزرسانی دوباره نگاه کنید. اگر افزونه‌ای ناگهان مجوز تازه خواست یا صفحهٔ رضایت تازه‌ای نشان داد، دست نگه دارید و آن را بخوانید.
  • نشت را آزمایش کنید. مرورگرها ممکن است از طریق WebRTC نشانی‌ها را فاش کنند؛ آزمون نشت WebRTC ما نشان می‌دهد مرورگر شما چه چیزی را آشکار می‌کند.
  • گفت‌وگوهای هوش مصنوعی را حساس بدانید. گذرواژه، شمارهٔ مدارک شناسایی یا اسناد خصوصی را در دستیارهای هوش مصنوعی نچسبانید، هر افزونه‌ای که داشته باشید.

جایگاه افزونه‌های VPNRice

VPNRice افزونه‌هایی برای کروم و فایرفاکس دارد. مانند دیگر افزونه‌های پراکسی، این افزونه‌ها فقط ترافیک مرورگر را از سرور VPNRice عبور می‌دهند، بنابراین سایت‌ها به جای نشانی IP شما نشانی سرور را می‌بینند. می‌توانید انتخاب کنید کدام سایت‌ها از VPNRice بگذرند و کدام مستقیم باز شوند، و این افزونه‌ها تونل VPN سیستمی نمی‌سازند. سایت‌هایی که با HTTPS باز می‌شوند سرتاسر رمزگذاری‌شده می‌مانند. برای محافظت از کل دستگاه، مثلاً در Wi-Fi عمومی، از اپلیکیشن کامل VPNRice برای رایانه یا گوشی‌تان استفاده کنید.

نکته‌های کلیدی

  • افزونهٔ مرورگر معمولاً IP را فقط برای یک مرورگر عوض می‌کند؛ اپلیکیشن VPN ترافیک کل دستگاه را رمزگذاری می‌کند.
  • افزونه‌ها بی‌صدا به‌روز می‌شوند؛ پس شما به رفتار آیندهٔ ناشر اعتماد می‌کنید، نه فقط به نسخهٔ امروز.
  • بر اساس پژوهش Koi Security، در ۲۰۲۵ یک افزونهٔ رایگان VPN «برگزیده» با میلیون‌ها کاربر گفت‌وگوهای هوش مصنوعی را جمع می‌کرد.
  • ناشر، مجوزها و سیاست حریم خصوصی را بررسی کنید، افزونه‌ها را کم نگه دارید و مرورگرتان را برای نشت آزمایش کنید.