Poper Blocker, расширение из Chrome Web Store с более чем 2 млн активных пользователей, исследователи Bay Area Labs называют spyware: оно якобы собирает полные URL, скриншоты страниц и переписки с AI-чатботами. Для русскоязычных IT-команд это неприятное напоминание: «одобрено Google» и «популярно у пользователей» больше не равно «можно ставить на рабочие ноутбуки без вопросов».
Расследование опубликовал Dark Reading. По его данным, Poper Blocker выглядит почти образцово: значок Featured в магазине Chrome, статус Established Publisher у разработчика, рейтинг 4,8 из 5 на основе более чем 81 тыс. отзывов и заявленные 2 млн активных пользователей. То есть ровно тот набор сигналов, который обычный пользователь, да и многие IT-отделы, воспринимают как зеленый свет.
Bay Area Labs утверждает, что за фасадом блокировщика рекламы скрывается куда более прожорливый сборщик данных. Расширение, по данным исследователей, записывает полный адрес каждой посещенной страницы, умеет делать скриншоты и извлекать данные со страниц. Отдельная боль для компаний, которые уже пустили генеративный ИИ в рабочие процессы: Poper Blocker, как утверждается, собирает истории общения с Claude, ChatGPT и Gemini, включая промпты, ответы, названия диалогов, используемые модели и сведения о подписке.
Блокировщику рекламы действительно нужно понимать, какие сайты открывает пользователь: без этого он не сможет резать баннеры, попапы и трекеры. Но между локальной фильтрацией и отправкой подробной истории браузинга третьим лицам лежит довольно широкая пропасть. В политике конфиденциальности Poper Blocker, по данным Dark Reading, есть упоминания о сборе и анализе данных посещенных сайтов, а также о возможности передачи информации партнерам для рыночных исследований. Проблема в том, что пользователь видит не юридическую механику монетизации, а аккуратную кнопку установки в магазине Google.
Исследователи также описывают техническую часть, которая уже меньше похожа на спор о приватности и больше — на классическую вредоносную инфраструктуру. Poper Blocker, по их версии, не хранит всю подозрительную логику в основном коде. Вместо этого расширение поставляет интерпретатор, который загружает инструкции с управляющего сервера. После установки оно выжидает 24 часа перед загрузкой компонентов, кодирует и обфусцирует полезную нагрузку, проверяет, не запущено ли оно в песочнице, и может менять домен управляющего сервера.
Это особенно неловко на фоне Manifest V3 — актуального набора правил для расширений Chrome, где Google ограничивает удаленно загружаемый код. Формально магазин должен снижать риск подобных схем: меньше динамики, больше проверяемости, меньше сюрпризов после ревью. На практике, если выводы Bay Area Labs подтвердятся, получается знакомый для security-индустрии сюжет: платформа усилила правила, злоумышленники или недобросовестные поставщики адаптировали упаковку, а пользователю снова досталась роль добровольного тестировщика.
История не ограничивается одним расширением. Dark Reading связывает Poper Blocker с Big Star Labs — разработчиком, которого AdGuard еще в 2018 году обвинял в массовом сборе пользовательских данных через несколько приложений и расширений. Тогда речь шла о семи продуктах с совокупной аудиторией более 11 млн пользователей. Сейчас, по данным издания, как минимум три расширения Big Star Labs остаются в Chrome Web Store: Poper Blocker, CrxMouse и BlockSite. Вместе они обслуживают почти 4 млн пользователей в магазине Chrome, а BlockSite дополнительно набрал более 10 млн установок в Google Play.
Есть и корпоративный слой этой истории. Big Star Labs, как пишет Dark Reading, в 2017 году зарегистрировалась как limited partnership в Делавэре, где публичные документы не раскрывают владельцев и операторов. Указанный адрес компании ведет к неприметному одноэтажному зданию, которое используют и другие фирмы. На странице LinkedIn у компании указаны три сотрудника, при этом фотографии профилей, по данным расследования, похожи на бесплатные стоковые изображения. Это не доказывает вредоносность кода, но для поставщика с доступом к браузерам миллионов пользователей выглядит, мягко говоря, не как эталон прозрачности.
Google уже сталкивалась с претензиями к Big Star Labs: после публикации AdGuard восемь лет назад приложения разработчика удаляли из Chrome Web Store, но часть из них вернулась примерно через две недели. В мае 2026 года Bay Area Labs, по данным Dark Reading, сообщила Google о Poper Blocker, однако на момент публикации материалa расширение оставалось доступным. Google не ответила изданию на запрос комментария, Big Star Labs тоже не предоставила комментарий.
Для разработчиков и IT-директоров главный вывод довольно практичный: браузерные расширения нужно рассматривать как полноценное ПО с доступом к данным, а не как мелкие удобные «добавки» к браузеру. Если расширение видит все страницы, оно потенциально видит внутренние панели, CRM, таск-трекеры, почту, админки, облачные консоли и AI-чаты с фрагментами кода, roadmap, инцидентами и персональными данными. DLP и EDR могут не поймать утечку, если трафик замаскирован, обфусцирован или выглядит как легитимное поведение установленного расширения.
Минимальная гигиена для компаний после таких историй — белые списки расширений, ревью разрешений, запрет на установку из магазина «по настроению», регулярная инвентаризация браузеров и отдельный контроль инструментов, которые получают доступ ко всем сайтам. Для стартапов это звучит скучно ровно до первого случая, когда промпты с клиентскими данными или внутренним кодом уезжают в неизвестную сторону через красивый ad blocker с высоким рейтингом.
Скандал вокруг Poper Blocker бьет не только по одному разработчику, а по модели доверия к магазинам расширений. Пользователи привыкли делегировать проверку платформам, платформы доверяют сигналам репутации и автоматическим проверкам, а расширения тем временем становятся полноценным каналом доступа к рабочей жизни человека. Следующий спор, похоже, будет не о том, нужны ли бейджи доверия, а о том, сколько реальной проверки должно стоять за каждым таким бейджем.
