Trois cent dix-neuf extensions pour le navigateur Google Chrome détournaient les recherches de leurs utilisateurs pour toucher des commissions d'affiliation. C'est ce qu'a découvert l'entreprise de cybersécurité Socket, qui estime que ces extensions ont été installées par plus de 13 millions de personnes au cours d'une décennie.

Le procédé ne nécessite aucune permission particulière au moment de l'installation. Les extensions exploitent une fonctionnalité légitime de Chrome pour prendre la main sur le moteur de recherche par défaut, explique Presse Citron.

Concrètement, chaque requête transite d'abord par le serveur de l'opérateur de l'extension, avant d'atteindre sa destination finale. Socket décrit la mécanique sans détour : les recherches transitent d'abord par le serveur de l'opérateur, qui voit l'historique complet des recherches, souvent lié à un identifiant unique. L'entreprise n'exclut pas que certaines de ces requêtes puissent, dans certains cas, être redirigées vers des sites dangereux.

Derrière cette architecture, un objectif unique selon Socket : prendre le contrôle du moteur de recherche par défaut, acheminer chaque requête via un serveur proxy suspect et percevoir des commissions de parrainage. L'entreprise de cybersécurité attribue la création de l'ensemble de ces extensions à une poignée d'opérateurs organisés.

Le piège tient aussi à la discrétion des noms choisis. Socket cite des appellations « superficielles comme Safe Web Search ou PDF Manual Finder », des intitulés qui ne laissent rien deviner de leur véritable fonction. La plupart de ces extensions se trouvent sur le Chrome Web Store, la boutique officielle de Google, et les internautes y tombent généralement après avoir vu une publicité, plutôt qu'en les cherchant activement. Une fois installée, l'extension est souvent vite oubliée.

La boutique de Google peine à endiguer le phénomène. Même lorsque des extensions suspectes sont retirées, de nouveaux domaines et de nouveaux leurres réapparaissent rapidement, selon Socket, qui affirme observer l'efficacité de cette technique depuis une décennie entière.

Socket a publié une liste des extensions identifiées, consultable sur son site. L'entreprise recommande aux internautes de passer en revue les extensions installées sur leur navigateur, pour repérer celles qui ne sont plus utilisées et qui pourraient correspondre au profil décrit dans son rapport.