As extensões do Chrome podem facilitar tarefas cotidianas, converter arquivos, bloquear anúncios e adicionar recursos de inteligência artificial ao navegador. No entanto, uma investigação de segurança revelou como essa conveniência pode ser explorada por criminosos: uma campanha com 319 extensões fraudulentas e 13,4 milhões de instalações combinadas utilizava complementos aparentemente legítimos para manipular pesquisas e redirecionar o tráfego dos usuários.
A descoberta atribuída à empresa de segurança Socket expõe um problema importante na distribuição de software para navegadores. Mesmo quando um complemento está disponível em uma loja oficial, sua presença na plataforma não representa uma garantia absoluta de segurança. Extensões aparentemente simples podem esconder mecanismos de monetização abusiva e alterar silenciosamente o comportamento do navegador.
O caso chama a atenção porque o objetivo vai além da exibição de anúncios inconvenientes. O sequestro de buscas, também conhecido como search hijacking, pode permitir que operadores lucrem com redirecionamentos e comissões de publicidade, enquanto expõem os usuários a destinos que não escolheram. Dependendo da infraestrutura utilizada, esse comportamento também pode criar oportunidades para phishing e outros ataques.
Como funciona o golpe do sequestro de buscas no navegador
O mecanismo identificado pela investigação combina três elementos: alteração do mecanismo de pesquisa padrão, encaminhamento das consultas por servidores intermediários e monetização do tráfego gerado. Em vez de oferecer uma funcionalidade útil ao usuário, as extensões atuam como uma camada entre a pessoa e o serviço de pesquisa que ela pretende utilizar.
Quando alguém digita uma consulta na barra de endereços, o navegador normalmente a envia ao mecanismo de pesquisa configurado. Nas extensões investigadas, esse caminho passa primeiro por um domínio controlado pelos operadores. A solicitação pode ser encaminhada ao Bing ou ao Yahoo, acompanhada de identificadores que permitem atribuir o tráfego a parceiros comerciais.
O resultado é um sistema no qual os criminosos podem obter receitas de referência sem precisar desenvolver um mecanismo de pesquisa próprio. O usuário continua vendo resultados aparentemente legítimos, mas não necessariamente sabe quem intermediou a consulta ou como o redirecionamento está sendo monetizado.
Como o recurso chrome_settings_overrides foi explorado
Um dos aspectos mais relevantes do caso é o abuso do recurso chrome_settings_overrides, previsto na arquitetura de extensões do Chrome. Essa funcionalidade permite que um complemento declare determinadas alterações nas configurações do navegador, incluindo a definição de um provedor de pesquisa padrão.
Isso significa que uma extensão pode modificar o destino das buscas por meio de seu arquivo de manifesto, sem precisar implementar um sistema complexo de execução em segundo plano. A pesquisa da Socket identificou complementos cuja estrutura era extremamente simples, contendo basicamente metadados, ícones e configurações para substituir o mecanismo de pesquisa.
O detalhe é importante porque uma extensão que solicita poucas permissões pode parecer inofensiva durante uma análise superficial. Entretanto, não solicitar permissões amplas não significa que um complemento seja confiável. Alterar o mecanismo de pesquisa já permite influenciar uma atividade cotidiana e encaminhar consultas para servidores escolhidos pelo desenvolvedor.
A funcionalidade é legítima, mas sua utilização precisa ser avaliada pelo contexto. Uma ferramenta que promete proteger a navegação, por exemplo, merece desconfiança quando sua principal atividade consiste em substituir silenciosamente o provedor de pesquisa por um endereço controlado por terceiros.
A engenharia invisível do proxy dinâmico
O segundo componente é o servidor proxy, que recebe as consultas antes de encaminhá-las ao destino final. Essa infraestrutura oferece aos operadores mais controle do que um simples redirecionamento fixo configurado diretamente na extensão.
De acordo com a investigação, os servidores podem registrar consultas, contabilizar referências comerciais e decidir para onde cada solicitação será enviada. O destino pode variar conforme a pesquisa realizada ou outras características da requisição, permitindo que o comportamento seja alterado remotamente sem exigir uma atualização imediata do complemento instalado.
A Socket observou casos em que pesquisas semelhantes terminaram em destinos diferentes, incluindo resultados do Yahoo com parâmetros de parceiros, páginas intermediárias e outros endereços. Esse comportamento demonstra como a infraestrutura pode controlar o encaminhamento de tráfego de maneira flexível.
O risco não depende de a extensão exibir um aviso suspeito ou abrir janelas constantemente. O usuário pode continuar navegando normalmente enquanto suas consultas passam por uma infraestrutura intermediária que não escolheu.
Os disfarces mais comuns e os riscos ocultos das extensões do Chrome
As campanhas investigadas utilizaram nomes e propostas que parecem familiares para quem procura soluções rápidas na internet. Entre as categorias identificadas estão conversores de PDF, localizadores de manuais, ferramentas de pesquisa, utilitários de inteligência artificial e complementos apresentados como recursos de segurança.
Um dos grupos mais expressivos foi associado à marca SecuryBrowse, com dezenas de extensões que aparentavam oferecer proteção ou navegação segura. A investigação também identificou complementos distribuídos sob nomes genéricos, como ferramentas para pesquisar documentos e localizar informações.
O apelo dessas ofertas está na simplicidade: o usuário vê um anúncio prometendo encontrar um manual, converter um arquivo ou melhorar os resultados das pesquisas e instala a extensão sem investigar sua finalidade real.
Outro elemento preocupante é a distribuição. Segundo a Socket, muitas dessas extensões estavam não listadas na Chrome Web Store, o que significa que suas páginas não apareciam normalmente nos resultados de pesquisa da loja. Isso não equivale a uma instalação secreta: as páginas ainda podiam ser acessadas por links diretos.
Anúncios pagos, páginas promocionais e redirecionamentos ajudavam a levar usuários até esses complementos. Assim, a campanha contornava parcialmente a dificuldade de obter visibilidade orgânica e aproveitava a confiança que muitas pessoas depositam na loja oficial.
A escala também merece atenção. As 319 extensões identificadas acumularam aproximadamente 13,4 milhões de instalações ao longo de cerca de uma década, segundo a pesquisa publicada em 29 de outubro de 2026. Esse total representa instalações combinadas, não necessariamente 13,4 milhões de pessoas únicas com extensões ativas atualmente.
O levantamento ainda relaciona diferentes grupos de operadores e modelos de monetização. Isso indica que o problema não se limita a um único complemento ou a uma campanha isolada, mas envolve um ecossistema de distribuição e captura de tráfego.
Da fraude publicitária ao risco de phishing e vazamento de dados
O ganho financeiro imediato está relacionado à monetização de pesquisas por meio de programas de parceria e distribuição de resultados. Serviços como Bing e Yahoo podem remunerar parceiros que encaminham tráfego, utilizando parâmetros específicos para identificar a origem das consultas e calcular a participação comercial.
Quando uma extensão sequestra esse fluxo, o operador pode obter receita com pesquisas que o usuário faria de qualquer maneira. O problema é que o intermediário também passa a ter visibilidade sobre as consultas encaminhadas por sua infraestrutura.
Pesquisas podem revelar interesses pessoais, dúvidas financeiras, questões profissionais e informações relacionadas a serviços utilizados. Mesmo sem capturar senhas diretamente, o registro dessas consultas pode formar um histórico detalhado de comportamento. A extensão e o proxy, portanto, levantam preocupações de privacidade e coleta de dados, especialmente quando não existe transparência sobre armazenamento, retenção e uso dessas informações.
Há também um risco potencial mais grave. Se o servidor controla o destino de cada solicitação, seus operadores podem alterar o encaminhamento para apresentar páginas falsas, imitações de mecanismos de pesquisa ou downloads maliciosos a determinados usuários.
Uma página de phishing pode tentar obter credenciais de e-mail, contas corporativas ou serviços financeiros. Um download fraudulento pode, por sua vez, induzir a instalação de outro programa indesejado.
É importante distinguir o risco demonstrado da possibilidade de abuso futuro: a investigação documenta o sequestro de buscas e o controle dinâmico dos redirecionamentos, mas isso não significa que todas as 319 extensões tenham sido comprovadamente utilizadas para roubar senhas ou distribuir malware.
Ainda assim, uma infraestrutura capaz de decidir remotamente o destino das pesquisas cria uma oportunidade real para ataques mais agressivos. O fato de os resultados parecerem normais hoje não garante que o comportamento permanecerá igual amanhã.
Como saber se você foi afetado e proteger seu navegador
A melhor medida preventiva é revisar as extensões instaladas e verificar se o mecanismo de pesquisa está configurado conforme sua preferência. O procedimento é simples e pode revelar complementos esquecidos ou alterações que você não autorizou.
1. Revise todas as extensões instaladas
No Chrome, digite chrome://extensions na barra de endereços. Examine os nomes, os desenvolvedores e as funções dos complementos. Remova aqueles que você não reconhece, não utiliza ou cuja finalidade não consegue confirmar. Dê atenção especial a ferramentas de pesquisa, conversores de arquivos e supostos recursos de segurança.
2. Confira o mecanismo de pesquisa padrão
Acesse chrome://settings/search. Verifique qual provedor está configurado e se o endereço corresponde ao serviço que você escolheu. Se houver alterações inesperadas, remova a extensão suspeita antes de restaurar sua preferência.
3. Investigue redirecionamentos incomuns
Observe se as pesquisas passam por domínios desconhecidos antes de chegar ao destino habitual. Verifique também se a página inicial, a nova guia ou outras configurações mudaram sem sua autorização. Esses sinais não confirmam uma infecção isoladamente, mas justificam uma investigação.
4. Redefina as configurações se necessário
Se os redirecionamentos persistirem após a remoção dos complementos suspeitos, considere restaurar as configurações do navegador. No Chrome, a opção fica em Configurações, depois Redefinir configurações. A redefinição não substitui a remoção manual de extensões desconhecidas.
Quem utiliza Brave, Vivaldi, Opera ou Microsoft Edge também deve revisar os complementos instalados e conferir o mecanismo de pesquisa. Os caminhos dos menus variam, mas o princípio é o mesmo: identificar extensões desconhecidas, eliminar alterações não autorizadas e verificar se o comportamento normal foi restaurado.
Se você suspeitar que suas pesquisas foram encaminhadas para páginas fraudulentas, evite inserir credenciais nesses destinos. Caso tenha informado senhas em uma página suspeita, altere-as usando o site oficial do serviço e ative a autenticação multifator sempre que disponível.
Também vale verificar se o complemento aparece na relação de extensões identificadas pela pesquisa da Socket. Como campanhas desse tipo podem mudar de nome e domínio, a ausência de uma extensão em uma lista não comprova que ela seja segura.
Um alerta sobre a confiança nas lojas oficiais
O caso reforça que a segurança de um navegador depende não apenas de suas proteções internas, mas também da qualidade dos complementos instalados. A Chrome Web Store oferece mecanismos de análise e distribuição, porém extensões indesejadas podem explorar lacunas de fiscalização, publicidade e transparência.
Para usuários de software livre e defensores da privacidade, o episódio também demonstra a importância de reduzir a superfície de ataque: instalar apenas o necessário, conferir as permissões, investigar o desenvolvedor e desconfiar de ferramentas que prometem benefícios vagos.
