Le logiciel que vos salariés installent sans vous demander

737 extensions, une seule permission

Le 11 août 2026, l'équipe de recherche de Socket a publié l'analyse d'une campagne de 737 extensions VPN mises en ligne sur le Chrome Web Store à partir d'une quarantaine de comptes de développeurs. Au moment de la collecte, 516 étaient toujours en ligne, 221 avaient été retirées, et l'ensemble totalisait 75 486 installations affichées.

Le procédé est industriel. 274 de ces extensions usurpaient l'identité de 66 marques établies — Proton VPN, NordVPN, Surfshark, ExpressVPN, CyberGhost, TunnelBear, le 1.1.1.1 de Cloudflare — en reprenant le nom et l'apparence visuelle. À elles seules, ces copies représentaient plus de 38 000 installations.

Techniquement, c'est d'une sobriété désarmante. Sur les 522 extensions du corpus principal analysé, 520 configuraient le navigateur pour faire passer la quasi-totalité du trafic par des serveurs mandataires SOCKS5, sur un même port, en n'épargnant que les adresses locales. Et la plupart ne demandaient qu'une seule permission : celle de gérer le mandataire. Pas d'accès aux fichiers, pas de lecture du presse-papiers, rien qui alarme. Une permission étroite en apparence, et totale dans ses effets : celui qui tient le mandataire voit les sites visités, les adresses IP, et le contenu en clair de tout ce qui n'est pas chiffré.

Un détail achève de démonter l'idée qu'on peut s'en remettre au magasin d'applications : une fausse extension « 1.1.1.1 VPN » affichait une note de 5 sur 5 sur huit avis, restait publiée, et comptait un millier d'installations. Les avis ne protègent de rien.

Ce qui ne se transpose pas, et ce qui se transpose

Soyons précis, parce que la nuance décide de ce qu'il faut en faire. Cette campagne ne visait pas les PME françaises : la très grande majorité des extensions s'adressait à un public russophone cherchant à contourner le blocage de services comme Instagram, YouTube ou ChatGPT. Si personne chez vous n'installe de VPN pour débloquer un site, vous n'êtes probablement pas concerné par celle-là.

Ce qui se transpose, c'est le mécanisme, et il est indifférent au pays. Une extension est le logiciel le plus facile à installer dans une entreprise : deux clics, aucun droit d'administration, et personne n'en est informé. Toute la discipline que vous avez mise autour de l'installation de logiciels — validation, inventaire, désinstallation au départ d'un collaborateur — s'arrête à la porte du navigateur.

Or le navigateur n'est plus un accessoire. C'est là que vit la banque en ligne, la comptabilité, le CRM, la messagerie, le portail RH. Un composant qui observe le navigateur observe l'entreprise. Et l'antivirus du poste n'y voit le plus souvent rien à redire : de son point de vue, il ne se passe rien d'anormal, c'est Chrome qui travaille.

Le vrai risque n'est pas l'extension malveillante

Une fausse extension VPN, on finit par la repérer. Le scénario plus courant, et plus embêtant, est celui de l'extension honnête qui cesse de l'être.

Une extension se met à jour toute seule, silencieusement, sans redemander votre avis tant que les permissions ne changent pas. Elle peut aussi changer de propriétaire : un développeur se lasse, revend son outil et ses cent mille utilisateurs, et l'acquéreur pousse une mise à jour. Le convertisseur de PDF installé il y a trois ans par une assistante qui n'est plus dans l'entreprise n'a jamais été réexaminé par personne — et il continue de tourner tous les matins.

C'est exactement le schéma que nous décrivions à propos des extensions WordPress compromises début août : le code publié était propre, le danger venait d'un flux annexe. Même leçon ici. La question « est-ce que c'est à jour ? » reste utile, mais elle ne répond pas à « qu'est-ce qui tourne, et qui le contrôle aujourd'hui ? ».

L'inventaire de vingt minutes

Il n'y a rien à acheter pour commencer. Sur chaque poste, ouvrez la page des extensions du navigateur — chrome://extensions pour Chrome, edge://extensions pour Edge, about:addons pour Firefox — et passez la liste en revue avec la personne qui utilise le poste. Trois questions suffisent :

• À quoi sert celle-là, concrètement ? Si personne ne sait répondre, elle part. Une extension inutilisée n'est pas neutre : c'est une surface exposée qui ne rend aucun service.
• Qui l'a publiée ? Pas le nom affiché, l'éditeur. Une extension qui se présente comme celle d'une marque connue doit être publiée par cette marque, et le lien de vérification est le site officiel de l'éditeur — jamais le résultat d'une recherche dans le magasin.
• Que demande-t-elle ? Le détail de chaque extension affiche ses autorisations et les sites auxquels elle accède. « Sur tous les sites » pour un outil censé n'agir que sur un seul, c'est un écart à expliquer.

Consignez le résultat quelque part. Une liste des extensions autorisées, tenue à jour, vaut mieux que beaucoup d'outils : elle transforme une question ouverte en une liste finie, et c'est elle qui vous permettra de réagir vite le jour où l'une d'elles fait la une.

Enfin, si une extension douteuse a été retirée d'un poste, vérifiez que les réglages de serveur mandataire du navigateur sont bien revenus à la normale — c'est le contrôle qui coûte trente secondes et qui lève le doute.

Si vous avez un parc géré

Dès que les postes sont administrés — via Google Workspace, Microsoft Intune ou une stratégie de groupe Active Directory —, le sujet se règle par la configuration plutôt que par la discipline. Chrome et Edge exposent des règles dédiées : une liste de blocage (ExtensionInstallBlocklist), qui, réglée sur la valeur *, interdit tout, et une liste d'autorisation (ExtensionInstallAllowlist) où l'on inscrit les quelques extensions dont vos équipes ont réellement besoin. Une extension bloquée par cette voie est désactivée même si elle est déjà installée, et l'utilisateur ne peut pas la réactiver.

C'est de l'ordre de la demi-journée, pas un projet. Et c'est le genre de réglage qui ne se voit jamais, jusqu'au jour où il évite l'incident — comme la double authentification, qui reste par ailleurs la meilleure protection quand un identifiant ou un mot de passe finit malgré tout par fuiter.

Notre lecture

On nous demande souvent de sécuriser « les postes ». On regarde les mises à jour, l'antivirus, les droits d'administration — et on passe à côté de la couche où travaillent réellement les gens depuis dix ans. Le navigateur est devenu le système d'exploitation de l'entreprise, et il a son propre magasin d'applications, sa propre chaîne de mises à jour automatiques, ses propres fournisseurs. Aucun de ces trois éléments n'apparaît dans un inventaire classique.

Il ne s'agit pas d'interdire. Une bonne extension fait gagner un temps réel, et une entreprise qui interdit tout se retrouve avec des salariés qui travaillent sur leur navigateur personnel — le pire des deux mondes. Il s'agit de savoir ce qui est là. La question n'est pas « peut-on faire confiance à cette extension ? », à laquelle personne ne peut répondre honnêtement, mais « combien en avons-nous, et sommes-nous capables d'en retirer une en une heure le jour où il le faudra ? ».

Sources : Socket, « 737 Chrome VPN Extensions Linked to Brand Impersonation and Browser Traffic Redirection », rapport de son équipe de recherche publié le 11 août 2026 (socket.dev), pour l'ensemble des chiffres cités ; repris et confirmé le 12 août par The Hacker News et CyberInsider. Socket édite des outils de sécurité de la chaîne d'approvisionnement logicielle : l'entreprise est partie prenante du sujet qu'elle documente, ce qui n'ôte rien aux données publiées, vérifiables extension par extension. Les noms des règles de gestion des extensions proviennent de la documentation Chrome Enterprise (chromeenterprise.google).