Urban VPN: לפי Koi, תוסף ה-VPN אסף שיחות AI של מיליוני משתמשים ושלח אותן החוצה
ב-15 בדצמבר 2025 פרסמה Koi Security שתוסף Urban VPN Proxy ל-Chrome ול-Edge אוסף שיחות עם ChatGPT, Claude ועוד. לפי Koi, אותו קוד קיים בעוד שבעה תוספים של המפרסם, ובסך הכול למעלה מ-8 מיליון משתמשים.
TL;DR בקצרה
- Koi Security פרסמה ב-15 בדצמבר 2025 שתוסף Urban VPN Proxy מזריק סקריפטים לאתרי AI, אוסף את ההנחיות והתשובות ושולח אותן לשרתי החברה.
- האיסוף נוסף בגרסה 5.5.0 מ-9 ביולי 2025, פועל כברירת מחדל גם כשה-VPN כבוי, ואין מתג שמכבה אותו.
- לפי Koi, הקוד קיים גם ב-1ClickVPN Proxy, Urban Browser Guard ו-Urban Ad Blocker, בחנויות של Chrome ושל Edge, ובסך הכול למעלה מ-8 מיליון משתמשים.
- לפי Malwarebytes, ב-18 בדצמבר 2025 נראה שהתוספים הוסרו מחנות Chrome, ובחנות של Edge הם עדיין היו זמינים.
ב-15 בדצמבר 2025 פרסמה Koi Security ממצא על Urban VPN Proxy, תוסף VPN חינמי. לפי Koi, הוא אוסף את השיחות של המשתמשים עם צ'טבוטי AI. אותו קוד קיים, לדבריה, בעוד שבעה תוספים מאותו מפרסם. בסך הכול יש להם למעלה מ-8 מיליון משתמשים.
מי שהתקין VPN כדי להגן על הפרטיות עלול היה לחשוף דווקא את מה שהקליד ל-ChatGPT או ל-Claude. Koi מציינת שהשיחות האלה עשויות לכלול שאלות רפואיות, פרטים כספיים וקוד קנייני. החברה שמאחורי התוסף מקבלת את הנתונים בשרתים שלה.
איך Urban VPN אוסף שיחות AI
לפי Koi, כשנכנסים לאתר של פלטפורמת AI, התוסף מזריק לדף סקריפט ייעודי. הפלטפורמות כוללות את ChatGPT, Claude, Gemini, Microsoft Copilot, Perplexity, DeepSeek, Grok ו-Meta AI. הסקריפט עוטף את הפונקציות fetch ו-XMLHttpRequest של הדפדפן. כך כל בקשה ותשובה בדף עוברות דרך הקוד של התוסף לפני שהדפדפן מציג אותן.
התוסף מחלץ מהתעבורה את ההנחיות שכתבתם, את התשובות של ה-AI, חותמות זמן ומזהי שיחה. הוא דוחס אותם ושולח לשרתים בכתובות analytics.urban-vpn.com ו-stats.urban-vpn.com.
האיסוף פועל כברירת מחדל, גם כשה-VPN כבוי. אין מתג שמכבה אותו. לפי Koi, הדרך היחידה לעצור אותו היא להסיר את התוסף.
מה השתנה בגרסה 5.5.0 ומי מקבל את הנתונים
האיסוף לא היה שם מההתחלה. לפי Koi, גרסה 5.5.0 שיצאה ב-9 ביולי 2025 הוסיפה אותו. תוספי Chrome ו-Edge מתעדכנים אוטומטית, ולכן משתמשים קיימים קיבלו את הקוד בלי אזהרה.
Urban Cyber Security Inc. מפעילה את Urban VPN, והיא קשורה ל-BiScience, מתווכת מידע. מדיניות הפרטיות, כפי ש-Koi מצטטת אותה, אומרת שהחברה משתפת נתוני גלישה עם BiScience. החברה הזאת יוצרת מהם תובנות לשימוש מסחרי. במדיניות כתוב גם שהחברה חושפת את ההנחיות ל-AI לצורכי ניתוח שיווקי.
בחנות של Chrome הוצג המצב אחרת. לפי Koi, המפרסם הצהיר שם שהוא לא מוכר את הנתונים לצד שלישי, מעבר למקרים מאושרים. הדף מזכיר היסטוריית גלישה ותוכן אתרים, אבל לא שיחות AI.
אילו תוספים נושאים את הקוד של Urban VPN
הקוד קיים בארבעה תוספים של אותו מפרסם, והם זמינים בשתי החנויות, של Chrome ושל Edge. השמות הם Urban VPN Proxy ו-1ClickVPN Proxy, וגם Urban Browser Guard ו-Urban Ad Blocker. לפי Koi, ל-Urban VPN Proxy יש 6 מיליון משתמשים בחנות של Chrome, ועוד כ-1.3 מיליון בחנות של Edge.
ל-Urban VPN Proxy ב-Chrome יש גם תג Featured של Google. Koi שואלת אם הבדיקה האנושית שמקדימה את התג בחנה את הקוד. לפי The Register, Google לא הגיבה בזמן הפרסום.
מה זה אומר עבורכם
- הסירו את התוספים: בדקו ב-chrome://extensions וב-edge://extensions. הסירו כל אחד מארבעת התוספים שמצאתם.
- הניחו שחשפתם שיחות: Koi ממליצה להניח ששיחות ה-AI שניהלתם מאז 9 ביולי 2025 הגיעו לצדדים שלישיים. אל תדביקו בשיחות עוד סודות, ושקלו להחליף סיסמאות ומפתחות שהופיעו בשיחות.
- אל תסתמכו על תג Featured: הוא מעיד על בדיקה של החנות. הוא לא מבטיח שהתוסף עושה רק מה שהובטח.
- בארגון, הגבילו תוספים: הגדירו רשימת תוספים מאושרים. בדקו גם אילו VPN וחוסמי פרסומות מותקנים אצל העובדים.
- בדקו הרשאות: תוסף VPN או חוסם פרסומות שמבקש גישה לכל האתרים הוא סיבה לחשוד.
מה קרה מאז
ב-18 בדצמבר 2025 דיווחה Malwarebytes שחנות Chrome כנראה הסירה את Urban VPN Proxy. כך גם התוספים האחרים של Urban Cybersecurity. בחנות של Edge הם עדיין היו זמינים בעת הכתיבה. לפי The Register, הודעות דוא״ל ל-Urban VPN, ל-BiScience ול-1ClickVPN חזרו כשגויות.
מקורות והרחבה
- 8 Million Users' AI Conversations Sold for Profit by "Privacy" ExtensionsKoi Security
- Browser 'privacy' extensions have eye on your AI, log all your chatsThe Register
- Featured Urban VPN caught stealing private AI chatsCSO Online
- Chrome extension slurps up AI chats after users installed it for privacyMalwarebytes
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
