Les boutiques d’extensions restent l’un des maillons faibles des navigateurs, et Google Chrome, utilisé par une large majorité des internautes, en fait une nouvelle fois l’expérience. La société de sécurité Socket a dévoilé le 29 octobre 2026 un ensemble de 319 extensions Chrome malveillantes, installées environ 13,4 millions de fois, qui faisaient transiter les recherches de leurs utilisateurs par des serveurs contrôlés par leurs opérateurs avant de les renvoyer vers Yahoo ou Bing.
Une campagne d’extensions Chrome malveillantes à grande échelle
Le chiffre de 13,4 millions d’installations résulte d’un travail mené sur plusieurs années par John Tuckner, chercheur chez Socket. Une première série de 57 extensions, totalisant environ 6 millions d’utilisateurs, avait déjà été signalée en avril 2025. La nouvelle analyse ajoute 264 extensions supplémentaires, pour quelque 8,7 millions d’utilisateurs Le bilan consolidé retenu par les chercheurs s’établit à 319 extensions et 13,4 millions d’installations.
Ces modules se présentaient sous des noms anodins et des fonctions utiles au quotidien : convertisseurs de fichiers PDF, outils pour retrouver des modes d’emploi, filtres de « recherche sécurisée » ou moteurs de recherche dopés à l’intelligence artificielle. Le décor variait, mais la mécanique de ces extensions Chrome malveillantes restait la même d’un module à l’autre.
319 extensions, 13,4 millions d’installations cumulées : c’est l’ampleur du réseau de détournement de recherches mis au jour par Socket le 29 octobre 2026.
Un détournement qui passe par un réglage officiel de Chrome
Le procédé ne repose sur aucune faille technique. Chrome autorise les extensions à remplacer le moteur de recherche par défaut grâce à un paramètre prévu à cet effet, baptisé chrome_settings_overrides. Une extension peut donc, en toute légalité apparente, décider de l’endroit où partent les requêtes tapées dans la barre d’adresse.
Ce choix technique explique la discrétion de la campagne. Plusieurs extensions examinées ne contenaient presque aucun code : un simple fichier de configuration (le manifeste, qui décrit le fonctionnement d’une extension) et quelques icônes, sans script ni demande d’autorisation particulière. Lors de l’installation, l’avertissement affiché par Chrome ne précise pas clairement vers quel service les recherches seront acheminées.
Une fois en place, chaque requête passait par un serveur intermédiaire, ou par une succession de sites, avant d’aboutir sur Yahoo ou Bing. L’internaute obtenait bien ses résultats et ne percevait, la plupart du temps, aucune anomalie.
Ce que les opérateurs gagnaient avec ces fausses extensions
Le modèle économique repose sur la fraude publicitaire. Les moteurs de recherche rémunèrent des partenaires qui leur apportent du trafic, à travers des programmes de syndication. En marquant chaque recherche détournée avec un identifiant de partenaire, les opérateurs encaissaient des commissions sur un trafic qu’ils n’avaient pas réellement apporté.
À cette rente s’ajoute un accès direct aux requêtes elles-mêmes. Or l’historique de recherche en dit long sur une personne : questions de santé, situation financière, préoccupations professionnelles. Les requêtes étaient souvent associées à un identifiant unique, ce qui permettait de relier entre elles les recherches d’un même utilisateur au fil du temps.
Un risque qui pouvait évoluer sans mise à jour
Le point le plus préoccupant tient à la flexibilité du dispositif. Puisque la destination finale était choisie par le serveur intermédiaire, et non par l’extension, les opérateurs pouvaient la modifier à tout moment, sans publier la moindre mise à jour susceptible d’éveiller les soupçons. Lors d’un test sur une extension baptisée Predator Search, six recherches identiques ont ainsi abouti à quatre destinations différentes, dont des pages intermédiaires et une page d’erreur.
Socket n’a pas relevé de redirection vers des sites d’hameçonnage (phishing, ces fausses pages qui imitent un service connu pour voler des identifiants) ni vers des logiciels malveillants. La porte restait toutefois ouverte à ce type d’usage, ce qui place ces modules à la frontière entre programme indésirable et véritable logiciel malveillant.
Comment ces extensions sont arrivées sur les ordinateurs
La diffusion des extensions Chrome malveillantes s’appuyait sur la publicité en ligne plutôt que sur la vitrine officielle. La plupart des extensions étaient hébergées sur le Chrome Web Store, mais en mode non répertorié : elles n’apparaissaient pas dans les résultats de recherche de la boutique et ne pouvaient être installées qu’à partir d’un lien direct. Ces liens étaient promus par des annonces publiées sur des sites tiers et des régies publicitaires, y compris Google Ads.
Les chercheurs ont identifié plusieurs familles d’extensions liées entre elles, dont les deux plus importantes sont résumées ci-dessous.
| Groupe | Nombre d’extensions | Utilisateurs | Particularité |
|---|---|---|---|
| SecuryBrowse | 58 | 4,9 millions | Noms à consonance sécuritaire (Fire Shield, Securify, WatchTower) |
| Bing-Search | 37 | 2,2 millions | Groupe le plus actif récemment, promu par la régie Bidbrain |
La majorité de ces extensions avaient déjà été retirées du Chrome Web Store au moment de la publication du rapport. De nouvelles extensions du même type continuent néanmoins d’apparaître régulièrement.
Comment vérifier si votre navigateur est concerné
Quelques minutes suffisent pour s’assurer que Chrome n’a pas été détourné. Les vérifications recommandées sont les suivantes :
- ouvrir la page chrome://extensions et supprimer toute extension inconnue, inutilisée ou installée depuis une publicité ;
- contrôler le moteur de recherche dans Paramètres, rubrique Moteur de recherche : si Chrome indique qu’une extension contrôle ce réglage, la désinstaller ;
- comparer les extensions installées avec la liste publiée par Socket ;
- lancer une analyse complète avec un antivirus à jour.
À titre de comparaison, la précédente vague documentée en avril 2025 ne concernait qu’environ 6 millions d’utilisateurs. Google n’avait pas réagi publiquement au rapport de Socket lors de sa publication, le 29 octobre 2026.
