Una campagna battezzata Searchjacked ha coinvolto 319 estensioni di Chrome, per circa 13,4 milioni di installazioni dichiarate in quasi dieci anni. Secondo l’analisi dei ricercatori di Socket, questi componenti aggiuntivi cambiavano il motore di ricerca predefinito e facevano passare ogni ricerca da server intermedi, per guadagnare con i risultati forniti da Bing e Yahoo. Non si trattava di furto di password. Gran parte delle estensioni è già stata rimossa da Google, ma secondo il ricercatore John Tuckner nuove varianti continuano a comparire.[1][2]
In breve
- 319 estensioni di Chrome e 13,4 milioni di installazioni: la dimensione della campagna Searchjacked
- Le ricerche passavano da server intermedi per generare ricavi da affiliazione con Bing e Yahoo
- 200 estensioni collegate a operatori identificati, 119 a editori anonimi
- Come controllare le estensioni e ripristinare il motore di ricerca
Quante estensioni sono coinvolte e da quanto tempo?
Il conto complessivo nasce dall’unione di due indagini successive, che insieme coprono un arco di tempo molto lungo. Il lavoro di Socket amplia una ricerca che Tuckner aveva pubblicato nell’aprile 2025, quando erano state individuate 57 estensioni con circa 6 milioni di utenti. Il report Searchjacked ne aggiunge ora altre 264, per ulteriori 8,7 milioni di installazioni dichiarate, come riporta MelaBlog.[1]
Colpisce soprattutto l’aspetto innocuo di questi strumenti. Secondo XiaomiToday la campagna copre il periodo tra il 2016 e il 2026. Le estensioni si presentavano come convertitori PDF, strumenti per trovare manuali, servizi di ricerca sicura, assistenti basati sull’intelligenza artificiale, widget meteo e perfino soluzioni di sicurezza online. Proprio questa normalità, sostiene Socket, avrebbe aiutato le estensioni a circolare per anni senza attirare attenzione.[1][2]
Come venivano dirottate le ricerche?
Ma cosa succedeva, in pratica, quando un utente cercava qualcosa? Le ricerche non andavano direttamente al motore scelto dall’utente: passavano prima da un server intermedio controllato dall’operatore dell’estensione. Da lì la richiesta attraversava una catena di siti prima di arrivare ai risultati, spesso di Bing o Yahoo. Ogni passaggio, spiega MelaBlog, poteva generare ricavi da affiliazione, perché agli indirizzi venivano aggiunti identificativi affiliati.[1][2]
Il trucco tecnico è meno complicato di quanto sembri. Il meccanismo si chiama chrome_settings_overrides, una funzione di Chrome che permette a un’estensione di sostituire il motore di ricerca predefinito e che di per sé non è illecita. Molte estensioni non chiedevano permessi sensibili e non avevano programmi in esecuzione in background: il caso citato, Safe Game Search, conteneva solo il file manifest e tre icone. Chrome avvisa della modifica, ma secondo Socket non dice dove finiscono le parole digitate. XiaomiToday precisa che non sono emerse prove di vendita dei dati a terzi né di reindirizzamenti effettivi verso siti di phishing.[1][2]
Chi c’è dietro e perché sono sfuggite ai controlli?
Secondo Socket, 200 estensioni, pari a circa 5,68 milioni di utenti, sono collegate a operatori identificati, mentre altre 119, con circa 7,76 milioni di utenti, risultano riconducibili a editori anonimi. A conti fatti, 200 più 119 fanno le 319 estensioni totali. Alla società israeliana Intango LTD sono associate 111 estensioni. Il gruppo SecuryBrowse, con nomi come Fire Shield, Securify e WatchTower, ne conta 58 per circa 4,9 milioni di utenti.[1][2]
Un altro elemento spiega la lunga durata della campagna. Molte estensioni erano non elencate nel Chrome Web Store: raggiungibili solo con un link diretto e invisibili nelle ricerche interne, quindi con meno segnalazioni e controlli più difficili. Secondo XiaomiToday la diffusione passava soprattutto dagli annunci online, compresi Google Ads e Bidbrain. Al momento della pubblicazione dell’indagine, gran parte dei componenti era già stata rimossa da Google.[1][2]
Come si controlla il proprio Chrome?
Per chi usa Chrome ogni giorno, il controllo richiede pochi minuti. Basta digitare chrome://extensions nella barra degli indirizzi per vedere le estensioni installate e rimuovere quelle sconosciute o non più usate. Poi si apre chrome://settings/search per verificare il motore di ricerca predefinito: se compare un servizio non scelto, si può ripristinare quello desiderato. MelaBlog aggiunge il consiglio di una scansione antivirus completa e di installare solo estensioni trovate nelle ricerche del Chrome Web Store, evitando link arrivati da annunci.[1][2]
Il rischio, in teoria, andava oltre la semplice pubblicità. Secondo XiaomiToday, il server di passaggio avrebbe potuto registrare le frasi cercate associandole a un identificativo univoco, ricostruendo nel tempo gli interessi dell’utente, comprese ricerche delicate su lavoro, salute o finanze. Socket segnala inoltre che un operatore avrebbe potuto scegliere la destinazione in base a query o posizione, con il rischio potenziale di risultati falsi.[2]
In sintesi
Il quadro, a questo punto, è chiaro. La campagna Searchjacked mostra come estensioni dall’aspetto banale possano deviare le ricerche di milioni di persone: 319 componenti, 13,4 milioni di installazioni, di cui 200 estensioni legate a operatori noti e 119 a editori anonimi. Lo scopo era guadagnare dal traffico passando da Bing e Yahoo, non rubare credenziali. Google ha già tolto gran parte delle estensioni, ma Tuckner avverte che compaiono nuove varianti, quindi resta utile controllare chrome://extensions e il motore predefinito.[1][2]
Fonti
- MelaBlog: Queste estensioni di Chrome sono pericolose: vanno rimosse subito
- XiaomiToday: 319 estensioni Chrome avrebbero dirottato le ricerche per quasi un decennio
Lascia un commento