Tu cherches un VPN gratuit sur Chrome pour naviguer plus librement ? Tu n'es pas seul — et tu n'es pas seul non plus à tomber dans le piège. L'équipe de recherche de Socket vient de mettre au jour un réseau de 737 fausses extensions VPN hébergées sur le Chrome Web Store, totalisant plus de 75 000 installations. Le scénario est simple : tu installes ce que tu crois être NordVPN ou Proton VPN, et en réalité c'est un pirate russe qui lit tout ce que tu fais en ligne.
Ce n'est pas une alerte paranoïaque. C'est une enquête documentée, avec des noms de comptes, des adresses IP et du code à l'appui. Voici ce qui se passe réellement derrière ces extensions qui promettent la vie privée.
Un réseau de 737 extensions, 40 comptes et une seule cachette
Le rapport de Socket, publié le 11 août 2026, détaille une opération coordonnée qui tourne depuis plusieurs mois. 737 extensions gratuites de VPN et de proxy ont été publiées sur le Chrome Web Store par au moins 40 comptes développeurs différents. Sur ces 737, 274 usurpent explicitement l'identité de 66 marques connues : NordVPN, Proton VPN, Surfshark, ExpressVPN, Cloudflare 1.1.1.1, et même AmneziaVPN — le VPN que les utilisateurs russes utilisent justement pour contourner la censure.
Au total, ces extensions ont cumulé 75 486 installations. Au moment de l'analyse, 516 étaient encore actives dans le store, portant 58 318 de ces installations. Les 221 autres avaient déjà été retirées — mais les victimes, elles, ne le savent pas forcément.
Le mécanisme d'attaque décrit par Socket dans son rapport.
Le mécanisme : un simple proxy qui lit tout
Le tour de magie est d'une simplicité désarmante. Quand tu cliques sur "Connect" dans l'extension, celle-ci configure Chrome pour envoyer l'intégralité de ton trafic navigateur à travers un serveur SOCKS5 sur le port 1082, contrôlé par les attaquants. Pas de filtrage par site, pas de tunneling sélectif : tout passe par là. Chaque page que tu visiteras, chaque recherche que tu feras, chaque connexion que tu enverras.
Sur les 522 extensions analysées par l'équipe, 520 utilisent exactement le même mécanisme. 302 d'entre elles partagent un pool de 15 adresses IP communes. 104 autres résolvent leur nom d'hôte via DNS-over-HTTPS — une technique qui empêche même ton propre système de détecter où va réellement le trafic.
Concrètement, l'attaquant se retrouve en position de man-in-the-middle sur tout ton trafic. Il peut lire les destinations que tu visits, les valeurs TLS SNI, ton adresse IP source, et tout corps de requête envoyé en HTTP clair. Pour un utilisateur en Russie, l'adresse IP associée à un timestamp suffit souvent à l'identifier via son fournisseur d'accès.
L'analyse de l'outil Socket AI sur l'extension Myxa VPN, l'un des principaux comptes liés au réseau.
Les serveurs premium qui n'existent pas
Le scénario ne s'arrête pas au proxy. Le même opérateur — lié à une entreprise russe nommée Myxa VPN — propose un abonnement payant avec des serveurs "premium" au Japon, à Singapour, au Canada, en Australie et en Turquie. Problème : les 200 noms d'hôte correspondants ne résolvent vers rien. Les serveurs n'existent tout simplement pas.
L'objectif est clair : collecter des abonnements frauduleux et des données personnelles. Les extensions demandent le minimum de permissions — principalement proxy — ce qui les rend peu suspectes à l'œil non averti. 49 extensions sur 18 comptes ont même reçu des modifications de code après leur validation par les évaluateurs de Google, une technique d'évasion classique.
Comment te protéger concrètement
La première chose à faire : vérifier tes extensions Chrome. Va dans chrome://extensions et examine chaque outil de type VPN ou proxy. Si tu ne l'as pas installé toi-même depuis le site officiel du fournisseur, supprime-le.
Ensuite, vérifie les paramètres de proxy de Chrome. Si tu vois une adresse SOCKS5 configurée, c'est que l'extension a laissé des traces — ou qu'elle est toujours active. Change aussi tous les mots de passe que tu as saisis pendant que l'extension était installée, surtout si tu as visité des sites en HTTP (sans le petit cadenas).
La règle d'or : un VPN ne s'installe jamais depuis le Chrome Web Store. Télécharge toujours l'application depuis le site officiel du fournisseur. Et si tu as vraiment besoin d'une extension, vérifie que l'éditeur est bien la marque qu'il prétend être — pas un compte générique avec un logo copié.
Pour les utilisateurs francophones concernés par la vie privée, des solutions comme Proton VPN ou Mullvad offrent des applications natives sans passer par le store de Chrome. C'est plus sûr, et ça évite de jouer à "devine si ton VPN est un vrai".
La leçon : la confiance aveugle coûte cher
Ce réseau de 737 extensions rappelle un truc simple : le Chrome Web Store n'est pas un gage de sécurité. Un logo de NordVPN ne signifie pas que c'est NordVPN. Et une extension qui promet de te protéger peut être exactement l'inverse.
Le plus inquiétant, c'est la simplicité du piège. Pas de malware sophistiqué, pas de zero-day : juste un serveur proxy et un faux logo. 75 000 personnes sont tombées dedans. Vérifie tes extensions, et si un VPN t'a été recommandé par un ami, vérifie deux fois.
—
Recherche, relecture et illustration assistées par IA. Le contenu reflète le travail éditorial de la rédaction.
Sources
1. Socket — 737 Chrome VPN Extensions Linked to Brand Impersonation and Browser Traffic Redirection, 11 août 2026 — rapport complet de l'enquête avec analyse du code et liste des extensions.
2. Bitdefender — 737 fake Chrome VPN extensions exposed in proxy-routing campaign, 13 août 2026 — synthèse de l'actualité avec recommandations de sécurité.
3. Europesays — NordVPN, Proton VPN… Méfiez-vous de ces fausses extensions qui circulent sur Chrome, 17 août 2026 — couverture en français du même rapport.
No comments yet