Tapez « Perplexity » dans le Chrome Store et vous découvrirez toute une gamme d’extensions de navigateur permettant d’accéder à ce service de recherche par IA très populaire. Jusqu’à la semaine dernière, l’une d’entre elles s’appelait« Search for perplexity ai » et offrait un petit plus auquel les utilisateurs ne s’attendaient pas : une petite opération de surveillance cachée.
Le 29 juin, l'équipe de recherche en sécurité Defender de Microsoft a révélé que cette extension se faisait passer pour la véritable entreprise de recherche basée sur l'IA tout en enregistrant secrètement ce que les utilisateurs tapaient. Google l'a supprimée, mais les utilisateurs qui l'avaient déjà installée sont toujours exposés à un risque.
Comment l'extension a collecté les requêtes des utilisateurs
L'extension redirigeait le trafic des utilisateurs vers le domaine victime d'un typosquatting perplexity-ai[.]online plutôt que le légitime perplexity.ai. Elle a demandé chrome_settings_overrides, l'autorisation standard qui permet à une extension de devenir le moteur de recherche par défaut du navigateur.
Mais elle a également demandé une autorisation de réseau fondée sur des règles, appelée declarativeNetRequest (DNR), ce qui lui permettait de rediriger les recherches des utilisateurs vers un serveur contrôlé par le pirate. Microsoft a indiqué que cette autorisation supplémentaire n’était pas nécessaire pour l’usage annoncé de l’extension, ce qui constituait un signal d’alerte. Aucun de ces deux éléments n’a toutefois suscité de soupçons lors de l’examen de l’extension par le Web Store.
Grâce à ces autorisations, les recherches saisies dans la barre d'adresse Chromeétaient d'abord acheminées via un serveur contrôlé par un pirate, ce qui lui permettait de voir les recherches des utilisateurs et d'enregistrer chaque requête, ainsi que l'adresse IP, les en-têtes du navigateur et la chaîne « user-agent ».
Ensuite, il a redirigé la recherche vers un véritable moteur de recherche, de sorte que les résultats s'affichaient de manière normale.
L'extension ne se contentait pas d'intégrer Perplexity dans son code. Elle était également capable de rediriger le trafic vers Google et Bing si le développeur choisissait d'activer cette fonctionnalité.
L'extension avait également accès au flux de suggestions de recherche Chrome, qui alimente la fonction de saisie prédictive. Cela signifiait que l'interception se faisait en temps réel. Tout ce qui était saisi, même si cela était effacé avant d'appuyer sur Entrée, était tout de même transmis au serveur de l'opérateur.
Au vu de tous ces éléments, Microsoft a conclu que la surveillance était l'objectif recherché, et non un effet secondaire de l'architecture de redirection. Aucun opérateur n'a été identifié publiquement.
Le fait de le retirer de la boutique ne le désinstalle pas.
Google a supprimé l'extension après la mise au point de Microsoft, mais cela ne la supprime pas des navigateurs des utilisateurs qui l'ont déjà installée. Si vous avez ajouté «Search for perplexity ai »à un moment donné, elle figure toujours dans votre liste d'extensions jusqu'à ce que vous la désinstalliez manuellement, ce que nous vous conseillons de faire sans tarder.
Comment le désinstaller ?
Ouvrir chrome://extensions/, activer Mode développeur, et vérifiez l'identifiant de 32 caractères de chaque extension que vous avez installée. Les noms d'extensions dans Chrome ne Chrome pas uniques, et les cybercriminels en tirent parti. Comparez chaque identifiant à celui indiqué sur le site officiel du développeur avant de lui accorder votre confiance.
Désinstallez tout ce que vous n'utilisez pas. Une liste d'extensions plus courte réduit la surface d'attaque. N'accordez à une extension que les autorisations dont elle a besoin pour fonctionner. Et veillez tout particulièrement à vérifier l'éditeur de l'extension, ainsi que les domaines qu'elle utilise.
Ce problème ne concerne pas uniquement Perplexity
Une étude menée par l'université de Stanford et le CISPA a révélé que les extensions malveillantes restent en moyenne environ 380 jours dans le Chrome Store avant d'être supprimées. Le fait de les présenter comme issues de l'IA ne fait que rendre l'appât plus attrayant et plus séduisant.
En janvier, des chercheurs ont découvert Chrome malveillantes qui espionnaient les sessions ChatGPT, tandis qu’une autre campagne menée l’année dernière avait récupéré des conversations générées par l’IA à l’insu des victimes pour les transmettre à un courtier en données.
Une autre campagne, impliquant une extension appelée AITOPIA, s'est fait passer pour des outils liés à l'IA et a touché plus de 900 000 utilisateurs. Cette campagne ciblait les historiques de conversation de ChatGPT et DeepSeek plutôt que les requêtes de recherche.
