319 extensiones de Chrome interceptan tus búsquedas y obtienen comisiones de Yahoo y Bing
Algunos complementos no requieren permisos peligrosos y no aparecen en las búsquedas de la tienda oficial.
Más de 13 millones de usuarios de Chrome instalaron extensiones que interceptan silenciosamente las consultas de búsqueda y las envían a servidores ajenos. Los especialistas de Socket detectaron 319 de esas extensiones, y muchas de ellas han permanecido ocultas durante años en la tienda oficial de Google.
El investigador John Takner identificó 264 extensiones previamente desconocidas con 8,7 millones de usuarios. Con hallazgos anteriores, el número de extensiones sospechosas llegó a 319 y la audiencia total fue de alrededor de 13,4 millones de personas. Algunas funcionan desde 2016, por lo que no se trata de un solo ataque, sino de una práctica de interceptación del tráfico de búsqueda que se ha prolongado durante años.
Las extensiones se publicitan como herramientas de búsqueda segura, convertidores de PDF, asistentes para buscar instrucciones y servicios con inteligencia artificial. Tras la instalación, el navegador cambia el motor de búsqueda predeterminado. Cada consulta pasa primero por un servidor intermedio del operador, que registra la frase de búsqueda y luego redirige al usuario a Yahoo o Bing.
El motivo principal está relacionado con los pagos por publicidad. Yahoo y Microsoft permiten a los socios ganar dinero con las consultas de búsqueda atraídas. Los operadores de las extensiones añaden identificadores especiales, como hspart, hsimp, PC y PTAG, para recibir las recompensas. Al mismo tiempo, el servidor intermedio permite recopilar el historial de búsqueda, potencialmente vinculando las consultas a un usuario concreto.
Algunas extensiones prácticamente no contienen código. Por ejemplo, Safe Game Search cambia el motor de búsqueda mediante el parámetro estándar chrome_settings_overrides en el archivo manifest.json. La extensión no necesita permisos adicionales, procesos en segundo plano ni scripts para páginas. Por eso, la verificación habitual de los permisos solicitados puede pasar por alto ese comportamiento sospechoso.
Especialmente notable es Predator Search con 50 mil usuarios. Seis consultas idénticas a través de su servidor dieron lugar a cuatro resultados diferentes, incluyendo Yahoo, páginas de búsqueda de terceros y un error de Cloudflare. El operador puede cambiar la dirección de cada redireccionamiento. Los investigadores admiten que un mecanismo así se podría usar para ataques de phishing, pero no afirman haber detectado tal uso.
Entre los operadores establecidos destaca Intango LTD con 111 extensiones y aproximadamente 2,2 millones de usuarios. Otras 58 extensiones de la familia SecuryBrowse sumaron cerca de 4,9 millones de usuarios. La mayoría de estos productos están ocultos en la búsqueda de Chrome Web Store, aunque son accesibles mediante un enlace directo. Para su difusión se emplean redes publicitarias como Google Ads y Bidbrain.
En el estudio publicado, Socket describió cómo identificó a los operadores a través de anuncios publicitarios, dominios e identificadores de socios. La presencia de una extensión en la tienda oficial no garantiza seguridad. A los usuarios les conviene comprobar el motor de búsqueda predeterminado y eliminar extensiones desconocidas, especialmente si el navegador ha empezado a redirigir las consultas a través de sitios ajenos.