Les utilisateurs de 260,000 Chrome sont trompés par des extensions IA factuelles impitoyables

Des dizaines de milliers de personnes ont téléchargé ce qu'elles croyaient être des outils IA utiles pour leurs navigateurs, ne donnant aux pirates qu'un accès direct à leurs activités en ligne les plus privées, y compris les e-mails.

Selon LayerX, plus de 260 000 utilisateurs de Chrome ont installé au moins 30 extensions de navigateur malveillantes se faisant passer pour des assistants IA. Ces fonctionnalités prétendues, comme le support par chat, la rédaction d'e-mails et les résumés de contenu, mais en réalité, elles soutiraient discrètement des données en arrière-plan.

Nom d’IA de confiances usutilisé comme couvrira

Le timing n'était pas fortuit. Avec les gens adoptant avidement les outils IA pour le travail et l'usage personnel, les attaquants ont saisi cette excitation pour passer sous les radars. Les fausses extensions prétendaient avoir des liens avec des services IA familiers tels que ChatGPT, Claude, Gemini et Grok, des marques qui inspirent une reconnaissance et une confiance instantanées.

Bien qu'elles portent des noms différents, affichent des logos variés et comportent des descriptions distinctes, les 30 extensions étaient fondamentalement identiques sous la surface. Elles exécutaient le même code sous-jacent, demandaient les mêmes autorisations larges et acheminaient les données vers les mêmes serveurs cachés.

Les chercheurs de LayerX ont décrit l'approche comme une « pulvérisation d'extensions », inondant le magasin de variantes quasi identiques pour échapper à la détection et à la suppression par les modérateurs du Chrome Web Store. La stratégie a payé : plusieurs ont même obtenu un placement « en vedette », renforçant leur légitimité apparente et aidant à cumuler plus d'installations.

Ce qui rendait ces extensions particulièrement insidieuses était leur méthode de fonctionnement. Au lieu d'effectuer un véritable traitement IA localement sur l'appareil de l'utilisateur, elles récupéraient des superpositions plein écran cachées hébergées sur des serveurs contrôlés par les attaquants, un domaine confirmé étant tapnetic.pro.

Cette configuration permettait aux opérateurs de modifier le comportement de l'extension en temps réel, sans jamais soumettre de mises à jour via le processus de révision de Google. Les utilisateurs n'avaient aucun moyen de repérer les changements.

Une fois actives, les extensions pouvaient extraire du texte, des titres de page et d'autres éléments de n'importe quel site visité par une personne, y compris des pages protégées nécessitant des connexions, telles que des portails professionnels ou des comptes personnels, et tout relayer vers des serveurs distants.

Utilisateurs de Gmail dans le collimateur

Parmi les 30 extensions, certaines se sont concentrées sur les utilisateurs de Gmail en particulier. LayerX a qualifié ce groupe the « cluster d'intégration Gmail ». Commercialisées sous des noms différents et présentées pour des usages variés, les 15 partageaient exactement le même code ciblant Gmail. Elle injectait directement des scripts dans l'interface de Gmail, récupérant à plusieurs reprises le texte de toutes les conversations ouvertes visibles à l'écran.

En termes plus simples, le contenu complet des e-mails, y compris les brouillons et l'intégralité des fils de discussion, pouvait être extrait de Gmail et expédié vers les serveurs des attaquants. Le rapport ajoutait que l'utilisation des outils IA intégrés de Gmail, tels que les réponses intelligentes ou les résumés de messages, déclenchait parfois une capture encore plus importante du contenu, l'envoyant au-delà de l'écosystème de Google.

Cela s'insère dans un schéma plus large et qui s'aggrave. LayerX a souligné qu'un mois auparavant, ils avaient exposé 16 autres extensions conçues pour voler des jetons de session à partir de comptes ChatGPT, touchant plus de 900 000 utilisateurs. Dans un autre cas, deux extensions de barre latérale IA ont divulgué des historiques de chat à partir de DeepSeek et ChatGPT, affectant 900 000 installations supplémentaires.

Avec Chrome comptant environ 3 milliards d'utilisateurs dans le monde et Gmail en servant 2 milliards, l'écosystème d'extensions du navigateur constitue une cible particulièrement tentante pour ce type d'opération.

Anyone who is worried they’ve been hit can check LayerX’s published list of the malicious extensions. Simply head to “chrome://extensions” in your browser to inspect installed items and uninstall anything questionable. Enabling two-step verification on accounts is another smart step right now.

Zargarov a délivré un avertissement sans concession : « À mesure que l'IA générative gagne en popularité, les défenseurs doivent s'attendre à ce que des campagnes similaires prolifèrent. » Les professionnels de la sécurité soulignent que la voie la plus sûre consiste à compter sur les fonctionnalités IA déjà intégrées dans des applications et plateformes de confiance, plutôt qu'à jouer la roulette avec des extensions tierces inconnues.