Searchjacked : 319 extensions Chrome malveillantes détournaient vos recherches
Un employé doit convertir un PDF ou retrouver le manuel d’une imprimante. Il clique sur une publicité, installe un petit outil « gratuit » depuis la boutique officielle de Chrome, et le problème est réglé. Ce qu’il ne voit pas : à partir de ce moment, chacune de ses recherches sur le Web passe d’abord par un serveur inconnu.
Le 29 octobre 2026, le chercheur John Tuckner, de la firme Socket, a publié l’analyse d’une vaste campagne baptisée « Searchjacked » : 319 extensions Chrome malveillantes qui détournent les recherches de leurs utilisateurs. Voici comment elles fonctionnent, pourquoi c’est un risque pour une entreprise, et les réglages qui règlent le problème sur tous vos postes d’un coup.
319 extensions Chrome malveillantes, 13,4 millions d’installations
319
extensions identifiées par Socket
13,4 M
installations cumulées, sur une dizaine d’années selon Malwarebytes
264
nouvelles extensions, ajoutées aux 57 déjà signalées par le chercheur en avril 2025
58
extensions dans la vague « SecuryBrowse », déguisées en outils de sécurité, pour 4,9 millions d’utilisateurs
Les extensions se présentaient comme des convertisseurs de PDF, des chercheurs de manuels, des outils de « recherche sécurisée » ou de recherche par IA. Socket les attribue à une poignée d’opérateurs organisés. La plupart ont été retirées de la boutique Chrome au moment de la publication, mais BleepingComputer souligne que de nouvelles apparaissent sans cesse. La liste complète se trouve à la fin du rapport de Socket.
Comment une recherche se fait détourner
📢
1. Publicité
Une annonce, notamment sur Google Ads ou le réseau Bidbrain, promet de régler un besoin immédiat.
🔗
2. Lien direct
L’extension est « non répertoriée » : elle est dans la boutique officielle, mais introuvable par une recherche normale.
⚙️
3. Moteur remplacé
Un simple réglage de Chrome (chrome_settings_overrides) remplace le moteur de recherche par défaut, sans demander de permission.
🛰️
4. Serveur relais
Chaque recherche passe par le serveur de l’opérateur, souvent avec un identifiant unique propre à l’utilisateur.
💰
5. Bing ou Yahoo
La recherche aboutit chez Bing ou Yahoo avec le code de partenaire de l’opérateur, qui touche une commission.
L’exemple le plus troublant du rapport : une extension qui ne contient qu’un fichier de description et des icônes. Aucun script, aucune permission demandée. Rien qui alerte un antivirus classique ou l’utilisateur au moment de l’installation.
Pourquoi ce n’est pas qu’une affaire de publicité
Pour l’instant, les opérateurs gagnent de l’argent avec les commissions de recherche. Mais le risque va plus loin pour une entreprise :
- Vos recherches sont lues. Noms de clients, problèmes techniques, fournisseurs envisagés, questions juridiques ou financières : tout passe par un serveur tiers, associé à un identifiant qui permet de relier les recherches d’une même personne dans le temps.
- La destination peut changer sans mise à jour. Dans le test de Socket, l’extension Predator Search a envoyé six recherches identiques vers quatre destinations différentes. Le serveur décide à chaque requête. John Tuckner prévient qu’il pourrait un jour rediriger vers des pages d’hameçonnage ou des téléchargements piégés. Socket précise ne pas avoir trouvé de preuve que ce soit déjà arrivé.
- La boutique officielle ne garantit rien. Les extensions étaient bel et bien hébergées par Google. Comme dans notre article sur les publicités piégées, la publicité sert de porte d’entrée.
Les signes qu’un poste est touché
🔎
Les résultats de recherche ont changé d’allure
Une page de résultats inhabituelle s’affiche brièvement avant Bing ou Yahoo, alors que l’utilisateur pensait chercher sur Google.
🧩
Une extension inconnue
Un outil de PDF, de manuels, de « navigation sécurisée » ou de recherche IA que personne ne se rappelle avoir installé.
🔒
« Contrôlé par une extension »
Dans les paramètres du moteur de recherche, Chrome indique qu’une extension contrôle ce réglage.
↪️
Des redirections en chaîne
La barre d’adresse passe par plusieurs domaines inconnus avant d’afficher les résultats.
Malwarebytes rappelle une nuance importante : l’absence du message « contrôlé par une extension » ne prouve pas que toutes les extensions installées sont saines.
Le ménage sur un poste
La vraie solution en entreprise : une liste d’extensions approuvées
Faire le ménage poste par poste ne tient pas longtemps : un nouvel outil gratuit sera installé la semaine prochaine. Chrome et Edge permettent de bloquer toutes les extensions par défaut et de n’autoriser que celles que vous avez approuvées, avec des stratégies déployées par Intune, une stratégie de groupe ou la console Google Admin :
Avant d’activer le blocage, faites l’inventaire des extensions réellement utilisées pour éviter de nuire au travail. Nous avions déjà vu, avec l’extension pirate liée à l’outil OVHcloud, qu’une extension peut aussi servir à voler des secrets.
Comment NeoTech peut vous aider
Nos services de cybersécurité dressent l’inventaire des extensions installées sur vos postes, préparent la liste approuvée avec vous et déploient les stratégies Chrome et Edge. L’EDR SentinelOne analyse les postes, et notre surveillance automatisée 24/7 avec intervention du technicien de garde signale les comportements suspects sur les postes surveillés.
Réservez votre Bilan cyber gratuit
En 30 minutes, nous regardons ensemble quelles extensions tournent sur vos postes et comment contrôler celles qui pourront être installées.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Nos bureaux : 2572, boul. Daniel-Johnson, bureau 237, Laval.
Sources
- Socket (John Tuckner) — Searchjacked: Hidden Browser Extensions Hijack Searches for 13 Million Users (en anglais)
- BleepingComputer — Chrome extensions with 13.4 million installs caught hijacking searches, 29 octobre 2026 (en anglais)
- Malwarebytes — Fake PDF and search tools hijacked searches for 13.4 million Chrome users, 30 octobre 2026 (en anglais)
- Google — Chrome Enterprise policy list (en anglais)
Photo : cottonbro studio, Pexels (licence Pexels).