Därför kan webbläsarattacker undgå upptäckt på ändpunkter

Endpoint Detection and Response (EDR) kan upptäcka skadlig kod och annan aktivitet på en enhet, men vissa attacker sker i webbläsarsessioner och molnappar utan att skapa en misstänkt process. NordLayer, vars vice vd för produktstrategi Andrius Buinovskis skrev källartikeln, beskriver tre sätt som detta kan skapa luckor i ändpunktstelemetrin.

För det första kan nätfiske med en mellanhand stjäla en autentiserad session. Den Microsoft-spårade aktören Storm-2755 riktade in sig på anställda i Kanada under 2026 med skadliga annonser och sökresultat som ledde till Microsoft 365-inloggningssidor kontrollerade av angriparen. Microsoft observerade att en stulen session användes igen, följt av åtkomst till tjänster samt löne- och HR-information. Enligt källan kan nätfiskeresistent FIDO2 WebAuthn hjälpa till att förhindra många sådana attacker.

För det andra kan skadliga webbläsartillägg läsa sidinnehåll och skicka det via HTTPS samtidigt som aktiviteten ser ut som vanlig webbläsartrafik. Microsoft rapporterade i mars 2026 att skadliga Chromium-tillägg som utgav sig för att vara AI-assistenter hade installerats omkring 900 000 gånger, med bekräftad aktivitet i fler än 20 000 företagstenanter. Tilläggen samlade in besökta webbadresser och innehåll från ChatGPT- och DeepSeek-konversationer.

För det tredje kan användare ladda upp data eller godkänna OAuth-begäranden i webbläsarbaserade SaaS-sessioner utan att utlösa den aktivitet på enheten som EDR är utformat för att granska. NordLayer rapporterar i Browser Security Report 2026 att samtliga 504 granskade appar kunde nås via webbläsare och att 79 % av verktygen endast var tillgängliga via en webbläsare. Källan menar att webbläsarkontroller kan ge bättre insyn i webbåtkomst, tillägg, filöverföringar och urklippsåtgärder.