Un componente aggiuntivo opzionale è un servizio, una funzionalità o un beneficio extra offerto insieme a un prodotto principale e che può essere disciplinato da termini, autorizzazioni o costi separati. Nella sicurezza informatica, i componenti aggiuntivi compaiono spesso negli abbonamenti software, nelle estensioni del browser, nei piani cloud o nei servizi gestiti. Possono essere utili, ma ampliano anche la superficie di attacco se richiedono un accesso ampio, raccolgono dati aggiuntivi o si basano su componenti di terze parti.
I team di sicurezza osservano da vicino i componenti aggiuntivi opzionali perché gli attaccanti possono abusarne come scorciatoia di fiducia. Un'estensione, un plug-in o un modulo premium legittimo può aggirare lo scetticismo dell'utente, ma introdurre comunque impostazioni predefinite rischiose, privilegi eccessivi o una gestione degli aggiornamenti debole. I difensori dovrebbero verificare a cosa può accedere il componente aggiuntivo, se è firmato e mantenuto e se la sua attivazione modifica la registrazione, la condivisione dei dati o il comportamento di autenticazione. La regola più sicura è semplice: se il componente aggiuntivo non serve, non installarlo né abilitarlo.