319 rozszerzeń Chrome i 13,4 mln instalacji — nowe ustalenia
Badacze bezpieczeństwa opisali rozległą kampanię dodatków do przeglądarki Google Chrome, które zmieniały sposób obsługi wyszukiwania internetowego. Według informacji opublikowanych 29 października 2026 roku przez BleepingComputer analiza objęła 319 rozszerzeń Chrome, mających łącznie 13,4 miliona zgłoszonych instalacji. Nie oznacza to jednak automatycznie 13,4 miliona unikalnych poszkodowanych osób ani potwierdzonej kradzieży haseł u wszystkich użytkowników. Liczba dotyczy łącznych instalacji dodatków, a wykryty mechanizm polegał przede wszystkim na kierowaniu zapytań przez serwery pośredniczące i zarabianiu na ruchu wyszukiwarki.
Co ważne, niektóre rozszerzenia Chrome były promowane jako przydatne narzędzia, na przykład konwertery plików PDF, wyszukiwarki instrukcji lub rozwiązania związane ze sztuczną inteligencją. Dlatego zwykły użytkownik mógł uznać je za niewinne. Problem polegał na tym, że ich rzeczywiste działanie nie zawsze odpowiadało oczekiwaniom wynikającym z opisu.
Na czym polegało przejmowanie wyszukiwania?
W typowym scenariuszu użytkownik wpisuje zapytanie w pasku adresu, a przeglądarka przekazuje je bezpośrednio do ustawionej wyszukiwarki. Jednak podejrzane rozszerzenia Chrome potrafiły zmienić domyślnego dostawcę wyszukiwania i skierować żądanie przez serwer kontrolowany przez operatora dodatku. Następnie użytkownik mógł ostatecznie zobaczyć wyniki popularnej wyszukiwarki, więc nie zauważał niczego niepokojącego.
Z kolei pośrednik mógł dołączać identyfikatory partnerów reklamowych i zarabiać na przekierowaniach. Badacze opisali wykorzystanie mechanizmu chrome_settings_overrides, który umożliwia dodatkom zmianę ustawień wyszukiwarki. Niektóre rozszerzenia Chrome wymagały zaskakująco małej ilości kodu, aby realizować ten cel. Dlatego sama niewielka wielkość dodatku lub brak rozbudowanych uprawnień nie daje gwarancji bezpieczeństwa.
Warto przy tym odróżnić taki mechanizm od klasycznego wirusa szyfrującego pliki. Samo przekierowanie nie dowodzi jeszcze instalacji ransomware czy przejęcia konta. Jednocześnie ujawnia, że zewnętrzny operator może wpływać na drogę, którą przechodzą zapytania, oraz na to, dokąd zostanie wysłany użytkownik.
Skąd wzięło się 319 dodatków i miliony instalacji?
Badacz John Tuckner z firmy Socket rozbudował wcześniejsze ustalenia dotyczące 57 rozszerzeń i około sześciu milionów użytkowników. Nowa analiza wskazała dodatkowe 264 dodatki i kolejne 8,7 miliona instalacji, co w raporcie podsumowano liczbą 319 rozszerzeń oraz 13,4 miliona instalacji łącznie. To dane zgłoszone w badaniu, a nie niezależnie zweryfikowany spis wszystkich aktywnych urządzeń.
Ponadto badacze zauważyli, że niektóre rozszerzenia Chrome były dostępne w oficjalnym sklepie Chrome Web Store, ale jako pozycje niepubliczne, których nie znajdowało się zwykłym wyszukiwaniem w sklepie. Zamiast tego instalacje pozyskiwano przez reklamy i odsyłacze na stronach internetowych. Dlatego obecność dodatku w oficjalnym sklepie nie jest wystarczającym powodem, aby bezrefleksyjnie ufać jego funkcjom.
Czy to oznacza kradzież haseł i danych bankowych?
Nie należy wyciągać takiego wniosku bez dowodów. W opisanej kampanii udokumentowano przede wszystkim manipulowanie wyszukiwarką i przekierowywanie ruchu, co mogło służyć zarabianiu na reklamach. Jednak eksperci ostrzegają, że serwer pośredniczący może z czasem zmienić miejsce docelowe przekierowania, nawet jeśli kod rozszerzenia nie zostanie zaktualizowany. Wtedy użytkownik może trafić na stronę wyłudzającą dane lub do pobrania szkodliwego programu.
Co więcej, same zapytania wyszukiwarki mogą ujawniać zainteresowania, problemy zdrowotne, nazwę firmy lub inne wrażliwe informacje wpisane przez użytkownika. Dlatego ryzyko dla prywatności istnieje również wtedy, gdy nie potwierdzono bezpośredniego wycieku hasła. Jednocześnie nie należy przypisywać wszystkim 319 dodatkom identycznych możliwości technicznych. Szczegóły zależą od konkretnego rozszerzenia i jego konfiguracji.
Jak rozpoznać niepożądane rozszerzenie w przeglądarce?
Pierwszym sygnałem może być samoczynna zmiana domyślnej wyszukiwarki. Ponadto niepokój powinny wzbudzić nieznane strony pośredniczące, krótkie przekierowania przed pojawieniem się wyników oraz reklamy zachęcające do instalacji rzekomo niezbędnego narzędzia. Nie każdy taki objaw oznacza jednak tę konkretną kampanię. Podobne efekty mogą powodować inne dodatki, ustawienia przeglądarki lub niepożądane aplikacje zainstalowane w systemie.
W praktyce warto otworzyć w Chrome menu rozszerzeń i przejrzeć pełną listę. Szczególną uwagę należy zwrócić na dodatki, których przeznaczenia użytkownik nie pamięta, których wydawcy są nieznani albo które żądają dostępu do danych na wielu witrynach. Następnie należy sprawdzić ustawienia wyszukiwarki i strony startowej. Dzięki temu można oddzielić normalne zachowanie przeglądarki od zmian, które zaszły bez świadomej zgody.
Bezpieczna procedura kontroli Chrome krok po kroku
Najpierw zapisz ważne dane i zamknij niepotrzebne karty. Następnie wpisz w pasku adresu chrome://extensions i przejrzyj zainstalowane dodatki. Jeżeli rozpoznasz podejrzany element, usuń go za pomocą przycisku dostępnego w przeglądarce. Nie instaluj dodatkowego programu naprawczego z reklamy, ponieważ może to pogorszyć sytuację.
Później przejdź do ustawień wyszukiwarki, sprawdź domyślną usługę oraz listę witryn wykorzystywanych do wyszukiwania. Ponadto skontroluj stronę startową i ustawienia otwieranych kart. Warto także zaktualizować przeglądarkę i uruchomić skanowanie systemu zaufanym programem zabezpieczającym. Jeżeli po usunięciu dodatku problem powraca, sprawdź zainstalowane programy i zasady zarządzania przeglądarką, szczególnie na komputerze firmowym.
Co ważne, w środowisku służbowym nie należy samodzielnie usuwać rozszerzeń narzuconych przez administratora. W takiej sytuacji lepiej zgłosić problem do działu IT. Dzięki temu firma zachowa możliwość analizy incydentu oraz uniknie przypadkowego usunięcia narzędzia potrzebnego do pracy.
Dlaczego nazwy dodatków bywają mylące?
Badacze opisali grupy rozszerzeń reklamowane jako narzędzia do dokumentów PDF, instrukcji obsługi, bezpiecznego wyszukiwania i sztucznej inteligencji. Jednak nazwa sugerująca ochronę prywatności nie gwarantuje, że program rzeczywiście ją zapewnia. Część podejrzanych dodatków wykorzystywała skojarzenia z bezpieczeństwem, aby zachęcić do instalacji.
Na przykład w raporcie pojawia się grupa SecuryBrowse, obejmująca 58 rozszerzeń i około 4,9 miliona użytkowników według przytoczonych danych. Inna grupa, Bing-Search, obejmowała 37 dodatków i około 2,2 miliona użytkowników. Są to przykłady klastrów badanych rozszerzeń, a nie kompletna lista nazw, które należy usuwać bez sprawdzenia. Dlatego najlepiej korzystać z wykazu opublikowanego przez badaczy i porównywać dokładne identyfikatory dodatków.
Czy Google usunął już niebezpieczne rozszerzenia?
Według relacji BleepingComputer większość wykrytych dodatków została usunięta ze sklepu w chwili publikacji raportu. Nie oznacza to jednak, że każda wcześniej zainstalowana kopia zniknęła z urządzeń użytkowników. Ponadto podobne rozszerzenia mogą pojawiać się ponownie pod innymi nazwami.
Dlatego warto okresowo kontrolować rozszerzenia Chrome, nawet jeśli przeglądarka nie pokazuje ostrzeżeń. Jednocześnie nie trzeba rezygnować ze wszystkich rozszerzeń. Rozsądne podejście polega na ograniczaniu ich liczby, wybieraniu znanych wydawców i przeglądaniu uprawnień po aktualizacjach. Takie działania zmniejszają powierzchnię potencjalnego ataku.
Co z komputerami firmowymi i portalami internetowymi?
W firmach rozszerzenia Chrome mogą stanowić problem nie tylko dla prywatności pojedynczego pracownika. Przeglądarka bywa wykorzystywana do obsługi poczty, systemów księgowych, bankowości i paneli administracyjnych. Jeżeli dodatek wpływa na wyszukiwanie lub kieruje użytkownika na niepożądane strony, zwiększa to ryzyko pomyłek i prób wyłudzenia danych.
Dlatego administratorzy powinni rozważyć listę dozwolonych dodatków oraz regularny przegląd ich uprawnień. Ponadto przydatne są aktualizacje przeglądarek, kopie zapasowe i szkolenia dotyczące rozpoznawania fałszywych stron. MobiSerwis opisywał wcześniej fałszywe wiadomości bankowe kierowane do firm, a także zagrożenia dla stron WordPress i hostingu. Te materiały dotyczą innych mechanizmów ataku, ale uzupełniają podstawowe zasady bezpieczeństwa cyfrowego.
Dlaczego ta wiadomość jest ważna dla polskich użytkowników?
Opisane badanie ma charakter międzynarodowy. Nie podano w nim wiarygodnej liczby instalacji pochodzących konkretnie z Polski, dlatego nie należy jej dopowiadać. Jednak Chrome jest używany również w polskich domach i firmach, więc praktyczne zalecenia pozostają aktualne.
Warto przy tym przypomnieć, że podobne problemy opisywano wcześniej. Polski serwis TELEPOLIS.PL informował o niebezpiecznych dodatkach z motywami graficznymi, a w innym materiale opisał rozszerzenia zbierające dane użytkowników. To odrębne przypadki, lecz pokazują, dlaczego kontrola dodatków powinna być stałym elementem higieny cyfrowej. Ponadto warto sprawdzić poradnik MobiSerwis dotyczący ochrony infrastruktury sieciowej przed atakami.
Najczęstsze pytania o rozszerzenia Chrome
Czy każde rozszerzenie Chrome jest niebezpieczne?
Nie. Ryzyko zależy od kodu, wydawcy, uprawnień i sposobu aktualizacji. Warto jednak ograniczać liczbę zbędnych dodatków.
Czy samo używanie Chrome oznacza, że moje dane wyciekły?
Nie. Informacja o kampanii nie dowodzi, że konkretny użytkownik zainstalował którykolwiek z opisanych dodatków.
Jak sprawdzić dodatki?
Wpisz chrome://extensions w pasku adresu i przejrzyj listę, a następnie skontroluj domyślną wyszukiwarkę.
Czy reset przeglądarki wystarczy?
Może pomóc w usunięciu niepożądanych ustawień, ale warto wcześniej zidentyfikować i usunąć problematyczne rozszerzenie oraz sprawdzić system.
Podsumowanie i źródło informacji
Kampania obejmująca 319 rozszerzeń Chrome pokazuje, że zagrożenie nie musi wyglądać jak tradycyjny wirus. Czasem wystarczy pozornie przydatny dodatek, który zmienia trasę zapytań i pośredniczy w wyszukiwaniu. Dlatego najważniejsze są regularny przegląd rozszerzeń, ograniczanie ich uprawnień i unikanie instalacji pod wpływem przypadkowych reklam.
Źródło najnowszych ustaleń: BleepingComputer, publikacja z 29 października 2026 roku. Dane dotyczące liczby rozszerzeń i instalacji pochodzą z przytoczonego badania Socket; nie należy utożsamiać ich z liczbą potwierdzonych ofiar.
Autor: Redakcja MobiSerwis
Dodaj komentarz