Bezpieczeństwo przeglądarki w mid-markecie: nowy endpoint, którego nikt nie pilnuje

dlaczego przeglądarka stała się ryzykiem

Przejście od zainstalowanych aplikacji do przeglądarki było stopniowe, a model bezpieczeństwa za nim nie nadążył. Katalog decyduje, kto może się zalogować, ale traci widoczność, gdy tylko zaczyna się sesja. Narzędzia sieciowe, które kiedyś obserwowały cały ruch, widzą coraz mniejszy jego wycinek, w miarę jak ludzie pracują poza firmową siecią. Agenty endpointowe sprawdzają urządzenie i pliki na nim, a nie zawartość strony otwartej przed użytkownikiem. Dlatego właśnie 82% interaktywnych włamań jest dziś wolnych od malware: atakujący działa przez ważne logowania i przeglądarkę, a nie przez plik, który wychwyciłoby narzędzie endpointowe (CrowdStrike, 2026). Przeglądarka to nowy endpoint, a dla większości firm mid-market pozostaje niemonitorowana.

co odsłania przeglądarka

Dane wychodzące przez stronę. Wrażliwe dane wklejone do prywatnego konta AI, przesłane na prywatny dysk w chmurze albo skopiowane do narzędzia, którego nikt nie zatwierdził. Tradycyjne DLP zbudowane pod mail i ruch sieciowy nie widzi wklejenia do aplikacji webowej.

Konta prywatne obok służbowych. Ludzie prowadzą konta prywatne i służbowe w tej samej przeglądarce. Dane firmowe trafiają do prywatnych narzędzi AI i prywatnej przestrzeni dyskowej, często bez żadnej złej intencji i zupełnie poza polem widzenia katalogu.

Złośliwe i nadmiernie uprawnione rozszerzenia. Rozszerzenia przeglądarki mogą odczytywać wszystko na odwiedzanych stronach, łącznie z tym, co wpisujesz. Ryzykowne rozszerzenie to w praktyce keylogger i czytnik ekranu działający z uprawnieniami samego użytkownika. Większość firm nie ma pojęcia, jakie rozszerzenia są zainstalowane u ich ludzi.

Shadow SaaS i shadow AI. To przez przeglądarkę wdraża się shadow tools: szybka rejestracja, bez instalacji, bez procesu zakupowego. Narzędzia, które nigdy nie dotykają single sign-on, są niewidoczne dla katalogu, ale wyraźnie widoczne w przeglądarce.

Kradzież danych uwierzytelniających i sesji. Strony phishingowe, złośliwe witryny i kradzież tokenów sesji dzieją się w przeglądarce i coraz częściej omijają uwierzytelnianie wieloskładnikowe, kradnąc sesję po zalogowaniu zamiast hasła przed nim. Phishing typu adversary-in-the-middle wzrósł rok do roku o 146%, a narzędzia do jego przeprowadzania generują dziś dziesiątki tysięcy prób dziennie (Microsoft, 2025), a kradzież danych uwierzytelniających, przejęcie sesji lub nadużycie tokenu pojawiają się w około 70% analizowanych incydentów (Castellum Labs, 2025). To sesja, nie tylko hasło, wymaga ochrony.

kontrole, które zamykają tę lukę

Egzekwuj single sign-on i dostęp warunkowy. Umieść jak najwięcej aplikacji za swoim dostawcą tożsamości i użyj dostępu warunkowego, żeby firmowe aplikacje były osiągalne tylko z akceptowalnych kontekstów. To zmniejsza powierzchnię ataku, zanim dodasz cokolwiek specyficznego dla przeglądarki.

Zarządzaj rozszerzeniami przeglądarki. Zdobądź widoczność, jakie rozszerzenia są zainstalowane, i kontroluj, które są dozwolone, zwłaszcza te żądające szerokiego dostępu do odczytu zawartości strony. To jedna z najbardziej wartościowych, a najrzadziej wdrażanych kontroli.

Dodaj DLP na poziomie przeglądarki. Żeby zatrzymać wrażliwe dane przed trafieniem na prywatne konta AI albo do niezatwierdzonych narzędzi, potrzebujesz kontroli, która widzi stronę, bo to tam dzieje się akcja. DLP na poziomie przeglądarki może ostrzegać albo blokować przesyłanie i wklejanie, których DLP sieciowe i mailowe w ogóle nie widzą.

Oddziel pracę od życia prywatnego. Trzymaj aktywność służbową w zarządzanej przeglądarce albo zarządzanym profilu, oddzielnie od przeglądania prywatnego, żeby dane firmowe i konta prywatne nie dzieliły tej samej przestrzeni.

Przenieś discovery do przeglądarki. Skoro przeglądarka widzi shadow SaaS i AI na kontach prywatnych, których nie widzi katalog, jest też jednym z najlepszych miejsc, żeby je wykryć.

Pokryj urządzenia niezarządzane i prywatne. Duża część ryzyka związanego z przeglądarką żyje na urządzeniach, których nie zarządzasz: kontraktorzy, prywatne laptopy, BYOD. Kontrola na poziomie przeglądarki może rozszerzyć ochronę na te urządzenia bez zarządzania całym sprzętem, co często jest jedyną praktyczną opcją.

jak to się wpisuje w resztę twoich kontroli

Bezpieczeństwo przeglądarki nie zastępuje bezpieczeństwa tożsamości, SaaS ani endpointów. To warstwa, która pokrywa to, do czego one nie sięgają. Tożsamość decyduje, kto może się zalogować. Zarządzanie SaaS pokrywa aplikacje podłączone do twojego katalogu. Warstwa przeglądarki pokrywa to, co ludzie faktycznie robią, gdy już są na stronie, łącznie z kontami prywatnymi i shadow tools, których pozostałe warstwy nigdy nie widzą. Razem zamykają lukę między tym, co podłączone, a tym, co się faktycznie dzieje.

To także realna praca na rzecz compliance: kontrola nad tym, gdzie można wklejać lub przesyłać dane osobowe, wspiera RODO, a kontrola nad wypływem danych do AI wspiera unijny AI Act i twoją własną politykę AI.