Logiciel malveillant · · 4 min de lecture
Des extensions Chrome cachées ont détourné les recherches d’environ 13,4 millions d’utilisateurs
Des chercheurs de Socket ont trouvé 319 extensions Chrome qui prennent le contrôle de votre moteur de recherche et font passer chaque requête par leurs serveurs. Comment vérifier.
Des extensions de navigateur qui promettent un convertisseur PDF, un outil pour trouver des manuels, une « recherche sécurisée » ou une recherche IA prennent discrètement le contrôle du moteur de recherche des gens. Un nouveau rapport affirme que 319 d’entre elles, installées environ 13,4 millions de fois au total, font passer chaque recherche par des serveurs contrôlés par leurs exploitants avant de la transmettre. La plupart ont été retirées, mais de nouvelles apparaissent sans cesse. Voici ce qu’elles font et comment vérifier votre navigateur en quelques minutes.
Ce qui s’est passé
Le 29 octobre 2026, John Tuckner, de l’entreprise de sécurité Socket, a publié Searchjacked (en anglais), qui ajoute 264 extensions nouvellement repérées, utilisées par environ 8,7 millions de personnes, à des recherches qu’il avait publiées en 2025. Selon Socket, les extensions ont été créées par une poignée d’exploitants organisés, et la technique est utilisée depuis une dizaine d’années.
Les extensions remplacent le moteur de recherche par défaut de votre navigateur. Vos recherches passent d’abord par le serveur de l’exploitant, puis vont vers Yahoo ou Bing avec un code de partenaire, ce qui rapporte à l’exploitant une part des revenus publicitaires. Bon nombre ne sont pas répertoriées dans le Chrome Web Store : on ne les trouve pas en cherchant dans la boutique. Elles sont plutôt poussées par des publicités sur d’autres sites. Certaines ne contiennent presque pas de code : un seul réglage intégré suffit pour changer le moteur de recherche par défaut.
Socket souligne deux risques au-delà des revenus publicitaires. Comme chaque recherche passe par le serveur de l’exploitant, celui-ci peut voir tout votre historique de recherche, souvent lié à un identifiant unique. Et comme c’est le serveur qui décide où aboutit chaque recherche, il pourrait envoyer certaines recherches vers une page d’hameçonnage, une fausse page de résultats ou un téléchargement malveillant, sans aucune mise à jour de l’extension. Lors d’un test rapporté par BleepingComputer (en anglais), six recherches identiques faites avec une même extension ont abouti à quatre endroits différents.
BleepingComputer indique que la plupart des extensions avaient été retirées du Chrome Web Store au moment de la publication du rapport. Le rapport de Socket les énumère toutes.
Ce que ça veut dire pour vous
Vos recherches en disent long sur vous : questions de santé, soucis d’argent, endroits où vous comptez aller. Une extension qui les recueille n’a besoin d’aucune permission particulière pour le faire, c’est pourquoi elles passent facilement inaperçues.
Ce que vous pouvez faire
- Vérifiez votre moteur de recherche par défaut. Dans Chrome, ouvrez Paramètres, puis Moteur de recherche. Si ce n’est pas celui que vous avez choisi, quelque chose l’a changé.
- Passez vos extensions en revue. Ouvrez
chrome://extensionset retirez tout ce que vous ne reconnaissez pas ou n’utilisez plus, surtout les outils de recherche, de PDF, de manuels ou de « navigation sécurisée » installés à partir d’une publicité. - Comparez avec la liste de Socket. La liste complète des extensions se trouve à la fin du rapport de Socket (en anglais).
- Installez des extensions de façon réfléchie. Prenez-les sur la page boutique d’un développeur que vous connaissez, pas à partir d’une fenêtre surgissante ou d’une publicité qui dit que vous en avez besoin.
- Changez tout mot de passe tapé sur une page étrange. Si une recherche vous a déjà mené à une page de connexion douteuse et que vous y avez entré vos données, changez ce mot de passe et activez la connexion à deux facteurs.
Comment Frame peut aider
Il s’agit ici de votre navigateur, donc les mesures ci-dessus comptent plus que n’importe quelle application. Si vous pensez qu’une fausse page a capté un mot de passe, le guide de Frame pour verrouiller vos comptes Google et Apple explique comment vérifier vos sessions et activer une connexion plus solide. Les alias de courriel de Frame donnent aussi à chaque site sa propre adresse, ce qui rend un message d’hameçonnage envoyé à la mauvaise adresse plus facile à repérer.
Sources
- Socket, Searchjacked: Hidden Browser Extensions Hijack Searches for 13 Million Users (en anglais), 29 octobre 2026
- BleepingComputer, Chrome extensions with 13.4 million installs caught hijacking searches (en anglais), 29 octobre 2026
Les nouveaux articles, par courriel.
Environ une fois par mois. Des notes sur la vie privée en termes simples, rien d’autre. Je ne partage jamais votre adresse.