Ставите расширение-переводчик. Оно честно переводит страницы — и в фоне перехватывает каждый
Authorization-заголовок, сливая Bearer-токен через fetch(). Никакого 0-day — только API, который браузер сам отдал.🔍 Расширение с правом
<all_urls> видит весь трафик: банк, корпоративный портал, почту. Обработчик onBeforeSendHeaders получает Cookie, Authorization, X-CSRF-Token до отправки на сервер. Жертва не замечает ничего.⚠️ 42% вредоносных расширений с 2018 года злоупотребляли
webRequest. Manifest V3 вектор не закрыл. Двухфакторка не спасает — расширение внутри периметра доверия браузера.Полный разбор с PoC-кодом и семплами из Chrome Web Store:
https://codeby.net/threads/kak-brauzernyye-rasshireniya-kradut-dannyye-webrequest-declarativenetrequest-i-tekhniki-perekhvata-trafika.92749/