Extensões VPN falsas no Chrome estão colocando em xeque uma das principais promessas de privacidade feitas aos usuários: a de que o tráfego está sendo protegido por uma VPN confiável. Uma campanha identificada por pesquisadores de segurança reuniu 737 extensões maliciosas ou suspeitas, distribuídas pela Chrome Web Store, com mais de 75 mil instalações. Parte delas imitava serviços conhecidos para convencer o usuário de que estava instalando uma ferramenta legítima.
O problema vai muito além de uma extensão que exibe publicidade ou altera a página inicial. As extensões analisadas utilizavam proxies SOCKS5 controlados por terceiros, redirecionando o tráfego do navegador para uma infraestrutura que não tinha relação com as marcas copiadas. Em determinadas situações, isso pode expor endereços IP, destinos acessados, informações de conexão TLS e tráfego HTTP sem criptografia, criando uma situação de risco para credenciais e dados pessoais.
Como funcionava o golpe das extensões VPN falsas no Chrome
A campanha explorava uma técnica simples, mas eficiente: abusar da confiança que os usuários depositam em marcas conhecidas. Entre os nomes imitados estavam Proton VPN, NordVPN, Surfshark e Cloudflare 1.1.1.1, além de outros serviços relacionados a VPN e acesso à internet. Dados publicados sobre a campanha indicam que 274 das 737 extensões imitavam 66 serviços legítimos.
O objetivo era fazer com que a vítima acreditasse estar instalando uma extensão oficial. Nomes semelhantes, ícones copiados, descrições genéricas e a presença dentro da própria Chrome Web Store ajudavam a criar uma falsa sensação de segurança.
Depois da instalação, a extensão podia assumir o controle das configurações de proxy utilizadas pelo navegador. Em amostras disponíveis atualmente na loja, pesquisadores conseguem observar um padrão técnico recorrente envolvendo DNS-over-HTTPS para descobrir o endereço do servidor e a configuração de um proxy SOCKS5 na porta 1082. Algumas extensões chegam a mencionar explicitamente que não possuem relação com a marca cujo nome utilizam.
O mecanismo é particularmente preocupante porque o usuário pode simplesmente clicar em um botão como “Conectar” e continuar navegando normalmente. Por trás da interface, entretanto, o caminho da conexão pode ter sido alterado.
A infraestrutura encontrada também utilizava uma espécie de modelo comercial fraudulento. Algumas extensões ofereciam servidores gratuitos e opções “premium”, criando a aparência de um serviço legítimo de VPN e incentivando o usuário a permanecer dentro do ecossistema controlado pelos operadores.
O levantamento aponta 75.486 instalações distribuídas entre as extensões identificadas. A campanha também teria utilizado mais de 40 contas de desenvolvedores, ampliando a capacidade de publicar e manter diferentes nomes na loja.
Por que um proxy malicioso é tão perigoso?
Uma VPN legítima normalmente cria um túnel criptografado entre o dispositivo e a infraestrutura do provedor. Isso não significa que o provedor seja incapaz de saber para onde o usuário está se conectando, mas significa que o tráfego é tratado dentro de uma arquitetura projetada especificamente para esse objetivo.
Um proxy SOCKS5, por outro lado, é principalmente um mecanismo de encaminhamento de conexões. Ele não representa, por si só, uma garantia de privacidade ou criptografia.
Quando o navegador é configurado para passar pelo proxy de um terceiro, esse operador pode obter informações importantes sobre as conexões. Entre elas estão o IP de origem, os destinos de rede e, dependendo do protocolo utilizado, informações presentes nas conexões.
Em conexões HTTPS, o conteúdo normalmente permanece protegido pela criptografia TLS. Porém, informações como o SNI (Server Name Indication) podem revelar o domínio que está sendo acessado, dependendo da configuração utilizada. Já conexões HTTP tradicionais podem expor diretamente conteúdo, URLs, cookies e credenciais transmitidas sem criptografia.
Isso não significa que simplesmente utilizar SOCKS5 permita automaticamente descriptografar todo HTTPS. Para isso, seria necessário um mecanismo adicional de interceptação, como um ataque man-in-the-middle com certificados confiáveis instalados no dispositivo. O risco, entretanto, continua elevado porque o operador controla uma etapa importante do caminho da conexão.
A própria Socket já documentou casos de extensões VPN maliciosas capazes de atuar como proxies intermediários e capturar senhas, cookies de autenticação, informações de pagamento, tokens e dados enviados por formulários.
Extensões VPN falsas no Chrome podem criar uma falsa sensação de proteção
Um dos aspectos mais perigosos da campanha é psicológico: a vítima acredita estar mais protegida, quando na realidade pode estar entregando uma parcela importante do tráfego a terceiros.
Esse cenário é particularmente problemático para quem utiliza o navegador para acessar internet banking, serviços corporativos, e-mail, plataformas de nuvem, GitHub, sistemas administrativos e lojas virtuais.
Mesmo que uma extensão maliciosa não consiga descriptografar uma sessão HTTPS, informações sobre os sites acessados podem ser valiosas. Além disso, uma extensão com permissões excessivas pode representar uma ameaça independente do proxy.
A Socket já alertou que extensões de navegador podem abusar de permissões legítimas para realizar exfiltração de dados, captura de informações, redirecionamentos e sequestro de sessões.
Por isso, a combinação entre extensão falsa + alteração de proxy + marca conhecida merece atenção especial.
Como verificar se o seu Chrome ou Chromium foi afetado
A primeira medida é fazer uma auditoria das extensões instaladas. Isso vale para Google Chrome, Chromium, Brave e outros navegadores baseados em Chromium.
1. Revise todas as extensões instaladas
No Chrome, abra:
Menu → Extensões → Gerenciar extensões
Também é possível acessar diretamente a página de gerenciamento digitando chrome://extensions/ na barra de endereços.
Procure por:
- VPNs gratuitas que você não reconhece;
- extensões instaladas recentemente;
- nomes semelhantes aos de serviços conhecidos;
- desenvolvedores desconhecidos;
- extensões sem avaliações ou com poucas avaliações;
- ferramentas que prometem acesso “ilimitado” ou “premium” gratuitamente;
- extensões que você não lembra de ter instalado.
Não confie apenas no nome ou no ícone. Uma extensão chamada Proton VPN, NordVPN ou Surfshark não é necessariamente publicada pelo fornecedor legítimo.
2. Verifique o desenvolvedor
Abra os detalhes da extensão e confira quem publicou o complemento.
Uma diferença pequena no nome do desenvolvedor, endereço de suporte ou domínio oficial pode indicar uma tentativa de typosquatting ou falsificação de marca.
A melhor prática é começar pelo site oficial do serviço de VPN e chegar à extensão por esse caminho, em vez de pesquisar apenas pelo nome dentro da loja.
3. Procure alterações inesperadas de proxy
Uma extensão VPN legítima precisa modificar configurações de rede para cumprir sua função. Porém, uma extensão desconhecida que altera o proxy sem uma justificativa clara deve ser tratada como suspeita.
No Chromium, políticas corporativas também permitem controlar configurações relacionadas a servidores proxy, mostrando a importância desse componente para a segurança do navegador.
No Windows, Linux e macOS, também vale revisar as configurações de proxy do próprio sistema. Se um servidor desconhecido estiver configurado sem que você tenha feito essa alteração, investigue imediatamente.
4. Remova extensões suspeitas
Se uma extensão não for necessária ou houver dúvidas sobre sua legitimidade, desinstale-a.
Depois disso, reinicie o navegador e verifique novamente as configurações de proxy. Se a extensão tiver sido utilizada durante o acesso a serviços sensíveis, considere também trocar as senhas e encerrar sessões ativas, especialmente em contas de e-mail, bancos, redes sociais e serviços corporativos.
Em ambientes empresariais, administradores devem considerar o uso de listas de permissões para extensões, impedindo que usuários instalem livremente complementos não aprovados.
Como escolher uma VPN legítima
A existência dessa campanha não significa que extensões de VPN sejam necessariamente inseguras. O problema está em confiar cegamente em qualquer complemento que apareça na loja.
Antes de instalar uma VPN, confira o site oficial do fornecedor, a identidade do desenvolvedor, a política de privacidade, o histórico da empresa e as permissões solicitadas.
Também é importante entender a diferença entre uma VPN completa e uma extensão de navegador. Muitas extensões protegem somente o tráfego do navegador, enquanto um cliente VPN instalado no sistema pode proteger uma parcela muito maior das conexões do dispositivo.
Para usuários de Linux e do ecossistema open source, vale priorizar serviços que expliquem claramente seus protocolos, disponibilizem documentação técnica e tenham clientes ou configurações compatíveis com ferramentas conhecidas.
Mais importante ainda: não escolha uma VPN apenas porque ela é gratuita. Manter servidores, largura de banda e infraestrutura de segurança tem custos. Uma oferta gratuita e ilimitada merece uma análise cuidadosa sobre como o serviço se sustenta.
Conclusão: extensões VPN falsas no Chrome exigem atenção redobrada
A campanha das extensões VPN falsas no Chrome mostra que a presença de um aplicativo na Chrome Web Store não deve ser interpretada como uma garantia absoluta de segurança. Foram identificadas 737 extensões, mais de 75 mil instalações e centenas de casos de imitação de marcas conhecidas.
O caso também reforça uma regra fundamental de segurança: uma ferramenta criada para proteger sua privacidade não pode ser escolhida apenas pela aparência.
Antes de confiar uma VPN ao navegador, verifique o desenvolvedor, as permissões, a reputação do serviço e a origem do download. Se você possui extensões instaladas há muito tempo, faça uma auditoria agora mesmo.
Para profissionais de TI, o alerta é ainda mais importante. Extensões de navegador devem ser tratadas como software com privilégios, e não como simples acessórios. Em ambientes corporativos, políticas de allowlist, monitoramento de alterações e revisão periódica podem reduzir significativamente esse tipo de risco.
A campanha deixa uma mensagem clara: se uma extensão controla seu tráfego, ela também merece o mesmo nível de confiança que você daria a qualquer outro componente crítico da sua infraestrutura digital.
