Un'estensione evil twin è un componente aggiuntivo falso che imita uno strumento legittimo per sviluppatori, spesso copiandone da vicino il nome, il marchio o la funzione abbastanza da indurre gli utenti a installarla. Nei marketplace software, questi falsi si basano sulla fiducia e sulla rapidità: uno sviluppatore cerca uno strumento familiare, vede un elenco convincente e concede le autorizzazioni prima di verificare la provenienza.
Nel campo della sicurezza informatica, le estensioni evil twin sono importanti perché possono trasformare un flusso di lavoro fidato in un canale di ricognizione. Una volta installate, possono raccogliere telemetria come dettagli del sistema operativo, nomi degli spazi di lavoro, strumenti installati o informazioni di rete, quindi inviare tali dati a un aggressore. I difensori dovrebbero verificare l'identità dell'editore, controllare la cronologia del pacchetto, limitare le autorizzazioni delle estensioni e monitorare i computer degli sviluppatori per traffico in uscita insolito. In pratica, la minaccia spesso non è un'interruzione immediata ma una sorveglianza silenziosa che supporta in seguito phishing, furto di credenziali o intrusioni successive.