Une extension Chrome avec plus de 10 millions d'utilisateurs cachait une fonction permettant d'injecter des scripts à distance. La capacité de modifier des pages web sans autorisation transforme ces compléments en un risque de sécurité. La leçon est claire : même les outils les plus populaires peuvent compromettre votre vie privée sans que vous vous en rendiez compte.
Comment fonctionne la porte dérobée dans les extensions Chrome 🔍
Le code malveillant, caché dans la logique du bloqueur, permettait à des serveurs externes d'envoyer des instructions arbitraires. Cela signifie que les scripts pouvaient modifier des formulaires, voler des identifiants ou rediriger vers des sites frauduleux. L'API de Chrome ne détecte pas ces capacités cachées, car les autorisations semblent légitimes. Les développeurs exploitent la confiance de l'utilisateur pour introduire des fonctionnalités non documentées.
Le bloqueur qui bloquait votre sécurité ⚠️
Il s'avère que pendant que vous vous sentiez en sécurité sans publicités, le bloqueur faisait exactement la même chose que les publicités que vous détestez : injecter du code étranger. L'ironie, c'est que vous avez payé avec votre vie privée pour un outil qui promettait de vous protéger. Maintenant, en plus de voir des pages propres, vous pourriez offrir vos données sans le savoir. C'est un peu comme échanger une publicité gênante contre un espion invisible.