您装过名为“VPN Go”的浏览器扩展吗？安全公司 Socket 披露，两款以免费 VPN 面目出现的 Chrome 和 Firefox 扩展，一边正常提供代理功能，一边偷偷收集用户复制过的所有内容。如果您装过，请立即卸载，并把这段时间复制过的敏感信息当作已泄露处理。
事件经过
据报道，这两款扩展使用 VPN Go 品牌。发现时，Chrome 版有约 146 个活跃安装，Firefox 版有 3,499 名用户。Chrome 版去年 12 月上线时只是普通的代理工具，恶意代码出现在今年 5 月底发布的更新里。Socket 已通知谷歌和 Mozilla，请求将扩展下架。
它是怎么偷数据的
- Chrome 版：恶意代码在用户访问的每个网站上运行，每 0.5 秒检查一次剪贴板是否有新内容，把复制的文本切段并生成会话标记，再交给后台程序外传。
- 去重：重复内容不会再次上传，以减少可疑的网络流量。
- Firefox 版：在后台脚本中完成同样的事，轮询间隔为 1.5 秒。
- 同一伙人：两个版本连接同一后端，Chrome 版文件里还找到了 Firefox 专用的配置信息，说明它们很可能出自同一开发者。
代理功能本身是真的能用，用户看到 VPN 工作正常就放松了警惕，而代理所需的大量权限，恰好给剪贴板监控提供了掩护。
为什么剪贴板数据这么值钱
很多人习惯把密码、验证码、API 密钥、OAuth 令牌、云服务凭证、加密货币钱包地址甚至助记词复制到剪贴板。这些内容一旦被拿走，攻击者可能直接登录账号、转走资产，甚至控制整台设备。
装过怎么办：5 步补救
- 立即卸载扩展。
- 把安装期间复制过的密码、验证码相关账号全部改密码。
- 轮换 API 密钥、令牌等凭证；如果复制过钱包助记词，要把资产转到全新生成的钱包。
- 开启两步验证，并留意账号有无异常登录。
- 日后装扩展前先看权限：要求“读取所有网站数据”或剪贴板权限的，要格外谨慎。
类似的冒牌 VPN 套路并不少见，可以对照本站此前的报道：假 VPN 安装包盗号：微软警告 Storm-2561 用搜索排名投毒。总之，免费 VPN 扩展尽量别装，要用就选有公开运营主体和隐私政策的服务。