319 estensioni Chrome dirottavano le ricerche: 13,4 milioni di installazioni
Installate un’estensione per convertire i PDF o per avere un assistente AI a portata di click. Secondo i ricercatori di sicurezza di Socket, 319 estensioni Chrome facevano però qualcosa di molto meno innocuo: intercettavano le query di ricerca, le facevano passare dai server degli operatori e solo dopo vi mostravano i risultati su Bing o Yahoo.
In tutto 13,4 milioni di installazioni. E non serve una riga di codice malevolo per riuscirci.
Il meccanismo, in tre passaggi
Cercate qualcosa, premete Invio, arrivate ai risultati: tutto come prima. Nel mezzo, però, qualcuno ha aggiunto un identificatore di tracciamento alla vostra query e ha incassato una commissione pubblicitaria dal motore di ricerca. La ricerca è diventata il suo stipendio.
Il trucco sta in un’impostazione legittima di Chrome, chrome_settings_override: la chiave del manifest che permette a un’estensione di cambiare il motore di ricerca predefinito senza script sospetti. L’estensione reindirizza le query verso i propri server, aggiunge il tracker e poi vi rispedisce ai risultati di Bing o Yahoo. Trasparente per voi, invisibile a chiunque altro.
Un caso rende bene l’idea della scala: l’estensione Predator Search ha mandato sei ricerche identiche in quattro posti diversi, da una pagina di Yahoo a un dominio di passaggio, fino a un errore Cloudflare. L’estensione non cambiava: il proxy sceglieva la destinazione all’arrivo di ogni ricerca.
Da 57 a 319 in un anno e mezzo
Non è un episodio isolato, è una filiera. Il ricercatore John Tuckner aveva già individuato 57 estensioni simili con 6 milioni di utenti nell’aprile 2025, lo stesso schema raccontato sulle estensioni Chrome che iniettano annunci. L’indagine di Socket ne ha aggiunte altre 264, più che raddoppiando il totale in circa diciotto mesi.
Stavano sul Chrome Web Store, ma come voci non elencate: nella ricerca dello store non comparivano. Venivano promosse con annunci su siti terzi, ed è per questo che tanti utenti non ricordano di averle installate. Il caso delle finte estensioni VPN segue la stessa logica: prodotto gratis, promozione a pagamento, installazione inconsapevole.
Perché non è solo una questione di pubblicità
Il danno economico diretto riguarda gli inserzionisti. Il rischio indiretto è tutto vostro: un’estensione che controlla dove finiscono le ricerche può portare verso pagine di phishing o download pericolosi. È anche il motivo per cui la maggior parte delle 319 estensioni identificate è già stata rimossa.
Il problema è che il vuoto si riempie: mentre le vecchie spariscono ne compaiono di nuove con la stessa ricetta. Google prova a stringere le maglie con nuove funzioni di sicurezza, ma il controllo resta nelle mani di chi installa.
Come controllare cosa avete installato
La verifica richiede un minuto e non serve nessuno strumento esterno.
- Aprire Chrome e digitare chrome://extensions, oppure usare il menu a tre puntini, Estensioni, Gestisci estensioni.
- Scorrere l’elenco: un’estensione che non riconoscete non l’avete messa voi.
- Aprire i dettagli del sospetto e leggere le autorizzazioni. Voci come “Leggi e modifica la cronologia” o “Cambia le impostazioni relative ai motori di ricerca” sono segnali pesanti.
- Rimuovere l’estensione con il pulsante Rimuovi: disattivarla non basta.
- Controllare il motore predefinito in chrome://settings/searchEngines e correggerlo se non è quello scelto da voi.
Tip
Un’estensione che promette una funzione sola e chiede di gestire le ricerche è un cattivo affare. Per un convertitore PDF usate un sito web: nessuna autorizzazione da concedere, niente da disinstallare dopo. Vale anche per i piccoli tool che si usano due volte l’anno.
Domande frequenti
Le 319 estensioni sono ancora scaricabili?
La maggior parte è già stata rimossa dal Chrome Web Store. Il fenomeno però non si esaurisce: nuove estensioni con lo stesso schema compaiono mentre le vecchie spariscono, quindi il controllo periodico resta la difesa più semplice.
Il dirottamento ruba anche le password?
Nell’indagine di Socket non emerge un furto di credenziali. Il guadagno arriva dalle commissioni pubblicitarie. Il pericolo aggiuntivo è il reindirizzamento verso pagine di phishing, dove le credenziali si perdono comunque.
Vale anche su Chrome per Android?
No. Chrome su Android non installa estensioni, quindi il meccanismo non si applica al browser del telefono. Riguarda il Chrome desktop.
Basta disattivare l’estensione?
No. Un’estensione disattivata resta installata e può tornare attiva con un aggiornamento o con un errore. Se non la riconoscete, va rimossa.
Come riconosco un’estensione affidabile?
Tre indizi: sta sul Chrome Web Store ufficiale, ha recensioni credibili e chiede solo le autorizzazioni necessarie. Un convertitore di PDF non ha motivo di leggere la cronologia.
Devo cambiare il motore di ricerca predefinito?
Solo se non è quello impostato da voi. In chrome://settings/searchEngines c’è l’elenco completo: un motore che non conoscete va rimosso, poi impostate quello che preferite.
Una passata su chrome://extensions, un’occhiata alle autorizzazioni e il browser torna vostro. Costa un minuto: nessuna estensione può farlo per voi.