En résumé:
- PCWorld rapporte que l’extension Chrome populaire « Enregistrer l’image sous le type », utilisée par plus d’un million de personnes, est devenue un logiciel espion après avoir été vendue à de nouveaux propriétaires.
- L’extension compromise a détourné les liens d’affiliation pour rediriger les revenus et est restée active pendant plus d’un an après que Microsoft Edge l’ait supprimée.
- Cet incident met en évidence de graves failles de sécurité dans la surveillance du Chrome Web Store de Google et les risques auxquels les utilisateurs sont confrontés avec des extensions de navigateur non vérifiées.
En tant que personne qui travaille avec des images pour presque toutes les parties de mon travail, je n’aime vraiment pas le format WebP de Google. C’est bien pour ce qu’il fait, mais le charger dans un éditeur d’images peut souvent être un casse-tête. J’utilise donc une extension de navigateur pour télécharger des fichiers WebP au format JPEG et PNG – ou, du moins, je le fais depuis quelques années. Il s’avère qu’il s’agit de la dernière extension Chrome vendue et transformée en logiciel espion.
L’extension en question s’appelle, ou était, appelée « Enregistrer l’image en tant que type ». Il a fait exactement ce qu’il avait promis, en proposant des téléchargements au format alternatif via le menu contextuel. Mais selon une enquête de XDA, cette extension et bien d’autres extensions populaires ont été achetées par de mauvais acteurs, qui profitent de leur réputation existante sur des centres de téléchargement populaires comme le Chrome Web Store. Ils modifient ensuite les extensions, envoient la mise à jour, et ni les utilisateurs de Google ni de Chrome n’en savent rien.
Dans ce cas précis, l’extension détournait les liens d’affiliation. Il s’agit d’un système généralement invisible pour les internautes, mais qui constitue un élément essentiel du fonctionnement de la publicité et des ventes sur le Web. Lorsque vous cliquez sur le lien d’un magasin sur une page Web, ce magasin peut offrir une commission au site qui a envoyé l’acheteur vers lui. (Oui, ce modèle paie une partie considérable de mon salaire en tant que rédacteur Web.) L’extension surveillait ces liens et les détournait avec son propre code d’affiliation. (Honey, filiale de PayPal, a été surprise en train de faire à peu près la même chose dans une histoire très médiatisée en 2024.)
En d’autres termes, les revenus de l’affiliation étaient redirigés vers le propriétaire de l’extension – ou devrais-je dire vers son nouveau propriétaire. La version Chrome Web Store de l’extension « Enregistrer l’image sous le type » a officiellement changé de mains en novembre 2025, probablement après avoir été vendue, et après avoir rassemblé plus d’un million d’utilisateurs et obtenu un badge « En vedette » de Google. Mais il se peut qu’il ait été compromis bien avant cela. Les chercheurs ont documenté cet ensemble particulier d’extensions fin 2024 et, selon XDA, Microsoft a supprimé cette extension spécifique de sa propre galerie Edge début 2025. (Edge est basé sur Chromium et compatible avec les extensions Chrome.)
Google a supprimé l’extension « Enregistrer l’image sous le type » du Chrome Web Store plus tôt cette semaine, plus d’un an plus tard qu’Edge. Il renvoie désormais un message « Cet élément n’est pas disponible » sur le Chrome Web Store. Même si Chrome n’est pas mon navigateur principal, la suppression l’a également supprimé de mon installation Vivaldi (également basée sur Chromium), car j’avais utilisé le Chrome Web Store pour rechercher et installer l’outil, même si je l’utilisais depuis avant de désactiver Chrome.
Pour être honnête, en tant qu’utilisateur, j’assume au moins une partie de la responsabilité ici. Je devrais inspecter soigneusement chaque mise à jour logicielle pour m’assurer qu’elle est sûre, y compris les mises à jour des extensions de navigateur. Mais d’un autre côté… je ne suis pas un développeur. Même si je était En inspectant attentivement chaque mise à jour logicielle, en analysant le code après avoir lu attentivement les conditions d’utilisation mises à jour, je doute que j’aie l’expertise technique nécessaire pour repérer les modifications malveillantes pertinentes, et la grande majorité des utilisateurs non plus. Je compte sur Google pour assurer la sécurité du Chrome Web Store.
L’achat et la militarisation d’extensions de navigateur populaires s’avèrent être une technique très efficace pour les fraudeurs. Et bien que Google soit au moins quelque peu conscient du problème (la dernière suppression pourrait faire suite à un article sur Reddit du week-end), son application de la sécurité semble être réactionnaire plutôt que proactive. Sinon, comment pourriez-vous décrire avoir plus d’un an de retard sur Microsoft, avec sa base d’utilisateurs beaucoup plus réduite ?
Cela fait un peu plus d’un an que Google est passé au système Manifest V3 pour les extensions Chrome, prétendument pour des raisons de sécurité des utilisateurs. Cet engagement en faveur de la sécurité des utilisateurs semble beaucoup moins sérieux après que l’entreprise a laissé si longtemps une extension malveillante comptant plus d’un million d’utilisateurs sur ses serveurs.
Lectures complémentaires : Conseils essentiels pour rendre Chrome plus sécurisé
