De aandacht voor security in de digitale werkplek gaat doorgaans naar de hardware, het netwerk en de inbox. Maar medewerkers spenderen een groot deel van hun werkdag in de browser en precies daar zit een laag die in veel organisaties door niemand wordt beheerd: browser-extensies.

Bekijk de tabbladen van een doorsnee medewerker: mail, agenda, CRM, ticketing, Teams of Slack, een paar cloudconsoles, het HR-platform, … En sinds kort ChatGPT, Claude, Copilot of een andere AI-tool. Vrijwel alles gebeurt in de browser.

In diezelfde browser draaien ook extensies. Vaak handige hulpjes die het werk vlotter maken: een wachtwoordmanager, een tool om vergaderingen samen te vatten, een spellingchecker, een AI-assistent die documenten ontleedt of een PDF-downloader. Medewerkers installeren ze omdat ze tijd winnen of omdat IT zelf niets gelijkaardigs aanbiedt.

Maar de browser is ook de plek waar de minste controle zit. Het apparaat wordt beheerd, de login loopt via identity-tools, de inbox wordt gescand. Wat er in de browser zelf draait, ziet niemand. Welke extensies erbij gekomen zijn, welke permissies ze vragen, wie ze gisteren heeft geüpdatet: daar staat zelden iemand bij stil. De browser is uitgegroeid tot de belangrijkste werkpleklaag, maar het beheer ervan is achtergebleven.

Een extensie vraagt bij installatie toegangsrechten, vaak met de optie bij om toegang te krijgen tot alle sites. Wie op akkoord klikt, geeft het programma vrij spel op elke pagina die de browser opent. Dat betekent bijvoorbeeld: meelezen in de webmail, formuliervelden uitlezen voordat ze worden verzonden, sessiecookies bekijken en API-responses onderscheppen.

Voor de gebruiker voelt het als een handig hulpje. Voor de browser is het een volwaardige medespeler, met dezelfde toegang als de gebruiker zelf, ook tot bedrijfsapplicaties en cloudomgevingen. Onderzoek van CrowdStrike laat zien dat ruim de helft van de extensies in klantomgevingen meer toegangsrechten vraagt dan ze nodig hebben.¹

Eens een extensie is goedgekeurd, blijft die meestal jaren in gebruik. Updates komen automatisch binnen, zonder waarschuwing. En de meeste browsers laten toe dat extensies van eigenaar wisselen zonder dat IT of de gebruiker iets merkt. Een ontwikkelaar kan zijn extensie verkopen of overdragen aan een andere partij, terwijl de gebruikers gewoon de auto-updates blijven ontvangen onder dezelfde naam en hetzelfde icoontje. Daardoor is goedkeuring bij installatie geen eenmalige beslissing meer, maar een doorlopende vertrouwensrelatie waar niemand op toeziet.

Een paar recente voorvallen tonen verschillende manieren waarop dat misloopt:

• Een gecompromitteerde ontwikkelaar
  Eind 2024 raakte de Chrome-extensie van security-leverancier Cyberhaven besmet via een phishingaanval op een ontwikkelaarsaccount. De malafide update stond 24 uur live en bereikte alle gebruikers, waaronder bedrijven die Cyberhaven net hadden ingezet om dataverkeer te beveiligen.2

• Doelgerichte extensies voor enterprise-platformen
  Begin 2026 ontdekte Socket Security vijf extensies die zich voordeden als hulpjes voor Workday, NetSuite en SAP SuccessFactors. Ze oogstten elke 60 seconden authenticatiecookies en blokkeerden de adminpagina’s waarmee een securityteam zou kunnen ingrijpen. Ruim 2.300 enterprise-gebruikers hadden ze geïnstalleerd voor ze werden weggehaald.3

Op het eerste gezicht zijn er wel verdedigingslijnen. Een organisatie kan bijvoorbeeld werken met een allowlist, waarop staat welke extensies medewerkers mogen installeren. Maar zo’n lijst is statisch, terwijl extensies dat niet zijn. Ze updaten zichzelf, vragen na verloop van tijd nieuwe toegangsrechten op en wisselen soms zelfs van eigenaar. Een extensie die in 2023 op de lijst kwam, kan vandaag een heel ander programma zijn dan toen ze werd goedgekeurd. De lijst registreert dat niet.

Endpoint security helpt evenmin. Endpoint Detection and Response-tools kijken naar processen op het besturingssysteem, terwijl een extensie binnen het browserproces draait. Voor het besturingssysteem ziet een kwaadaardige extensie eruit als een browser die zijn normale werk doet. Ook awareness-training botst op de vaststelling dat een gecompromitteerde extensie zich niet anders gedraagt dan een legitieme. Zelfs wanneer medewerkers weten wat verdacht is, valt er bij gecompromitteerde extensies niets te merken. De interface blijft hetzelfde, het icoontje blijft hetzelfde, de functionaliteit werkt zoals voorheen.

De rode draad is dat al deze controles ervan uitgaan dat een goedgekeurde extensie ook goedgekeurd blijft. Dat klopt niet meer. Goedkeuring bij installatie is geen statische stempel, maar een momentopname die snel achterhaald raakt.

Wie beheert de lijst van toegestane extensies en wie kijkt er opnieuw naar na een update of een eigendomswissel? Wie weet wat er vandaag effectief draait op de toestellen van medewerkers en wie heeft de bevoegdheid om een extensie te schrappen zodra die nieuwe toegangsrechten opvraagt of verdacht netwerkverkeer genereert?

In de meeste organisaties zit dat verspreid tussen endpoint management, identity en security. In de praktijk betekent dit dat niemand er expliciet verantwoordelijk voor is. En zonder eigenaar blijft de browser-laag een blinde vlek, hoeveel tools een organisatie er ook tegenaan zet.

Drie dingen die IT- en workplace-verantwoordelijken concreet kunnen aanpakken:

• Inventariseer wat er vandaag draait op de toestellen van medewerkers. Beperk je daarbij niet tot wat op de allowlist staat, want dat zegt alleen iets over wat ooit werd goedgekeurd. Breng in kaart welke extensies effectief actief zijn, op welke toestellen ze draaien en welke toegangsrechten ze hebben.
• Behandel extensies als doorlopende leveranciers in plaats van als eenmalige beslissingen. Wijs een eigenaar aan die ze periodiek herevalueert en stel triggers in die alarm slaan bij eigendomswissels of bij updates die nieuwe toegangsrechten opvragen.
• Categoriseer per risicoprofiel, want niet elke medewerker werkt in dezelfde context. Een ontwikkelaar die de hele dag in cloudomgevingen zit, een finance-medewerker die werkt in HR- en boekhoudsystemen en een marketeer die vooral op publieke sites werkt, lopen heel verschillende risico’s en horen niet onder hetzelfde extensie-regime te vallen.

Bronnen:

1. CrowdStrike
2. Global Anti-Scam Alliance
3. The Hacker News