Clickjacking basato su DOM nelle estensioni: cosa devono sapere gli utenti di Workspace

Quando si parla di cybersecurity, anche le minacce “vecchie” trovano il modo di reinventarsi. È esattamente quello che è successo al DEF CON 33 (9 agosto 2025), dove il ricercatore Marek Tóth ha presentato una nuova tecnica di clickjacking basata su DOM nelle estensioni, in grado di colpire le estensioni browser di diversi gestori di password.

La buona notizia? Remote Desktop Manager (RDM) non è interessato, e l’estensione browser di Workspace è già stata rafforzata con nuove protezioni. Vediamo cosa è successo, cosa abbiamo fatto e cosa può fare Lei per restare al sicuro.

Riepilogo rapido (TL;DR)

• Una nuova tecnica di clickjacking basata su DOM nelle estensioni è stata dimostrata pubblicamente da Marek Tóth.
• Le app desktop di RDM e le app desktop/mobile di Workspace non sono interessate.
• L’estensione browser di Workspace era interessata, ma abbiamo rapidamente rilasciato mitigazioni a più livelli:
  • Rilevamento delle manomissioni di opacità/visibilità
  • Controlli di occlusione del top-layer (Popover)
• Le impostazioni predefinite più sicure di Workspace riducono già il rischio:
  • L’autofill al caricamento della pagina è disattivato per impostazione predefinita
  • La corrispondenza degli URL a livello di host è la modalità predefinita
• Cosa fare: aggiornare l’estensione Workspace, mantenere disattivato l’“autofill al caricamento” a meno che non sia necessario, e valutare una corrispondenza degli URL più rigida per i siti sensibili.

Cosa è successo al DEF CON

L’intervento di Marek Tóth al DEF CON ha rivelato come gli aggressori possano indurre gli utenti a fare clic su elementi dell’interfaccia dell’estensione invisibili, sovrapposti all’interno delle pagine web. Questi clic legittimi — come la chiusura di una finestra di dialogo — potrebbero attivare involontariamente l’autofill.

La ricerca è stata comunicata in modo responsabile ad alcuni fornitori nell’aprile 2025 e condivisa pubblicamente nell’agosto 2025. Poiché Workspace non era presente nell’elenco “Best Password Managers” di PCMag (il campione di test del ricercatore), non siamo stati inizialmente informati.

La copertura mediatica non si è fatta attendere:

• SecurityWeek
• The Hacker News

Quali prodotti Devolutions sono interessati?

• Remote Desktop Manager (Windows/macOS/Linux): Non interessato
• App desktop e mobile di Workspace: Non interessate
• Estensione browser di Workspace: Interessata, ma corretta con nuove protezioni

Come funziona l’attacco

L’attacco si basa su clic reali dell’utente. Un aggressore può rendere invisibile l’interfaccia dell’estensione, mantenendola comunque cliccabile. Quando il clic dell’utente cade su questa interfaccia nascosta, può attivarsi l’autofill.

Poiché il clic è autentico, i controlli del browser (come event.isTrusted) continuano a essere superati. Il ricercatore ha documentato diverse tecniche:

• Modifica di opacità/visibilità
• Sovrapposizione tramite la Popover API (interfaccia top-layer)
• Manipolazione degli eventi del puntatore

Nota sul perimetro: il rischio è maggiore se gli aggressori ottengono il controllo di un sottodominio di un sito per cui si possiedono credenziali (ad esempio tramite XSS o takeover del sottodominio).

Valutazione del rischio per Workspace

Workspace era già un passo avanti:

• L’autofill al caricamento è disattivato per impostazione predefinita. L’autofill richiede un’azione esplicita dell’utente (clic o scorciatoia da tastiera). Scopri di più
• Corrispondenza degli URL a livello di host. Per impostazione predefinita, Workspace richiede corrispondenze a livello di host, limitando l’esposizione tra sottodomini. Scopri di più

Detto ciò, poiché la manomissione del DOM può comunque ingannare gli utenti, abbiamo aggiunto ulteriori protezioni basate sulla defense-in-depth.

Cosa abbiamo cambiato

Abbiamo aggiunto due protezioni fondamentali nell’estensione browser di Workspace:

1. Rilevamento delle manomissioni di opacità/visibilità

   • Se l’interfaccia dell’autofill viene resa trasparente o nascosta dalla pagina, Workspace la chiude immediatamente e rifiuta di compilarla.

2. Rilevamento dell’occlusione del top-layer

   • Se un altro elemento sovrappone il menu dell’autofill, Workspace chiude l’interfaccia e blocca la compilazione.

In breve: se Workspace non può confermare che l’interfaccia sia visibile in modo sicuro, non procederà con la compilazione.

Cosa dovrebbe fare

Per ridurre al minimo il rischio, ecco cosa consigliamo:

1. Aggiornare l’estensione Workspace all’ultima versione (2025.2.5.0 e successive).
2. Mantenere disattivato l’“autofill al caricamento” (impostazione predefinita). Attivarlo solo se assolutamente necessario. Scopri di più
3. Utilizzare una corrispondenza degli URL più rigida (ad esempio, Esatta per le console di amministrazione). Scopri di più
4. Passaggio avanzato opzionale: configurare l’estensione in Chrome/Edge per l’accesso al sito “al clic” durante la navigazione su siti a rischio elevato. Marek Tóth
5. Adottare buone pratiche di navigazione: aggiornare regolarmente browser ed estensioni, evitare overlay sospetti e non installare componenti aggiuntivi non attendibili.

Cronologia

• Aprile 2025: comunicazione privata ad alcuni fornitori selezionati
• 9 agosto 2025: intervento al DEF CON e pubblicazione del blog
• Fine agosto 2025: copertura mediatica a livello di settore
• 26 agosto 2025: correzione interna dell’estensione Workspace
• 8 settembre 2025: rilascio pubblico della versione corretta (2025.2.5.0)

Il nostro punto di vista sulla causa principale

Questa ricerca è un ricordo del fatto che il clickjacking non è morto, si sta evolvendo. Qualsiasi estensione che inietta un’interfaccia in pagine web arbitrarie sarà esposta a rischi derivanti da DOM e CSS ostili.

Sebbene le nostre mitigazioni rendano Workspace più resiliente, la soluzione a lungo termine deve arrivare a livello di browser (ad esempio, con API affidabili per prevenire l’occlusione dell’interfaccia). Supportiamo questa direzione e continueremo ad adattarci.

Una nota sull’autofill al caricamento

Questa funzionalità è disattivata per impostazione predefinita — e raccomandiamo vivamente di lasciarla così. Se un sito di cui si ha fiducia venisse compromesso, l’autofill al caricamento potrebbe consegnare silenziosamente le credenziali. Attivarla solo in presenza di un’esigenza chiara e controllata.

Ringraziamenti

Un sentito grazie a Marek Tóth per la sua ricerca e per la comunicazione responsabile. Per l’analisi tecnica completa e le risposte dei fornitori, consultare il suo articolo.

Rimanga informato

• Riceva gli avvisi di sicurezza: si iscriva qui
• Segnali una vulnerabilità: visiti la nostra pagina sulla sicurezza

Considerazioni finali

Ricerche di sicurezza come questa ci ricordano che le minacce si evolvono, e con esse anche le difese. Siamo orgogliosi che le impostazioni predefinite più sicure di Workspace offrissero già protezione, e siamo andati oltre con nuove protezioni per tutelare i nostri utenti.

Come sempre, mantenga aggiornate le proprie estensioni, segua le nostre best practice e continuiamo a costruire insieme la sicurezza.