BrowserGate: LinkedIn Scansiona di Nascosto 6.236 Estensioni del Tuo Browser e Mappa la Tua Azienda

Ogni volta che visiti LinkedIn, un file JavaScript con nome randomizzato si carica silenziosamente nel tuo browser. Non è un tracker pubblicitario. Non è un cookie. È uno scanner che verifica sistematicamente quali delle 6.236 estensioni Chrome catalogate sono installate sul tuo dispositivo. Contemporaneamente, raccoglie il numero di core della CPU, la memoria disponibile, la risoluzione dello schermo, il fuso orario, le impostazioni linguistiche, lo stato della batteria, le informazioni audio e le caratteristiche dello storage. Il rapporto "BrowserGate", pubblicato dall'associazione tedesca Fairlinked e.V. e confermato indipendentemente da BleepingComputer, documenta un sistema di sorveglianza corporate che opera su scala industriale — e che è cresciuto del 200% in meno di un anno.

Come Funziona: Fingerprinting su Scala Industriale

La tecnica è nota nel campo della sicurezza come "browser extension fingerprinting". LinkedIn tenta di accedere alle risorse file associate a specifici ID di estensioni. Se il browser risponde positivamente, l'estensione è installata. Se non risponde, non lo è. Ripetendo questa verifica per 6.236 estensioni, LinkedIn costruisce un profilo unico del browser di ogni visitatore — un'impronta digitale tanto precisa quanto un cookie, ma molto più difficile da bloccare.

L'escalation è documentata nei numeri: nel 2025, LinkedIn scansionava circa 2.000 estensioni. Due mesi fa erano salite a 3.000. Oggi sono 6.236 — un aumento del 200% in meno di 12 mesi. Tra queste, oltre 200 sono prodotti che competono direttamente con gli strumenti di vendita di LinkedIn, inclusi Apollo, Lusha e ZoomInfo. Ma la scansione non si ferma ai concorrenti: include strumenti linguistici, software fiscali, estensioni per la produttività e tool apparentemente non correlati.

I Dati Raccolti: Oltre le Estensioni

Lo scanner non si limita alle estensioni. Il JavaScript nascosto raccoglie un profilo hardware completo del dispositivo:

• Numero di core della CPU — identifica la fascia del dispositivo
• Memoria RAM disponibile — distingue dispositivi personali da workstation aziendali
• Risoluzione dello schermo — identifica configurazioni multi-monitor tipiche di ambienti enterprise
• Fuso orario e impostazioni linguistiche — geolocalizzazione senza GPS
• Stato della batteria — identifica se il dispositivo è un laptop (mobile worker) o un desktop (ufficio)
• Informazioni audio — fingerprint hardware aggiuntivo
• Caratteristiche dello storage — dimensione e tipo di storage disponibile

Combinando questi dati con il profilo LinkedIn dell'utente (nome, azienda, ruolo, anzianità, connessioni), il sistema può costruire un profilo dettagliatissimo: "Mario Rossi, CTO di AziendaX, usa Apollo per la lead generation, ZoomInfo per l'enrichment, ha una workstation con 32GB di RAM e doppio monitor, lavora dal fuso CET". Questa non è analytics. È intelligence competitiva automatizzata.

La Difesa di LinkedIn e il Precedente Legale

LinkedIn ha risposto alle accuse dichiarando: "Cerchiamo estensioni che effettuano scraping di dati senza il consenso dei membri o che violano i Termini di Servizio di LinkedIn." La piattaforma sostiene che la scansione serve a "determinare quali estensioni violano i nostri termini" e a "informare e migliorare le nostre difese tecniche". LinkedIn ha inoltre definito il rapporto BrowserGate come una ritorsione da parte dello sviluppatore di Teamfluence, la cui estensione era stata limitata per violazione delle policy anti-scraping.

Un tribunale tedesco ha respinto la richiesta di ingiunzione dello sviluppatore, giudicando le azioni di LinkedIn come lecite e stabilendo che "la raccolta automatizzata di dati da sola può violare i termini d'uso di LinkedIn". Il precedente è significativo: un tribunale europeo ha riconosciuto a una piattaforma il diritto di scansionare i browser dei visitatori per identificare strumenti che violano i propri termini di servizio. Questo crea un framework legale che potenzialmente autorizza qualsiasi piattaforma a fare lo stesso.

Il Modello di Business della Sorveglianza Corporate

BrowserGate non è un'anomalia. È la manifestazione più esplicita di un modello di business che permea il web moderno. LinkedIn, di proprietà di Microsoft, ha 1 miliardo di utenti registrati e genera ricavi primariamente attraverso LinkedIn Sales Navigator — uno strumento da miliardi di dollari che vende accesso a dati professionali per la lead generation. La scansione delle estensioni concorrenti non è un'operazione di sicurezza: è un'operazione di intelligence di mercato che protegge il monopolio informativo della piattaforma.

Il pattern è coerente con altri comportamenti documentati delle big tech. Google ha rimosso Manifest V2 da Chrome, limitando la capacità degli ad-blocker — estensioni che minacciano il suo modello pubblicitario. Meta raccoglie dati di navigazione attraverso il Meta Pixel installato su milioni di siti. Amazon analizza il comportamento di acquisto dei venditori terzi per lanciare prodotti concorrenti. La sorveglianza corporate non è un bug: è la feature centrale del capitalismo delle piattaforme.

Implicazioni per la Sicurezza Aziendale

Per i CISO e i responsabili della sicurezza informatica, BrowserGate ha implicazioni operative immediate. Ogni dipendente che visita LinkedIn dal browser aziendale espone involontariamente informazioni sulla dotazione tecnologica dell'azienda: quali strumenti di vendita, quali estensioni di sicurezza, quali tool di produttività sono in uso. Per un attaccante che conduce ricognizione pre-attacco, queste informazioni sono oro. Per un concorrente, sono intelligence di mercato servita su un piatto d'argento.

Il rischio si amplifica nel contesto delle minacce statali documentate nelle ultime settimane. Se LinkedIn può scansionare le estensioni dei visitatori, può farlo anche un sito compromesso da un APT. La tecnica di extension fingerprinting è già documentata in campagne di spionaggio: gruppi APT hanno utilizzato siti watering-hole per profilare i visitatori e identificare bersagli di alto valore sulla base degli strumenti installati. La differenza tra la sorveglianza "lecita" di LinkedIn e la ricognizione di un APT è solo nell'intento — la tecnica è identica.

Contromisure e Raccomandazioni

1. 1.Profili browser separati: utilizzare un profilo Chrome/Firefox dedicato per i social media, senza estensioni aziendali installate. Questo isola l'ambiente di lavoro dalla profilazione.
2. 2.Browser privacy-first: per la navigazione social e web generica, considerare Firefox con resistFingerprinting abilitato, o Brave, che blocca nativamente le tecniche di extension fingerprinting.
3. 3.Policy aziendale sulle estensioni: definire una whitelist di estensioni approvate e implementare policy di Chrome Enterprise che impediscano l'installazione di estensioni non autorizzate.
4. 4.Audit dell'esposizione: verificare quali estensioni sono installate sui browser aziendali e valutare il rischio di profilazione. Rimuovere estensioni non necessarie.
5. 5.Comunicazioni critiche fuori dal browser: per informazioni sensibili, utilizzare canali di comunicazione cifrati end-to-end e architetture peer-to-peer che non dipendono da piattaforme soggette a sorveglianza.
6. 6.Formazione del personale: sensibilizzare i dipendenti sul fatto che la navigazione web espone informazioni sull'ambiente tecnologico aziendale, e che la separazione tra profili personali e aziendali è una misura di sicurezza, non solo di comodità.

Conclusione: Il Browser È il Nuovo Campo di Battaglia

BrowserGate è la dimostrazione definitiva che il browser web non è uno strumento neutro. È un campo di battaglia dove piattaforme corporate, inserzionisti, attori statali e cybercriminali competono per estrarre il massimo di informazioni da ogni visitatore. LinkedIn scansiona le tue estensioni per proteggere il proprio monopolio commerciale. Un APT usa la stessa tecnica per profilarti come bersaglio. La differenza è nell'intento, non nella tecnica.

La lezione per ogni organizzazione è chiara: trattare il browser come una superficie di attacco, non come un semplice strumento di navigazione. Separare gli ambienti, minimizzare l'impronta, cifrare le comunicazioni critiche, e partire dal presupposto che ogni sito web che visiti sta cercando di sapere il più possibile su di te e sulla tua organizzazione. Perché, come BrowserGate dimostra, lo sta già facendo.