Le Chrome Web Store héberge désormais plusieurs centaines d’extensions se présentant comme des VPN gratuits, dont une proportion alarmante dissimule des fonctionnalités d’espionnage, d’injection publicitaire et de captation de données personnelles. Le phénomène a pris une ampleur telle en 2024 et 2025 que le magasin d’extensions de Google est devenu, pour les cybercriminels, un terrain de chasse privilégié où la confiance des utilisateurs se monnaie à peu de frais.
Comment le procédé se met en place ? Un utilisateur cherche à protéger sa navigation, tape « VPN » dans la barre de recherche du Chrome Web Store et tombe sur une extension dotée de milliers d’avis positifs, d’une interface soignée, parfois même d’un nom qui évoque vaguement une marque connue. Il installe l’outil en deux clics, accorde les permissions demandées (accès à l’ensemble des sites visités, lecture des cookies, modification du trafic réseau) et croit sa connexion sécurisée. Ce qu’il ignore, c’est que l’extension redirige tout ou partie de son trafic vers des serveurs tiers, injecte des publicités dans les pages qu’il consulte, collecte ses identifiants de connexion ou transforme son navigateur en nœud d’un réseau proxy résidentiel revendu à des tiers.
Plusieurs chercheurs en cybersécurité ont documenté ces derniers mois la présence de botnets entiers constitués à partir de ces extensions vérolées, certains comptant plus de 500 000 installations actives avant leur retrait. Les avis élogieux qui accompagnent ces faux VPN sont bien souvent générés par des fermes de comptes automatisés, et les développeurs changent régulièrement de nom pour échapper aux signalements. Le temps moyen entre la publication d’une extension malveillante et son retrait par Google se compte parfois en semaines, voire en mois, un délai pendant lequel les dégâts s’accumulent.
La mécanique d’injection publicitaire, à elle seule, représente un marché lucratif. L’extension intercepte les requêtes HTTP, remplace les bannières légitimes par ses propres encarts ou ajoute des pop-ups sur des sites qui n’en affichent normalement aucun. L’utilisateur, persuadé que le site visité est responsable de cette pollution visuelle, ne soupçonne pas son extension VPN. Les revenus générés par ces insertions frauduleuses alimentent directement des réseaux de publicité grise, difficiles à tracer.
A lire également
Le vol de données personnelles constitue sans doute la dimension la plus préoccupante. Certaines extensions enregistrent l’intégralité de l’historique de navigation, capturent les formulaires de connexion (identifiants bancaires, mots de passe de messagerie, tokens d’authentification) et exfiltrent ces informations vers des serveurs situés hors de toute juridiction coopérative. D’autres vont jusqu’à modifier les résultats de recherche pour orienter l’utilisateur vers des sites de phishing, bouclant ainsi la chaîne d’exploitation.
Qui fabrique ces extensions ? Les profils sont variés. On trouve des développeurs isolés attirés par l’argent facile de la publicité injectée, des groupes organisés spécialisés dans le vol d’identifiants, et des acteurs étatiques ou para-étatiques qui exploitent les réseaux de proxys résidentiels pour mener des opérations de reconnaissance ou de contournement de géoblocage à grande échelle. La facilité avec laquelle on peut publier une extension sur le Chrome Web Store, malgré les efforts récents de Google pour durcir ses contrôles (Manifest V3, vérification d’identité des développeurs), reste un facteur déterminant de cette prolifération.
Comment se protéger ? La prudence exige de ne jamais installer une extension VPN dont l’éditeur n’est pas une entreprise identifiable, disposant d’un site web, d’une politique de confidentialité vérifiable et d’un historique public. Vérifier les permissions demandées avant toute installation permet déjà d’écarter les extensions qui réclament un accès disproportionné. Privilégier un client VPN natif (application de bureau ou mobile) plutôt qu’une extension de navigateur réduit considérablement la surface d’attaque. Et désactiver ou supprimer régulièrement les extensions inutilisées relève, en 2025, de l’hygiène numérique élémentaire.
Google a retiré plusieurs lots d’extensions frauduleuses au cours des derniers mois, mais le rythme de publication de nouvelles variantes dépasse encore largement celui des suppressions. La question qui se pose alors n’est plus de savoir si le Chrome Web Store peut être nettoyé, mais si le modèle même d’un magasin d’extensions ouvert, où la confiance repose sur des avis manipulables et des vérifications insuffisantes, n’a pas atteint… ses limites structurelles.
