Trecentodiciannove estensioni di Chrome hanno modificato il motore di ricerca predefinito per instradare le query attraverso server proxy controllati dagli operatori. È il risultato di una nuova indagine di Socket, condotta dal ricercatore John Tuckner, secondo cui gli strumenti sono stati installati da circa 13,4 milioni di utenti nell’arco di dieci anni.
Le estensioni non si presentano necessariamente come strumenti legati alla ricerca. Tra le categorie individuate figurano convertitori PDF, strumenti per trovare manuali, funzioni di ricerca sicura e servizi che promettono ricerche con l’intelligenza artificiale. Una volta installate, però, possono sostituire il motore scelto dall’utente e far transitare ogni interrogazione da un’infrastruttura intermedia.
Come funziona il reindirizzamento
Il meccanismo sfrutta un’impostazione prevista dal manifesto delle estensioni di Chrome, chiamata chrome_settings_overrides. Questa voce consente di cambiare il motore di ricerca predefinito senza richiedere codice eseguito nel browser. Per questo motivo, un’estensione può apparire poco sospetta anche quando non dispone di autorizzazioni ampie.
Socket ha osservato che una delle estensioni analizzate, Safe Game Search, è composta soltanto dal manifesto e da tre icone: non include permessi, service worker, script per le pagine o un’interfaccia. Durante l’installazione viene mostrato un avviso relativo al cambio del motore di ricerca, ma non viene indicato dove saranno inoltrate le query.
- 319 estensioni sono state mappate dall’indagine;
- 264 non erano incluse nella ricerca precedente;
- le nuove estensioni aggiungono circa 8,7 milioni di installazioni al conteggio;
- le ricerche vengono fatte passare da un server proxy dell’operatore.
Il modello basato sulle commissioni
Secondo Socket, il sistema è collegato ai programmi di distribuzione delle ricerche di Yahoo e Microsoft Bing. Gli operatori delle estensioni possono ricevere una quota dei ricavi pubblicitari generati dal traffico che portano ai motori di ricerca. Il riconoscimento avviene attraverso parametri aggiunti alle richieste: per Yahoo sono indicati hspart e hsimp, mentre per Bing vengono citati PC e PTAG.
| Elemento | Dati dell’indagine |
|---|---|
| Estensioni individuate | 319 |
| Utenti coinvolti | Circa 13,4 milioni |
| Nuove estensioni mappate | 264 |
| Periodo considerato | Dieci anni |
Distribuzione difficile da individuare
La maggior parte delle estensioni esaminate risulta non elencata nel Chrome Web Store. Non compare quindi nelle normali ricerche del negozio e la relativa pagina può essere raggiunta conoscendo l’identificativo dell’estensione oppure seguendo un collegamento pubblicato altrove.
Socket segnala che la diffusione passa anche da pubblicità a basso costo, comprese campagne su Google Ads e Bidbrain, oltre che da finestre pop-up e pop-under presenti su piccoli blog e siti che pubblicano contenuti in serie. I messaggi promozionali invitano a cercare documenti PDF o manuali e possono portare all’installazione con pochi clic.
La ricerca evidenzia inoltre che l’assenza di permessi visibili non basta, da sola, a escludere un comportamento indesiderato. Il cambio del motore di ricerca può essere ottenuto direttamente tramite il manifesto dell’estensione, senza componenti aggiuntivi che attirino l’attenzione durante l’analisi. Le query vengono oggi indirizzate verso Yahoo o Bing con i relativi parametri di affiliazione, ma la destinazione può essere modificata dall’operatore dal lato server.
Se considerate come un unico prodotto, le 319 estensioni raggiungerebbero una platea tale da collocarsi, secondo l’osservazione di Socket, tra le prime 25 estensioni di Chrome per numero di utenti. Il dato descrive l’ampiezza del fenomeno, pur trattandosi di strumenti distinti e distribuiti nel corso di un periodo molto lungo.
