Dans cet article Dans cet article
Vous tapez une recherche dans la barre d’adresse de Chrome, les résultats s’affichent sur Bing ou Yahoo, tout semble normal. Pour près de 13,4 millions d’utilisateurs, la requête a pourtant fait un détour invisible : elle est passée par un serveur intermédiaire contrôlé par l’éditeur d’une extension. Le 29 octobre 2026, la société de sécurité Socket a publié l’inventaire de cette campagne, baptisée Searchjacked, qui réunit 319 extensions pour Chrome.
Le procédé porte un nom, le détournement de recherche : une extension se déclare moteur de recherche par défaut du navigateur et récupère chaque requête avant de la transmettre au moteur affiché. Rien d’illégal dans la fonction elle-même, que Chrome prévoit pour les moteurs alternatifs. Le problème tient à ce qui se passe entre les deux. Que voit réellement l’opérateur de ces extensions, et comment savoir si votre navigateur est concerné ?
Une ligne de code suffit pour prendre la main
Le mécanisme décrit par John Tuckner, le chercheur de Socket à l’origine du rapport, tient dans le fichier de configuration de l’extension. Une clé nommée chrome_settings_overrides, assortie d’un moteur de recherche marqué comme défaut, remplace silencieusement le moteur choisi par l’utilisateur. L’exemple étudié ne demande aucune autorisation, n’embarque aucun script d’arrière-plan et n’affiche aucune interface.
C’est précisément ce qui rend ces extensions si discrètes. Sans demande de permission, aucun avertissement n’apparaît à l’installation, et l’utilisateur n’a aucune raison de s’en méfier. La requête part ensuite vers un serveur proxy de l’opérateur, qui ajoute les identifiants de partenariat publicitaire de Yahoo ou de Bing avant de renvoyer vers la page de résultats.
L’opérateur peut aussi choisir une autre destination à chaque recherche. Une même extension, Predator Search, utilisée par environ 50 000 personnes, a envoyé six requêtes identiques vers des pages différentes pendant les tests rapportés par Génération NT, dont une page jugée suspecte et une erreur Cloudflare.
L’opérateur décide, requête par requête, où votre recherche aboutit réellement.
John Tuckner, chercheur chez Socket, dans le rapport Searchjacked publié le 29 octobre 2026
Quatre familles d’extensions concentrent les installations
Les 13,4 millions d’installations ne se répartissent pas de façon égale. Le recensement de Socket, qui ajoute 264 extensions à des travaux antérieurs, fait ressortir quelques familles qui pèsent l’essentiel du total :
- SecuryBrowse, avec des noms rassurants comme Fire Shield, Wise Ghost ou Securify, totalise environ 4,9 millions d’utilisateurs ;
- Bing-Search, une série de 37 extensions, cumule près de 2,2 millions d’utilisateurs ;
- HermesTab rassemble environ 400 000 utilisateurs répartis sur deux extensions ;
- Yandex search, retirée depuis, comptait 200 000 utilisateurs.
Rapportée au total, la seule famille SecuryBrowse représente plus d’un tiers des installations recensées, soit 36,6 % des 13,4 millions. En moyenne, chacune des 319 extensions touche environ 42 000 navigateurs, un chiffre qui grimpe à près de 59 500 pour les 37 déclinaisons de Bing-Search.
Des noms qui promettent la sécurité
Le choix des noms n’a rien d’un hasard. Les extensions se présentent comme des convertisseurs PDF, des outils de recherche sécurisée ou de recherche par IA, et se diffusent par des publicités agressives en fenêtre surgissante, selon Génération NT. La plupart ne sont pas répertoriées dans le Chrome Web Store : une recherche directe dans la boutique ne les fait pas apparaître, seul un lien les rend installables.
Ce mode de distribution contourne le premier réflexe de prudence, celui qui consiste à vérifier une extension dans la boutique avant de l’ajouter. John Tuckner estime d’ailleurs qu’une extension dont la seule fonction est de rediriger des recherches devrait être considérée comme malveillante par définition, puisque le navigateur sait déjà les traiter sans elle.
Votre historique de recherche entre de mauvaises mains
Le premier coût pour l’utilisateur ne se voit pas à l’écran. D’après Socket, l’opérateur voit l’intégralité de votre historique de recherche, souvent rattaché à un identifiant unique propre à votre navigateur. Requêtes médicales, recherches d’emploi, noms de proches : tout ce qui passe par la barre d’adresse transite par ses serveurs.
Le second risque est à venir. Puisque la destination se décide à chaque requête, une extension inoffensive aujourd’hui peut renvoyer demain vers une page d’hameçonnage ou un faux téléchargement, et la redirection publicitaire se transforme alors en piège. Le rapport note aussi que les domaines utilisés restent souvent actifs après le retrait des extensions, ce qui laisse les installations existantes en service.
Google à la traîne sur sa propre boutique
Socket signale que certaines extensions ont été retirées, dont Yandex search et douze identifiants de la famille Intango, sans fournir de bilan global. Selon John Tuckner, le Chrome Web Store n’a pas suivi le rythme de ces campagnes, qui durent pour certaines depuis près de dix ans. Le constat tranche avec le discours de Google sur la sécurité de Chrome.
Le navigateur vient pourtant de durcir ses règles ailleurs : depuis le 21 octobre, il demande votre accord avant d’ouvrir un site sans HTTPS. Protéger la connexion tout en laissant une extension sans permission détourner chaque recherche montre où se situe désormais le maillon faible, dans les modules que l’on installe soi-même. Le scénario rappelle celui de BadBox 2.0, qui avait transformé 10 millions de box en relais pour cybercriminels.
Le moteur par défaut, un réglage à surveiller
La vérification prend quelques secondes : dans les paramètres de Chrome, la rubrique consacrée au moteur de recherche indique quand ce réglage est contrôlé par une extension. Une mention de ce type, associée à un module dont vous ignorez l’origine, suffit à justifier une suppression dans la page des extensions. Le rapport complet de Socket, l’inventaire Searchjacked et ses indicateurs de compromission, liste les identifiants concernés.
La question dépasse ces 319 extensions. Tant que les boutiques laisseront circuler des modules non répertoriés, promus par des publicités et dispensés de toute permission, le réglage le plus banal du navigateur restera une cible rentable. Chaque recherche tapée dans la barre d’adresse a une valeur publicitaire, et ceux qui l’ont compris ne manquent pas de candidats pour l’intercepter.
