正直一番脅威なのはアドオンでしょ
俺はアドオン書いた事ないから分からんけど広告ブロッカー系のアドオン見てると
受信した情報を全て見れてるよね？httpsであっても
銀行とか個人情報を書いたフォームを送信する時は見てないにしても、帰ってきた確認画面は見てるよね
あくどいアドオンはそれを収集して自サーバに送信する事は出来るはず
それこそが確実に個人を特定出来ちゃうよね