Des centaines de faux VPN inondent le Chrome Web Store

Je dis souvent aux gens de considérer les VPN comme des entonnoirs de cuisine. Au lieu de déverser votre trafic réseau directement sur le Web et de diffuser vos métadonnées partout, vous les transférez dans un tube étroit de cryptage. Vous pointez votre connexion exactement là où elle doit aller sans fuite partout. Bien entendu, l’hypothèse d’un tel arrangement est que vous confiance votre VPN, qui contrôle le flux du trafic de votre appareil vers le Web. Mais si le VPN lui-même est un pot de miel permettant aux attaquants de s’emparer de vos données, vous venez d’échanger plusieurs risques de sécurité possibles contre une faille de sécurité garantie.

Selon l’équipe de Socket, c’est ce qui se passe avec plus de sept cents fausses applications VPN répertoriées sur le Chrome Web Store. Beaucoup de ces extensions sont gratuites, certaines sont payantes et certaines prétendent même provenir de fournisseurs de cybersécurité de confiance pour inciter les utilisateurs à fournir un accès illimité à leur réseau et à leur navigateur. Ce week-end, j’ai parcouru le rapport de Socket pour savoir exactement ce qui se passait avec ces applications et comment elles ont réussi à effacer la modération du Web Store sans être signalées par Google. Je vais partager ce que j’ai trouvé et vous proposer quelques conseils pour vous aider à éviter ces faux VPN.

Ce que Socket a trouvé en analysant des centaines d’extensions Chrome suspectes

En bref, l’équipe de recherche sur les menaces de Socket a analysé 737 extensions Chrome suspectes qui prétendent proposer des serveurs proxy VPN et SOCKS5 pour protéger votre confidentialité en ligne. Ils ont découvert des applications payantes vendant l’accès à des serveurs VPN qui n’existent pas, des extensions qui détournent votre proxy pour suivre l’activité en ligne et plusieurs tentatives d’usurpation de l’identité de fournisseurs de services VPN de confiance comme NordVPN et Surfshark.

Socket est une plate-forme de cybersécurité dotée de sa propre extension GitHub, d’un pare-feu et d’une CLI pour aider les développeurs à analyser le code écrit par l’IA à la recherche de comportements malveillants. Lorsqu’ils ont examiné ces extensions Chrome, ils ont constaté qu’elles étaient toutes publiées par un total de 40 comptes de développeurs et qu’elles avaient accumulé 75 486 installations d’utilisateurs sur le Chrome Web Store.

Sur les 737 extensions suspectes analysées, l’équipe de Socket a effectué une analyse détaillée du code de 525 d’entre elles. Au total, ces extensions représentaient à l’époque 58 318 installations Chrome actives. Quant aux 212 autres, ils avaient déjà été retirés du Web Store avant que Socket puisse y jeter un œil. Mais les chercheurs ont immédiatement découvert un certain nombre de problèmes dans les extensions qu’ils ont analysées, notamment :

274 extensions sur 525 ont plagié la marque et le logo de l’une des 66 plateformes VPN réputées, dont Proton VPN, Surfshark, NordVPN, ExpressVPN, CyberGhost et TunnelBear.
Deux extensions usurpent spécifiquement l’identité d’AmneziaVPN et d’AntiZapret, qui sont souvent utilisées pour contourner la censure et la surveillance d’Internet.
Chaque extension pointait vers un proxy SOCKS5 fixe sans tunneling fractionné ni contrôles par site, ce qui signifie que toutes vos activités en ligne seraient acheminées via le même serveur une fois l’extension installée.
104 extensions utilisant des techniques documentées d’évasion DNS sur HTTPS pour contourner les listes de blocage de Chrome en usurpant leur enregistrement DNS.
Beaucoup de ces VPN annoncent un niveau payant avec des serveurs VPN privés au Japon, à Singapour, au Canada, en Australie et en Turquie. Mais ces serveurs n’existent pas, car leurs noms d’hôte n’ont pas été résolus lorsque Socket a exécuté une recherche DNS sur eux.
Avec les abonnements VPN premium, aucune vérification de licence n’était effectuée en interne pour détecter si l’utilisateur avait réellement payé un abonnement. Ce n’est pas normal pour toute application ou plate-forme Web proposant un niveau payant.
L’une de ces extensions, Burёnka VPN, n’achemine le trafic via aucun serveur. C’est juste une fausse interface utilisateur prétendant être une vraie application.
Une autre extension contient un fichier avec un commentaire en texte brut qui dit simplement : « Si le Chrome Web Store rejette cela en raison de l’ouverture automatique des liens, nous pouvons le remplacer par une notification proposant d’accéder au bot Telegram. » Cela montre que les développeurs savent que leur application enfreint la politique du Web Store, mais ont l’intention d’échapper aux avis au lieu de résoudre le problème.

Comment les faux VPN ont dépassé le processus d’examen de Chrome

J’ai constaté à plusieurs reprises que les cyberattaques les mieux conçues ne sont pas nécessairement les plus sophistiquées.

De même, aucune de ces extensions n’est particulièrement difficile à signaler lors d’une révision approfondie du code. Ils ont dépassé les défenses de Chrome parce qu’ils ont passé beaucoup de temps à étudier les processus d’évaluation du Web Store, apprenant peut-être à éviter les refus grâce à des essais et des erreurs répétés. Beaucoup de ces développeurs ont déjà vu leurs autres extensions supprimées par Chrome à la suite d’un rapport similaire de Palo Alto Networks en juin, mais ils ont immédiatement publié de nouvelles extensions en utilisant le même playbook.

Même si le compte d’un développeur est retiré du magasin, l’ouverture d’un nouveau compte de développeur sur le Chrome Web Store coûte 5 $. Parmi les 40 comptes de développeurs mentionnés dans le rapport, il en coûte à peine 200 dollars pour publier plus de 700 fausses extensions qui ont atteint une audience de plusieurs dizaines de milliers de personnes.

Cela a également aidé que la plupart de ces VPN soient orientés vers les citoyens russes essayant de contourner les réglementations de censure régionale, de sorte que les incidents qui en résulteraient n’auraient pas été largement signalés en dehors de cette cible démographique spécifique. Peut-être plus troublant encore, dans les rares occasions où les modérateurs de magasins ont signalé une extension pour un examen plus approfondi, ils ont tous partagé des « justifications de confidentialité » exactement identiques qui n’étaient guère plus que de fausses assurances pour réactiver leurs extensions.

Il est facile de considérer ces faux VPN comme une menace régionale visant uniquement les internautes russes, mais vous auriez tort. Les politiques du Chrome Web Store dressent un tableau troublant d’examens de sécurité laxistes, et le même faux manuel VPN pourrait être adapté pour cibler les citoyens aux États-Unis, au Royaume-Uni, dans l’UE ou partout ailleurs dans le monde. En fait, Google lui-même a émis un avertissement critique en 2025, parlant d’une fausse activité VPN similaire sur le Play Store pour les utilisateurs d’Android.

Comment repérer une fausse extension de navigateur VPN

Étant donné que vous ne pouvez pas compter uniquement sur les processus d’examen de l’App Store, vous avez besoin d’un moyen de repérer les fausses extensions avant qu’elles n’intègrent des logiciels espions dans votre navigateur. On ne peut pas s’attendre à ce que vous procédiez à une ingénierie inverse des fichiers manifestes de chaque extension comme Socket l’a fait, mais heureusement, vous n’êtes pas obligé de le faire car il existe des moyens plus simples de savoir si quelque chose ne va pas.

Installez les extensions en suivant un lien directement depuis le site officiel du fournisseur VPN, et non depuis la barre de recherche du Web Store ou de Google Play.
Lisez toujours les avis avant d’installer une nouvelle extension de navigateur. Si trop de gens se plaignent de problèmes de sécurité, évitez-le.
Avant d’installer une extension Chrome Web Store, examinez également la liste des applications et les avis des utilisateurs jusqu’au compte de développeur lié à cette application. Vérifiez si le compte est officiellement associé au fournisseur VPN et voyez si les avis du Web Store signalent également des problèmes de sécurité sur leurs autres applications.
Utilisez un outil comme WhatIsMyIPAddress.com pour vérifier votre adresse IP actuellement visible. Confirmez qu’elle correspond à l’adresse IP affichée dans l’interface utilisateur de votre extension VPN.
Exécutez une vérification des fuites DNS pendant que votre VPN est activé pour vous assurer qu’il fonctionne correctement, non seulement en masquant votre adresse IP, mais également en cryptant vos requêtes DNS. Si votre adresse IP, votre emplacement général ou votre fournisseur d’accès Internet (FAI) apparaît dans les résultats du test, c’est un signal d’alarme.