一份名为 “BrowserGate” 的最新报告揭露了微软旗下 LinkedIn 的一项隐秘操作：其网站正在通过隐藏的 JavaScript 脚本，静默扫描访问者浏览器中安装的 6,000 多个 Chrome 扩展程序，并收集详细的设备指纹数据。
这一行为引发了关于用户隐私、商业竞争伦理以及数据边界的激烈争论。报告指控 LinkedIn 利用这些数据绘制竞争对手的客户地图，而 LinkedIn 则坚称这是为了平台安全和反爬虫的必要防御措施。
🔍 核心争议：扫描了什么？
根据 Fairlinked e.V.（自称商业 LinkedIn 用户协会）的报告及 BleepingComputer 的独立测试，LinkedIn 注入的脚本执行了以下操作：
1. 🕵️♂️ 大规模扩展程序检测
- 检测数量：脚本能够检测 6,236 个特定的 Chrome 扩展程序 ID。这一数字在过去几个月内快速增长（从 2000 到 3000 再到现在的 6000+）。
- 检测原理：利用 Chromium 浏览器的特性，尝试加载扩展程序特有的静态资源文件（如图片、JS 文件）。如果资源加载成功，即证明该扩展已安装。
- 扫描目标：
- 直接竞品：包括 Apollo, Lusha, ZoomInfo 等 200 多个与 LinkedIn Sales Navigator 直接竞争的销售线索工具。
- 无关工具：甚至包括语言语法检查器、税务工具等看似无关的扩展。
2. 📊 深度设备指纹收集
除了扩展程序，脚本还收集了广泛的系统和浏览器数据：
- 硬件信息：CPU 核心数、可用内存、电池状态。
- 环境信息：屏幕分辨率、时区、语言设置、音频上下文信息。
- 存储功能：本地存储能力等。
⚔️ 双方观点交锋
🚨 指控方 (Fairlinked e.V. & 报告作者)
- 商业间谍行为：LinkedIn 利用扫描结果，结合用户的真实身份（雇主、职位），绘制出**“哪些公司正在使用哪些竞争对手产品”**的地图。
- 窃取客户名单：实质上是在未经同意的情况下，从用户浏览器中提取了数千家软件公司的客户列表。
- 执法威胁：指控 LinkedIn 利用这些数据向使用第三方工具的用户发送法律威胁函，以此打击竞争对手。
- 隐私侵犯：用户在完全不知情的情况下被“裸奔”，敏感的商业偏好被泄露。
🛡️ 辩护方 (LinkedIn / 微软)
- 安全防御：LinkedIn 否认用于商业情报，声称扫描仅用于识别违反服务条款的扩展程序（主要是数据抓取/爬虫工具）。
- 保护平台稳定性：某些恶意扩展会注入静态资源并大规模抓取用户数据，导致网站不稳定。检测它们是为了“告知和改进技术防御”。
- 动机质疑：LinkedIn 指出报告作者是因违规抓取数据而被封禁的扩展开发者（Teamfluence），法院已驳回其诉讼，认为这是败诉方的“舆论报复”。
- 数据用途限制：声称不利用这些数据推断成员的敏感个人信息，也不与第三方共享。
⚖️ 法律与事实的灰色地带
- 法院裁决：德国法院此前驳回了相关开发者对 LinkedIn 的禁令请求，认定 LinkedIn 有权封锁违规账户以保护平台，且自动数据收集本身在未证实违法前不构成非法阻碍。
- 技术事实：无论动机如何，LinkedIn 确实在用户不知情下扫描了 6000+ 扩展及设备指纹，这一技术事实无可争议。
- 行业先例：这种激进的指纹识别并非孤例。2021 年 eBay 曾被发现扫描远程支持软件端口；Citibank, TD Bank, Equifax 等金融机构也被发现使用类似脚本，通常用于反欺诈。
💡 深层影响与反思
- 隐私边界的模糊：浏览器扩展列表被视为用户隐私的一部分。当平台可以随意读取这份列表并与真实身份绑定时，用户的数字主权何在？
- 既当裁判又当运动员：作为拥有巨大市场支配力的平台，LinkedIn 利用其网站流量来监控竞争对手工具的渗透率，是否存在滥用市场地位的嫌疑？
- 安全 vs. 监控：虽然反爬虫是合理的安全需求，但扫描范围扩大到6000+（包含大量非爬虫工具）是否超出了“最小必要原则”？
- 浏览器厂商的责任：Chromium 架构允许通过资源加载检测扩展，这是否是一个需要修复的隐私漏洞？Firefox 和 Safari 是否有更好的防护机制？
🛡️ 用户如何应对？
虽然普通用户很难完全阻止此类脚本，但可以采取以下措施降低风险：
- 使用隐私浏览器：如 Firefox (配合 Strict 模式)、Brave 或 Tor，它们可能默认阻止此类指纹识别尝试。
- 安装反指纹扩展：如 CanvasBlocker, Chameleon, 或 Privacy Badger，干扰脚本获取准确的设备信息。
- 审查扩展权限：定期检查并移除不再使用的 Chrome 扩展，减少暴露面。
- 隔离环境：对于高度敏感的工作，考虑使用专用的浏览器配置文件或虚拟机访问 LinkedIn，避免主用浏览器的扩展列表被扫描。
评论