737 fausses extensions VPN sur Chrome : ce que les PME doivent vérifier

Le 12 août 2026, l'éditeur de sécurité applicative Socket a détaillé une campagne d'une ampleur inhabituelle sur le Chrome Web Store : 737 extensions se présentant comme des VPN ou des proxys gratuits, publiées depuis au moins 40 comptes développeur, ont cumulé 75 486 installations tout en redirigeant l'intégralité du trafic de navigation de leurs utilisateurs vers des serveurs contrôlés par un seul et même opérateur. Au moment de la collecte des données, 516 de ces extensions étaient toujours en ligne, représentant 58 318 installations. Derrière le fait divers, une leçon qui concerne directement les entreprises : le navigateur est devenu le principal poste de travail, et les extensions qui s'y greffent restent l'un des angles morts les plus négligés de la sécurité des PME. Les conclusions du chercheur Kush Pandya, publiées sur le blog de Socket, ont été relayées le jour même par The Hacker News et BleepingComputer. Elles décrivent moins un logiciel malveillant sophistiqué qu'un système organisé d'usurpation de marques et de tromperie du processus de validation de Google — avec, au passage, une position d'observation totale sur le trafic des victimes.

La campagne en six chiffres (Socket, 12 août 2026)

737 extensions VPN/proxy identifiées sur le Chrome Web Store
75 486 installations cumulées
40 comptes développeur au minimum, avec un compte d'analytics partagé
274 extensions usurpant 66 marques établies (Proton VPN, NordVPN, Surfshark, ExpressVPN, Cloudflare 1.1.1.1…)
520 extensions routant tout le trafic vers la même infrastructure SOCKS5, sur le port 1082
516 extensions encore en ligne au moment de la collecte, soit 58 318 installations

Ce que les chercheurs de Socket ont découvert

Le mécanisme est d'une simplicité redoutable. Une fois l'utilisateur « connecté » au prétendu VPN, l'extension modifie la configuration de proxy du navigateur (« chrome.proxy.settings ») pour forcer l'ensemble de la session à transiter par un serveur SOCKS5 fixe, sur le port 1082. La liste d'exclusion ne contient que les adresses locales : tout le reste — chaque site visité, chaque requête — passe par le relais de l'opérateur. Selon Socket, 520 des 522 extensions du corpus principal analysé utilisent la même infrastructure. Conséquence directe, décrite par Kush Pandya : le serveur de l'attaquant est en position d'« adversaire au milieu » (adversary-in-the-middle). Il peut observer chaque destination visitée, les valeurs TLS SNI, l'adresse IP réelle de l'utilisateur, et lire intégralement tout contenu envoyé en HTTP non chiffré — identifiants et mots de passe compris. Que l'opérateur exploite lui-même ces données ou revende de la capacité à un tiers ne change rien au problème : quelqu'un d'autre voit tout. L'étude documente aussi des techniques d'évasion : 104 extensions résolvent le nom de leur serveur proxy via le DNS-over-HTTPS de Cloudflare ou de Google, pour soustraire le domaine de l'opérateur à l'analyse ; d'autres ont ajouté une couche de configuration à distance après validation par le Chrome Web Store — le code examiné par Google n'était donc pas celui qui tournait ensuite chez les utilisateurs.

Une arnaque commerciale — mais une position d'espion

Qui est derrière ? D'après les éléments techniques relevés par Socket, un opérateur russe de VPN par abonnement : un numéro fiscal à 12 chiffres apparaît dans l'infrastructure, et certaines extensions laissent fuiter un chemin de compilation Windows en cyrillique. La campagne visait d'abord un public russophone cherchant à contourner les blocages de services comme Instagram, YouTube ou ChatGPT. Soyons précis sur ce point : ce n'est ni une opération d'espionnage étatique, ni une campagne ciblant la France. Mais les indices de tromperie délibérée sont accablants, et ils concernent tous les utilisateurs du Chrome Web Store, où qu'ils soient. Socket a testé 200 noms de serveurs « premium » mis en avant par ces extensions (Japon, Singapour, Canada, Australie, Turquie) : aucun n'existe réellement. Une extension, « Burёnka VPN », est même codée pour que chaque tentative de connexion échoue — tout en affichant une interface complète avec animation de connexion. Les chercheurs ont aussi trouvé un manuel interne destiné aux « employés » de l'opération, des justifications identiques copiées-collées pour tromper les validateurs du Store (« aucune donnée transmise à des serveurs externes »), et des commentaires de code révélant une volonté explicite de contourner les règles de Google. Au moment de la publication, Google avait retiré 221 extensions ; 516 restaient accessibles.

Pourquoi les extensions de navigateur sont un vecteur d'attaque à part entière (Hafnium — Sécurité informatique, YouTube)

Pourquoi c'est un sujet PME, et pas un fait divers russe

Dans une PME de 20 ou 50 salariés des Hauts-de-France, le navigateur concentre aujourd'hui l'essentiel de l'activité : messagerie, banque en ligne, CRM, comptabilité, paie, outils métiers en SaaS. Une extension de navigateur, c'est du code tiers installé en deux clics au cœur de ce poste de travail, souvent sans aucune validation de qui que ce soit — le « shadow IT » dans sa forme la plus banale. Bloqueur de publicité, convertisseur PDF, assistant IA, VPN gratuit pour accéder à un contenu bloqué : chacune de ces installations accorde à un inconnu des permissions sur ce que voit et saisit l'utilisateur. Les marques usurpées par la campagne — Proton VPN, NordVPN, Surfshark, ExpressVPN — sont précisément celles que recherchent aussi les salariés français. Le second enseignement de la semaine est peut-être le plus inquiétant pour les entreprises. Le 12 août également, The Hacker News relayait une analyse de Netskope Threat Labs sur l'extension « AI Sidebar with Deepseek, ChatGPT, Claude, and more » : retirée du Store en janvier 2026 pour vol de conversations, elle était revenue, avait publié une mise à jour « propre » en reconnaissant ses torts… puis a réintroduit une charge de monétisation deux semaines plus tard, le 31 juillet 2026, via une mise à jour silencieuse de 21 lignes. Autrement dit : une extension saine aujourd'hui peut devenir malveillante demain, sans que l'utilisateur ne voie rien passer. C'est le même mécanisme de confiance différée que nous avions décrit pour les plugins WordPress avec la faille wp2shell : le risque n'est pas l'outil, mais la chaîne d'approvisionnement logicielle qui le met à jour. Rappelons enfin le contexte : entre les deepfakes utilisés pour la fraude au président et les campagnes de phishing classiques, l'accès au navigateur d'un salarié — historique, sessions actives, données saisies — est une matière première précieuse pour préparer des attaques bien plus ciblées.

La vérification à faire cette semaine — et le réflexe régional

La bonne nouvelle : l'audit de base ne demande ni budget, ni prestataire. Socket a publié la liste complète des identifiants d'extensions liées à la campagne, et les vérifications suivantes prennent moins d'une demi-heure par poste.

Cinq vérifications à faire sur chaque poste

Inventorier : ouvrir chrome://extensions (ou l'équivalent Edge/Firefox) et supprimer toute extension inconnue, inutilisée ou installée « pour essayer ».
Se méfier des VPN gratuits : un VPN digne de confiance se télécharge depuis le site officiel de l'éditeur, jamais en cherchant « VPN gratuit » dans le Store. Vérifier le nom exact de l'éditeur, pas seulement le logo.
Contrôler le proxy : après suppression d'une extension douteuse, vérifier dans les paramètres du navigateur que la configuration de proxy est revenue à la normale (aucun serveur SOCKS5 inconnu).
Changer les mots de passe saisis sur des sites non HTTPS pendant la période d'utilisation d'une extension suspecte — et en profiter pour basculer vers des passkeys ou une MFA résistante au phishing.
En entreprise, passer au navigateur géré : les stratégies Chrome/Edge permettent d'imposer une liste blanche d'extensions approuvées (ExtensionInstallAllowlist) — la seule parade durable contre les installations sauvages.

Et si le doute persiste — extension suspecte retrouvée sur plusieurs postes, comportement anormal du navigateur, identifiants potentiellement exposés — les entreprises de la région ne sont pas seules. Le CSIRT Hauts-de-France, hébergé au Campus Cyber Hauts-de-France – Lille Métropole et piloté par le CITC avec le soutien de l'ANSSI et de la Région, offre un service gratuit d'assistance aux PME, ETI, collectivités et associations du territoire : prise en charge de l'incident, mise en relation avec des prestataires qualifiés, suivi jusqu'au rétablissement et accompagnement à la judiciarisation. Le centre d'appel répond au 0806 700 111 (appel non surtaxé). Pour aller plus loin sur les fondamentaux, notre guide cybersécurité TPE-PME des Hauts-de-France reste le point d'entrée.

Tutoriel pas à pas : vérifier les extensions installées dans son navigateur (PC Astuces, YouTube)

Ce qu'il faut surveiller dans les prochaines semaines

Trois points restent ouverts. D'abord, la réaction de Google : plus de 500 extensions de la campagne étaient encore en ligne au moment de la publication de Socket, et le rythme de leur retrait dira beaucoup de la capacité du Chrome Web Store à traiter les signalements de masse. Ensuite, la question structurelle des mises à jour silencieuses : tant qu'une extension validée pourra charger une configuration à distance après approbation, le contrôle en amont restera contournable. Enfin, pour les entreprises, la généralisation du navigateur géré — encore rare dans les TPE-PME — pourrait devenir un standard de fait, comme l'antivirus l'est devenu en son temps. Nous y reviendrons.

Questions fréquentes

Comment reconnaître une fausse extension VPN ?

Les signaux relevés par Socket sont transposables à toute extension : un nom qui imite une marque connue sans être publié par l'éditeur officiel, des serveurs « premium » invérifiables, une interface qui affiche « connecté » sans effet mesurable, très peu d'avis ou des avis génériques, et un éditeur inconnu. Le réflexe le plus sûr : ne jamais installer un VPN depuis la recherche du Store, mais toujours depuis le site officiel de l'éditeur, qui renvoie vers la fiche authentique.

J'ai installé une de ces extensions : que faire concrètement ?

Supprimer l'extension, vérifier que la configuration de proxy du navigateur est revenue à la normale, puis changer les mots de passe utilisés pendant la période concernée — en priorité ceux saisis sur des sites non HTTPS, qui ont pu être lus en clair. Si le poste est professionnel, prévenir le responsable informatique ou le prestataire, et signaler l'incident ; en Hauts-de-France, le CSIRT régional (0806 700 111) peut accompagner gratuitement la démarche.

Un VPN d'entreprise est-il concerné par cette campagne ?

Non. La campagne concerne des extensions de navigateur gratuites installées individuellement depuis le Chrome Web Store. Un VPN d'entreprise déployé par l'employeur (client installé au niveau du système, configuration gérée) n'a rien à voir avec ces outils. C'est même l'un des enseignements de l'affaire : si des salariés installent des VPN gratuits sur leurs postes, c'est souvent qu'aucune solution officielle ne leur a été fournie ou expliquée.

Google ne vérifie-t-il pas les extensions avant publication ?

Si, mais la campagne documente précisément comment ce contrôle a été contourné : justifications standardisées et mensongères soumises aux validateurs, code initial propre puis couche de configuration ajoutée à distance après approbation, et résolution DNS masquée pour compliquer l'analyse. Le cas « AI Sidebar » documenté par Netskope montre le même schéma : une extension peut être conforme au moment de la validation et devenir malveillante lors d'une mise à jour ultérieure.

Qui contacter en Hauts-de-France en cas d'incident cyber ?

Le CSIRT Hauts-de-France (0806 700 111, appel non surtaxé) offre une assistance gratuite aux PME, ETI, collectivités et associations de la région : qualification de l'incident, assistance de premier niveau, orientation vers des prestataires qualifiés et suivi jusqu'au rétablissement. Pour les particuliers et les très petites structures, la plateforme nationale cybermalveillance.gouv.fr reste le point d'entrée complémentaire, et un dépôt de plainte est possible en gendarmerie ou commissariat.

Sources