Google Chrome, scoperte 319 estensioni malevole: 13,4 milioni di installazioni a rischio
Un’estensione di Google Chrome che promette di convertire PDF, trovare manuali o rendere le ricerche più sicure potrebbe fare esattamente il contrario: intercettare ogni ricerca e inviarla a server controllati da terzi. Un’indagine della società di sicurezza Socket ha identificato 319 estensioni sospette, associate complessivamente a circa 13,4 milioni di installazioni. Il dato riguarda una campagna osservata nell’arco di diversi anni: non significa che 13,4 milioni di persone siano tutte attualmente infette.
Il meccanismo è insidioso perché il browser continua apparentemente a funzionare. Digiti una domanda e ricevi risultati da Yahoo o Bing, ma prima la richiesta passa attraverso un intermediario che può registrarla, associarla a un identificatore e decidere dove indirizzarti. Il pericolo non è soltanto vedere un motore di ricerca diverso da Google: è perdere il controllo delle informazioni che cerchi online.
319 estensioni Chrome sotto accusa: cosa hanno scoperto i ricercatori
L’indagine è stata pubblicata il 29 ottobre 2026 da John Tuckner, ricercatore di Socket. Il nuovo rapporto amplia un’analisi del 2025: ai componenti già individuati si aggiungono 264 estensioni con circa 8,7 milioni di installazioni, portando il totale a 319 componenti e a circa 13,4 milioni di installazioni registrate.
Gli add-on si presentano con nomi ordinari e funzioni apparentemente innocue. Tra gli esempi citati figurano Safe Web Search e PDF Manual Finder; altri promettono conversioni di documenti, ricerca di manuali o strumenti di ricerca basati sull’intelligenza artificiale. Non è il nome, preso isolatamente, a dimostrare che un’estensione sia malevola: conta il suo identificativo preciso e il comportamento rilevato.
Molti componenti erano distribuiti tramite il Chrome Web Store, ma risultavano non elencati nelle normali ricerche del negozio. Gli operatori li promuovevano attraverso annunci pubblicitari, finestre sovrapposte e pagine dedicate. Questo permetteva di raggiungere utenti senza attirare troppa attenzione nel catalogo ufficiale.
Come riescono a intercettare le ricerche senza farsi notare
Il sistema sfrutta una funzione prevista da Chrome per consentire a un’estensione di modificare alcune impostazioni del browser, compreso il motore di ricerca predefinito. In alcuni casi non servono neppure script particolarmente complessi: basta una configurazione che imposti un indirizzo controllato dall’operatore come punto di passaggio per le query.
Quando cerchi qualcosa, la richiesta viene inviata a un server proxy prima di arrivare ai risultati. Chi gestisce quel server può conoscere le parole cercate e, in determinate configurazioni, collegare più ricerche allo stesso identificatore. Questo permette di costruire un profilo degli interessi dell’utente, comprese ricerche potenzialmente sensibili.
Il server può poi reindirizzare il traffico verso Yahoo o Bing inserendo codici di affiliazione. L’obiettivo economico osservato dai ricercatori è ottenere ricavi dai programmi di distribuzione delle ricerche. In pratica, un’estensione che sembra offrire una funzione gratuita può trasformare le tue ricerche in una fonte di guadagno per chi la controlla.
Perché il rischio va oltre il cambio di motore di ricerca
Nei casi analizzati, molte query arrivavano effettivamente a risultati legittimi di Yahoo o Bing. Questo dettaglio rende l’attività difficile da riconoscere: vedere una pagina di risultati autentica non significa che la ricerca sia arrivata direttamente al motore scelto.
Secondo Socket, chi controlla il proxy può modificare la destinazione delle richieste anche senza aggiornare l’estensione installata. Potrebbe quindi mostrare pagine di phishing, risultati contraffatti o collegamenti a download dannosi, eventualmente scegliendo gli utenti in base alla ricerca effettuata o alla posizione geografica.
È importante distinguere il rischio dalla prova di un attacco già avvenuto: la ricerca documenta l’intercettazione e la manipolazione del traffico, mentre le deviazioni verso phishing e malware vengono descritte come possibilità rese praticabili dall’architettura. Non significa che tutti i 319 componenti abbiano già rubato password o installato virus.
Leggi anche:
Come verificare subito le estensioni installate su Chrome
Per controllare il browser, apri Chrome e digita chrome://extensions nella barra degli indirizzi. Vedrai l’elenco delle estensioni installate. Controlla con attenzione quelle che non ricordi di aver aggiunto, che non utilizzi più o che promettono semplicemente di cambiare il modo in cui effettui ricerche.
Aprendo i dettagli di un componente puoi verificarne autorizzazioni e provenienza. Per un controllo accurato, confronta anche l’ID dell’estensione con l’elenco pubblicato nel rapporto originale di Socket: due componenti possono avere nomi simili, quindi affidarsi soltanto alla denominazione rischia di creare falsi allarmi.
Se trovi un’estensione identificata dai ricercatori, rimuovila e controlla che il motore di ricerca predefinito sia tornato a quello che hai scelto. Puoi verificarlo da Impostazioni → Motore di ricerca. Esegui poi una scansione di sicurezza del computer, soprattutto se hai notato reindirizzamenti insoliti o pagine inattese.
Come proteggerti dalle estensioni che manipolano Chrome
La precauzione più efficace è installare soltanto le estensioni di cui hai realmente bisogno. Prima di aggiungerne una, verifica lo sviluppatore, il sito ufficiale, le autorizzazioni richieste e la funzione effettiva. Un componente che promette soltanto di trovare manuali PDF, per esempio, non dovrebbe aver bisogno di modificare silenziosamente tutte le tue ricerche.
La presenza nel Chrome Web Store non costituisce una garanzia assoluta. Alcuni componenti possono superare i controlli iniziali o restare disponibili abbastanza a lungo da accumulare installazioni. Socket segnala inoltre che, dopo la rimozione di determinate estensioni, gli operatori possono riapparire con nuovi domini e nuovi nomi.
Non serve però eliminare indiscriminatamente ogni estensione: molti componenti sono legittimi e utili. L’obiettivo è individuare quelli sospetti, ridurre le autorizzazioni superflue e mantenere Chrome aggiornato. Se dopo la rimozione continuano i reindirizzamenti, controlla anche le impostazioni del browser e gli eventuali programmi indesiderati presenti nel sistema.
13,4 milioni di installazioni: cosa significa davvero il numero
La cifra riportata nel rapporto è il totale cumulativo delle installazioni associate alle estensioni individuate nell’arco di circa dieci anni. Non corrisponde necessariamente a 13,4 milioni di utenti unici attivi oggi, né dimostra che ogni installazione abbia comportato la sottrazione di dati sensibili.
Il numero resta comunque rilevante perché mostra quanto sia facile trasformare strumenti apparentemente banali in un canale di raccolta delle ricerche. La campagna non punta necessariamente a bloccare il computer o a mostrare un messaggio di riscatto: può operare per lungo tempo mentre il browser continua a sembrare normale.
Se utilizzi Chrome ogni giorno, dedica qualche minuto all’elenco delle estensioni. Potresti scoprire componenti dimenticati da anni. E quando un’estensione promette di migliorare le ricerche ma chiede di controllare il motore predefinito, vale la pena chiedersi quale vantaggio concreto offra e a chi finisca il traffico.
Ti potrebbe interessare:
Segui guruhitech su:
- Google News: bit.ly/gurugooglenews
- Telegram: t.me/guruhitech
- Facebook: facebook.com/guruhitechfb
- Instagram: instagram.com/guruhitech_official/
- X (Twitter): x.com/guruhitech1
- Bluesky: bsky.app/profile/guruhitech.bsky.social
- Rumble: rumble.com/user/guruhitech
- VKontakte: vk.com/guruhitech
- MeWe: mewe.com/i/guruhitech
- Skype: live:.cid.d4cf3836b772da8a
- WhatsApp: bit.ly/whatsappguruhitech
Esprimi il tuo parere!
Che ne pensi di questa notizia? Lascia un commento nell’apposita sezione che trovi più in basso e se ti va, iscriviti alla newsletter.
Per qualsiasi domanda, informazione o assistenza nel mondo della tecnologia, puoi inviare una email all’indirizzo [email protected].
Scopri di più da GuruHiTech
Abbonati per ricevere gli ultimi articoli inviati alla tua e-mail.