Google rolt nieuwe beveiligingsmaatregelen uit in Chrome bescherming ClickFix en andere vormen van social engineering. De update richt zich op twee probleemgebieden: pagina’s die gebruikers misleiden met nepwaarschuwingen of oplichterij, en ClickFix-aanvallen waarbij slachtoffers zelf commando’s kopiëren en uitvoeren in een terminal.
Volgens Google moeten deze verbeteringen zorgen voor meer bescherming in realtime, terwijl de impact op legitiem ontwikkel- en testwerk zo beperkt mogelijk blijft.
Nieuwe Safe Browsing-waarschuwingsniveaus
Chrome’s Safe Browsing krijgt voortaan twee gradaties bij sitewaarschuwingen. Waar eerder vooral één herkenbaar waarschuwingsniveau leidend was, sluit het nieuwe systeem aan op een model dat eerder is toegepast bij bestanddownloads.
Wanneer Safe Browsing met hoge zekerheid vaststelt dat een pagina schadelijk is, verschijnt de volledige rode waarschuwing voor “dangerous site”. Bij lagere (maar nog steeds verdachte) zekerheid komt een extra niveau beschikbaar: “suspicious site”.
Google geeft aan dat dit tweede niveau helpt om meer verdachte pagina’s zichtbaar te blokkeren of te waarschuwen, zonder dat de volledige “dangerous” ervaring overal nodig is.
Gemini-scan verschuift naar de server
Een tweede belangrijke pijler is de inzet van Gemini voor scamdetectie. De aanpak maakt deel uit van Enhanced Protection, de Safe Browsing modus die Google al in 2020 introduceerde.
Google stelt dat meer dan een miljard Chrome-gebruikers Enhanced Protection inmiddels hebben ingeschakeld. Ten opzichte van Standard Protection claimt Google dat gebruikers “tien keer” veiliger zijn tegen onder meer phishing, social engineering en notification abuse. De onderbouwing is gebaseerd op het gemiddeld aantal waarschuwingen dat gebruikersgroepen ontvangen.
Wat Gemini precies beoordeelt
Volgens Google kijkt het servermodel naar signalen zoals de merkweergave, het doel van de pagina en een score die de kans op een scam inschat. Safe Browsing combineert vervolgens de analyse van Gemini met domeinreputatie en andere beveiligingssignalen om tot één eindoordeel te komen.
Daarbij benadrukt Google dat paginacontent alleen wordt geanalyseerd wanneer een site sterke tekenen van een scam vertoont. Bovendien zou content die wordt doorgegeven aan het systeem ephemeraal worden verwerkt: het wordt niet opgeslagen, niet gebruikt om AI-modellen te trainen en niet gelogd.
Extra detectie bij ClickFix: clipboard als signaal
ClickFix-aanvallen werken vaak anders dan klassieke browser-malware. Slachtoffers worden verleid om een commando te kopiëren en zelf uit te voeren—meestal in een terminal. Omdat de daadwerkelijke download van malware dan plaatsvindt via de command line (en niet via de browser), worden traditionele downloadbeschermingen in Chrome minder effectief.
Google zegt daarom nu te kunnen herkennen wanneer Enhanced Protection-gebruikers worden gemanipuleerd bij het kopiëren van een verdachte ClickFix-opdracht. Als een mogelijk ClickFix-script wordt gekopieerd, wordt de inhoud van de clipboard automatisch opgeschoond: er wordt een PII-scrub toegepast op privacygevoelige informatie. Daarna gaat een payload naar Safe Browsing voor verdere analyse.
Komt Safe Browsing tot een gevaarlijk oordeel, dan laat Chrome een waarschuwing zien. Google geeft aan dat het systeem ontworpen is voor hoge precisie, zodat het echte developer-activiteiten zo min mogelijk verstoort.
Wil je meer context over hoe je kunt reageren op misbruik van AI-achtige workflows en verdachte agentgedrag? Lees dan ook: Rogue AI-agenten: zo reageer je snel en goed.
Chrome vraagt voortaan eerst toestemming voor HTTP
Naast ClickFix en scamdetectie past Chrome ook de manier aan waarop het omgaat met verbindingen via onbeveiligde HTTP. Chrome toont Enhanced Protection-gebruikers al langer een extra stap voor HTTP-verbindingen, maar Google zet dit nu standaard aan voor iedereen.
Het idee is dat de klassieke “Not Secure”-labeling niet genoeg is. Onderzoek dat Google aanhaalt laat zien dat passieve indicatoren gemist kunnen worden, en dat kortlevende HTTP-verkeer—bijvoorbeeld bij redirects—de “Not Secure” status soms helemaal niet krijgt.
De kern zit volgens Google in het moment waarop een gebruiker gewaarschuwd wordt: het label verschijnt vaak pas als de gegevensverbinding al is blootgesteld.
Hoe de nieuwe prompt werkt
Google zegt dat de prompt verschijnt bij het eerste bezoek aan een site via HTTP. Als de gebruiker toestemming geeft, volgt er daarna niet opnieuw een waarschuwing, zolang de gebruiker minstens twee weken die site niet bezoekt.
Daarnaast waarschuwt Chrome niet standaard voor hosts die geen publiek vertrouwde HTTPS-certificaat kunnen verkrijgen, zoals single-label hostnames of lokale IP-adressen. Google noemt die sites doorgaans een lager risico, omdat een aanvaller dan bijvoorbeeld in hetzelfde lokale netwerk moet zitten om het verkeer te manipuleren.
Waarom dit relevant is voor organisaties
Hoewel dit bericht vooral over Chrome gaat, is de impact breder. Scams en social engineering verschuiven voortdurend: aanvallers proberen gebruikers niet alleen te overtuigen met pagina’s, maar ook met handelingen—kopiëren, plakken, toestaan—waarbij het “fout” doen niet als technische exploit wordt gepresenteerd.
Met Chrome bescherming ClickFix probeert Google juist die stap in de keten te beïnvloeden: niet alleen het webverkeer of de pagina zelf, maar ook het moment waarop een gebruiker een verdacht commando plaatst in de clipboard.
Voor security teams betekent dit dat defensie niet uitsluitend in browserblokkades zit, maar in een combinatie van waarschuwingen, realtime beoordeling en het verlagen van de kans dat gebruikers onbedoeld gevaarlijke acties uitvoeren.
Wat kun je nu doen?
Je kunt deze verbeteringen het beste beschouwen als extra laag in je beveiligingshygiëne. Toch blijft het belangrijk om intern scherp te blijven op phishing en technische misleiding.
- Train op ClickFix-scenario’s: leg uit dat commando’s die “even moeten” in de terminal niet klakkeloos uitgevoerd mogen worden.
- Gebruik Enhanced Protection: controleer of die beveiligingsmodus ingeschakeld is in Chrome.
- Let op HTTP-prompts: accepteer HTTP alleen als je weet dat de verbinding legitiem en veilig genoeg is.
- Volg patch- en incidentprocedures: behandel waarschuwingssignalen als startpunt voor controle, niet als eindconclusie.
Als je daarnaast geïnteresseerd bent in hoe browser- en webkwetsbaarheden in de praktijk steeds vaker gecombineerd worden met supply chain en accountmisbruik, dan sluit dit ook aan bij eerdere updates zoals: LiteLLM compromis: supply chain en credential stealer.
Conclusie
Google’s nieuwste wijzigingen versterken Chrome bescherming ClickFix via drie concrete routes: strengere en verfijndere Safe Browsing waarschuwingen, Gemini-scamdetectie op serverniveau voor meer bedreigingen, en een extra detectielaag rond gekopieerde ClickFix-commando’s via de clipboard.
Daarbovenop komt standaard een toestemmingsprompt voor verbindingen via HTTP, omdat “Not Secure” alleen te vaak te laat of onopgemerkt is. Samen moeten deze maatregelen de stap van misleiding naar daadwerkelijke schade kleiner maken—en gebruikers sneller waarschuwen op het juiste moment.
