Lo studio di Socket descrive componenti aggiuntivi che modificano il motore di ricerca predefinito e fanno passare le query dai server dei loro operatori prima di inviarle a Yahoo o Bing. Il modello genera commissioni pubblicitarie e può esporre la cronologia di ricerca.
Strumenti presentati come convertitori PDF, assistenti per trovare manuali o servizi di ricerca sicura avrebbero dirottato le ricerche degli utenti. È quanto emerge dall’indagine Searchjacked, pubblicata da Socket il 29 ottobre: il ricercatore John Tuckner ha individuato 319 estensioni, con circa 13,4 milioni di installazioni complessive nell’arco di un decennio. 264 di queste, secondo Socket, erano state identificate per la prima volta nella nuova analisi. Socket
Il meccanismo descritto è semplice: dopo l’installazione, l’estensione cambia il motore di ricerca predefinito e instrada le query attraverso un server controllato dall’operatore, prima di inoltrarle a Yahoo o Bing. Gli operatori possono così ottenere ricavi dai programmi di affiliazione e, nel passaggio, vedere le ricerche effettuate. Queste possono rivelare interessi e informazioni personali, soprattutto se associate a identificatori che permettono di collegare più query allo stesso utente.
Il rischio non riguarda solo il motore di ricerca
Socket segnala che il server intermedio può decidere dove indirizzare ciascuna ricerca. Nella propria analisi, il ricercatore ha osservato risultati diversi anche a fronte di query identiche in un caso esaminato. Questo comportamento, in teoria, potrebbe essere sfruttato per condurre gli utenti verso pagine di phishing o download dannosi.
È importante distinguere il rischio potenziale da quanto documentato: Socket non afferma di aver trovato prove che le estensioni abbiano effettivamente distribuito pagine di phishing o malware. Il problema accertato è il reindirizzamento delle query attraverso server degli operatori e la possibilità di raccoglierle. Socket
Estensioni pubblicizzate come utilità
Secondo l’indagine, molte estensioni erano promosse con annunci e pagine di destinazione che offrivano strumenti per cercare manuali, convertire PDF o rendere più sicura la navigazione. Diverse risultavano non facilmente rintracciabili con la ricerca interna del Chrome Web Store, pur essendo installabili tramite un link diretto.
Socket attribuisce alcune famiglie di estensioni a operatori specifici: tra queste, 111 componenti collegati a Intango e una famiglia di 58 estensioni chiamata “SecuryBrowse”, con circa 4,9 milioni di utenti stimati. La ricerca aggrega però casi diversi e non implica che ogni estensione o società citata abbia lo stesso ruolo o comportamento. Socket
Come controllare Chrome
Chi nota che le ricerche passano da siti inattesi, o ha installato un’estensione dopo aver visto una pubblicità per un convertitore PDF o un servizio di ricerca, può controllare i componenti aggiuntivi installati e il motore predefinito.
- Apri
chrome://extensionse rimuovi le estensioni che non riconosci o non usi. - In Impostazioni → Motore di ricerca, verifica quale estensione, se presente, controlla la ricerca predefinita.
- Se non sei sicuro di un componente, confrontane nome e identificativo con l’elenco pubblicato da Socket.
La presenza nel Chrome Web Store non basta, da sola, a garantire che un’estensione sia innocua. Un controllo periodico è particolarmente utile per gli strumenti installati tramite annunci o link ricevuti da siti esterni. Queste verifiche sono coerenti anche con le indicazioni di Malwarebytes, che ha ripreso i risultati dell’indagine. Malwarebytes