Peneliti Socket, John Tuckner, melaporkan pada 29 Oktober bahwa 319 ekstensi Chrome mengganti mesin pencari bawaan penggunanya dan meneruskan setiap kueri lewat server milik operator. Total pemasangannya sekitar 13,4 juta. Laporan berjudul Searchjacked itu menambah 264 ekstensi baru dengan sekitar 8,7 juta pengguna ke temuan Tuckner pada April 2025, yang saat itu mencakup 57 ekstensi dan sekitar 6 juta pengguna.
Cara kerja pembajakan pencarian
Ekstensi-ekstensi ini menyamar sebagai pengonversi PDF, pencari buku panduan, alat pencarian aman, hingga alat pencarian berbasis AI. Menurut Socket, mereka memakai pengaturan bawaan Chrome bernama chrome_settings_overrides untuk menetapkan penyedia pencarian milik operator. Karena itu tidak ada kode berbahaya yang dijalankan. Salah satu contoh hanya berisi manifes dan ikon, tanpa izin khusus, skrip latar, maupun skrip konten.
Kueri pengguna lalu melewati server operator sebelum sampai ke Bing atau Yahoo, dengan kode mitra yang memberi operator pembagian pendapatan iklan pencarian. Risikonya tidak berhenti di situ. Tujuan akhir bisa diubah kapan saja tanpa memperbarui ekstensi, sehingga pengguna berpotensi diarahkan ke situs phishing atau unduhan berbahaya. Socket mencatat satu ekstensi mengirim enam pencarian identik ke empat tujuan berbeda.
Sebagian besar ekstensi berstatus unlisted di Chrome Web Store, jadi tidak muncul lewat pencarian toko dan hanya bisa dicapai lewat tautan atau ID. Korban biasanya sampai ke sana lewat iklan pop-over dan pop-under di situs berkualitas rendah.
Siapa saja yang disebut dalam laporan
Socket mengaitkan 200 ekstensi (sekitar 5,68 juta pengguna) dengan operator yang teridentifikasi, terbesar Intango LTD dengan 111 ekstensi dan sekitar 2,19 juta pengguna. Sisanya, 119 ekstensi dengan sekitar 7,76 juta pengguna, belum jelas operatornya. Di antaranya kluster SecuryBrowse (58 ekstensi, sekitar 4,9 juta pengguna) dan Bing-Search (37 ekstensi, sekitar 2,21 juta pengguna).
BleepingComputer menyebut sebagian besar ekstensi sudah dicabut saat laporan terbit, sedangkan Socket menilai Chrome Web Store belum mengimbangi kemunculan ekstensi dan domain baru. Google belum menanggapi permintaan komentar BleepingComputer. Kasus ini berbeda dari ekstensi Firefox palsu pencuri frasa pemulihan dompet kripto, karena tujuannya pendapatan iklan dan data pencarian, bukan pencurian aset langsung. Kasus ini tidak punya nomor CVE karena yang disalahgunakan adalah fitur resmi, bukan celah di peramban.
Langkah yang perlu diambil pembaca
Buka halaman ekstensi Chrome dan copot semua ekstensi yang tidak Anda kenal atau tidak pernah Anda pasang dengan sengaja. Periksa juga pengaturan mesin pencari bawaan di Chrome. Bila berubah ke alamat asing, kembalikan ke penyedia pilihan Anda. Daftar lengkap ekstensi tersedia di bagian akhir laporan Socket, dan BleepingComputer menyarankan pemindaian antivirus penuh. Bagi tim TI, ekstensi yang hanya mengubah pencarian dan tidak muncul di toko layak diperlakukan sebagai ancaman, lalu dibatasi lewat kebijakan daftar ekstensi yang diizinkan.
Sumber: Socket dan BleepingComputer. Gambar: Socket