您装的免费 VPN 浏览器扩展，会不会在偷看您复制的内容？安全公司 Socket 披露，两款冒充免费 VPN 的扩展（品牌名 VPN Go）会窃取用户的剪贴板内容，同时保留代理功能来掩人耳目。先说结论：装过的人应立即卸载，并把期间复制过的敏感信息视为已泄露。
事件经过
据 Socket 披露，Chrome 版本发现时约有 146 个活跃安装，Firefox 版本有 3,499 名用户。Chrome 版在去年 12 月上线时只是正常的代理工具，恶意代码出现在今年 5 月底发布的更新里，也就是通过看似普通的更新“夹带”进去。Socket 已通知谷歌和 Mozilla，要求下架。
它们怎么偷数据
- Chrome 版的恶意代码会在用户访问的每个网站上运行，每 0.5 秒检查一次剪贴板，把复制的文本分段并生成会话标记，交给后台处理后发送出去。
- 它会忽略重复内容，减少可疑流量；后台服务再把数据发给攻击者控制的服务器。
- Firefox 版本做法类似，只是轮询间隔为 1.5 秒；两者连接同一后端，研究人员在 Chrome 版文件里还找到了 Firefox 版的配置信息，推测来自同一开发者。
剪贴板为什么值得偷
很多人会把密码、验证码、API 密钥、云服务凭证、OAuth 令牌、加密货币钱包地址甚至助记词复制到剪贴板。一旦被扩展读走，攻击者可能借此登录账号、盗取资产。这些扩展的代理功能是真的，用户看到 VPN 正常工作就放松了警惕，而代理所需的大范围权限，正好给剪贴板监控提供了掩护。
装过怎么办：4 步补救
- 立即卸载 VPN Go 扩展。
- 把安装期间复制过的密码、密钥、令牌视为泄露，逐个修改或轮换。
- 如果复制过钱包地址或助记词，评估是否需要更换钱包。
- 留意相关账号有无异常登录和操作。
以后装扩展时，多看权限：要求读取所有网站数据或访问剪贴板的，要格外谨慎，尽量选开发者公开、评价和更新记录可查的。同类的安装包投毒案例可以看假 VPN 安装包盗号：微软警告 Storm-2561，本事件的另一篇报道见假 VPN 浏览器扩展窃取剪贴板：Chrome、Firefox 用户自查。
常见问题（FAQ）
怎么确认自己装没装过？在浏览器扩展管理页里搜索“VPN Go”。
只用浏览器自带的密码管理器安全吗？密码管理器填充通常不经过剪贴板，但手动复制粘贴会，注意减少复制敏感信息。
来源：Socket 的安全研究披露及媒体报道，信息查询于 2026 年 11 月 9 日。