737 fausses extensions VPN : le navigateur reste hors politique

Des chercheurs ont recensé 737 extensions publiées sur le Chrome Web Store depuis au moins quarante comptes développeurs distincts, totalisant plus de 75 000 installations. Toutes se présentent comme des services VPN ou proxy gratuits. Parmi elles, 274 reprennent le nom ou l’identité visuelle de 66 services établis — Proton VPN, NordVPN, Surfshark, ExpressVPN, CyberGhost, TunnelBear, le 1.1.1.1 de Cloudflare, entre autres.

Le fonctionnement réel est l’inverse de la promesse. Une fois le bouton « Connect » activé, l’intégralité du trafic du navigateur passe par des serveurs proxy SOCKS5 contrôlés par les opérateurs de l’extension. Pas de tunneling sélectif, pas de terminaison chez un fournisseur identifié : tout sort par un tiers dont on ne sait rien.

Le poste est conforme, le navigateur ne l’est pas

C’est la situation que décrit ce recensement, et c’est celle que nous rencontrons régulièrement en audit de parc.

Une organisation peut avoir un chiffrement de disque activé, un EDR déployé, une politique de mots de passe tenue, un VPN d’entreprise obligatoire — et un utilisateur qui a installé une extension routant l’ensemble de son trafic navigateur vers un serveur inconnu. Les deux coexistent sans qu’aucun contrôle ne les mette en contradiction.

Ce qui transite par là n’est pas anodin : sessions authentifiées vers les applications métier, contenu des formulaires, jetons d’accès dans les en-têtes, adresses internes visitées. Un proxy en position d’intermédiaire voit tout ce que le navigateur voit.

Pourquoi ce périmètre échappe

Trois raisons, et aucune n’est un défaut de vigilance des utilisateurs.

L’installation ne demande rien. Une extension s’installe en deux clics, sans droits d’administration, sans passer par un catalogue applicatif. Elle n’apparaît dans aucun inventaire logiciel classique, qui recense des programmes installés, pas des composants de navigateur.

L’identité visuelle est convaincante. Quand 274 extensions sur 737 reprennent le nom et le logo de services connus, l’utilisateur qui tape « proton vpn » dans le store n’a pas de moyen évident de distinguer l’originale des copies. Le nombre d’installations affiché, souvent gonflé, renforce l’illusion.

Une extension légitime peut cesser de l’être. C’est le mécanisme le plus difficile à traiter : une extension utile, installée de bonne foi, est revendue à un tiers, qui pousse une mise à jour silencieuse changeant son comportement. L’utilisateur n’est pas notifié. L’extension reste sur la liste, avec la même icône et le même nom.

Ce qu’on peut faire, concrètement

Le sujet a l’avantage d’être l’un des rares où la mesure technique est simple, gratuite et immédiatement efficace. Elle est gérée par stratégie de groupe sous Active Directory, par Intune, ou par la console d’administration Chrome ou Edge.

• Inventorier avant de bloquer. La console d’administration remonte les extensions installées sur le parc. C’est le point de départ, et souvent le moment où l’on découvre l’ampleur réelle. Bloquer sans inventaire casse des usages métier légitimes et produit un afflux de tickets qui fait reculer.
• Basculer en liste d’autorisation. ExtensionInstallBlocklist réglé sur *, puis ExtensionInstallAllowlist renseignée avec les identifiants des extensions validées. C’est un renversement de logique : on n’interdit plus au cas par cas, on autorise explicitement.
• Interdire l’installation hors magasin. Les extensions chargées depuis un fichier local ou une source tierce échappent aux contrôles du store, aussi imparfaits soient-ils.
• Filtrer sur les permissions. Une extension qui demande proxy, webRequest ou l’accès à <all_urls> peut, par construction, lire et rediriger l’ensemble du trafic. Ces trois permissions justifient une validation nominative, quelle que soit la réputation de l’éditeur.
• Revoir périodiquement. Un point trimestriel sur les changements d’éditeur et les élargissements de permissions traite le cas de la revente. C’est peu coûteux et c’est le seul contrôle qui attrape ce scénario.

La question du besoin sous-jacent

Un dernier point, souvent négligé lorsqu’on traite ce sujet uniquement par le blocage.

Les utilisateurs installent des extensions VPN pour des raisons précises : accéder à un contenu géo-restreint dans le cadre d’une veille, contourner un filtrage qu’ils jugent excessif, se protéger sur un réseau public en déplacement. Si le besoin est réel et qu’aucune réponse n’est apportée, la contrainte technique produit du contournement — sur le navigateur personnel, sur le téléphone, sur un poste hors du domaine.

Il est plus efficace de traiter les deux ensemble : bloquer les extensions non autorisées, et fournir en même temps une réponse au besoin identifié, qu’il s’agisse d’un accès nomade correctement configuré ou d’un assouplissement documenté du filtrage.

Sources

• Recensement des extensions VPN et proxy du Chrome Web Store, publié en août 2026
• Google — Chrome Enterprise policy list : ExtensionInstallBlocklist, ExtensionInstallAllowlist, ExtensionSettings
• Microsoft — Microsoft Edge policy documentation, gestion des extensions par Intune