319 תוספי Chrome עם 13.4 מיליון התקנות חטפו את החיפושים של המשתמשים
חוקר מחברת Socket חשף ב-29 באוקטובר רשת של תוספים שהתחזו לממירי PDF, לכלי חיפוש בטוח ולעוזרי AI. בפועל הם העבירו כל חיפוש דרך שרתי המפעילים, שרואים את השאילתות ויכולים לשנות את היעד.
TL;DR בקצרה
- Socket זיהתה 319 תוספים ל-Chrome עם כ-13.4 מיליון משתמשים מצטברים, חלקם פעילים מאז 2016.
- התוספים מחליפים את מנוע החיפוש ברירת המחדל ומנתבים כל שאילתה דרך שרת של המפעיל, לפני Yahoo או Bing.
- רובם לא מופיעים בחיפוש בחנות של Chrome, ומגיעים למשתמשים דרך מודעות בחלונות קופצים.
- המפעיל רואה כל חיפוש ויכול לשנות את היעד בכל רגע, גם לאתר פישינג, בלי לעדכן את התוסף.
חוקר אבטחה מחברת Socket חשף ב-29 באוקטובר 319 תוספים ל-Chrome שחוטפים את החיפושים של המשתמשים. לפי הדוח, שנקרא Searchjacked, לתוספים יש יחד כ-13.4 מיליון משתמשים. הם התחזו לממירי PDF, לכלים למציאת חוברות הפעלה, לכלי חיפוש בטוח ולעוזרי חיפוש מבוססי AI.
את המחקר פרסם John Tuckner בבלוג של Socket. הוא מרחיב ממצא שלו מאפריל 2025, אז זיהה 57 תוספים כאלה. במחקר החדש הוא הוסיף 264 תוספים שלא היו מוכרים, עם כ-8.7 מיליון משתמשים.
Searchjacked: תוסף בלי קוד שמשתלט על החיפוש
הטריק פשוט במיוחד. Chrome מאפשר לתוסף להחליף את מנוע החיפוש ברירת המחדל, בעזרת הגדרה אחת בלבד. התוספים ברשת משתמשים בדיוק ביכולת הזו. אחת הדוגמאות, Safe Game Search, כוללת רק את ההגדרות של התוסף ושלושה סמלים. אין בו קוד שרץ, ואין בו הרשאות נוספות.
מרגע ההתקנה, כל חיפוש עובר תחילה דרך שרת של המפעיל. משם הגולש מגיע ל-Yahoo או ל-Bing, עם קוד שותף שמזכה את המפעיל בעמלה. מבחינת המשתמש, תוצאות החיפוש נראות כמעט רגילות.
אבל הסיכון גדול מעמלת פרסום. לפי Tuckner, המפעיל רואה כל שאילתה, ולעתים קרובות מקשר אותה למזהה ייחודי של המשתמש. חיפושים חושפים הרבה: בעיות בריאות, מצב כלכלי, עבודה וחיים אישיים. בנוסף, השרת קובע את היעד בכל בקשה מחדש. כך הוא יכול להפנות גם לדף פישינג או להורדה זדונית, בלי שום עדכון לתוסף.
Tuckner הדגים את זה על התוסף Predator Search. שישה חיפושים זהים הגיעו לארבעה יעדים שונים. אחד הגיע ל-Yahoo עם תגי שותף, אחר לדף נחיתה זר, שלישי עבר דרך שני אתרי ביניים, ואחד הסתיים בדף שגיאה.
איך התוספים של Searchjacked הגיעו למחשבים
רוב התוספים מאוחסנים בחנות הרשמית של Chrome, אבל במצב לא רשום (unlisted). המשמעות: אפשר להגיע אליהם רק בקישור ישיר, והם לא מופיעים בחיפוש בחנות. המשתמשים הגיעו אליהם דרך מודעות בחלונות קופצים באתרים באיכות נמוכה. המודעות הבטיחו כלים כמו חיפוש PDF או מציאת מדריכים, והובילו לדף עם כפתור התקנה אחד.
Socket מתארת כמה אשכולות. לאשכול שהחוקרים כינו SecuryBrowse יש הכי הרבה משתמשים: 58 תוספים עם כ-4.9 מיליון משתמשים. השמות שלו נשמעים כמו כלי אבטחה: Fire Shield, Securify ו-WatchTower. אשכול אחר, Bing-Search, כולל 37 תוספים עם כ-2.2 מיליון משתמשים. לפי Socket, 15 מפרסמים שנראו נפרדים עדכנו את התוספים שלהם בתוך ארבעה ימים ביוני 2026, עם אותם קודי שותף.
חשוב להבין את המספרים. לפי Cyber Security News, הנתון של 13.4 מיליון מצטבר על פני כעשור, ולא כולם עדיין מותקנים. BleepingComputer מדווח שרוב התוספים כבר הוסרו מהחנות, אבל תוספים חדשים ממשיכים להופיע. Google לא הגיבה לפניית BleepingComputer.
מה זה אומר עבורכם
- עברו על התוספים: הקלידו chrome://extensions בשורת הכתובת. הסירו כל תוסף שאתם לא מזהים, ובמיוחד ממירי PDF, כלי חיפוש בטוח וכלי חיפוש AI שלא התקנתם במכוון.
- בדקו את מנוע החיפוש: בהגדרות של Chrome, תחת מנוע חיפוש, ודאו שמופיע המנוע שבחרתם. אם מופיעה הודעה שתוסף שולט בהגדרה, הסירו את התוסף.
- שימו לב לאזהרה בהתקנה: אם Chrome מודיע שהתוסף ישנה את הגדרות החיפוש, עצרו. האזהרה לא אומרת לאן החיפושים שלכם יגיעו.
- אל תתקינו ממודעות קופצות: כלי שמוצע בחלון קופץ, עם כפתור התקנה יחיד, הוא סימן אזהרה מובהק.
- בארגון: הגדירו רשימה של תוספים מאושרים דרך מדיניות Chrome לארגונים. חקרו כל הפניה לא מוסברת של חיפושים במחשבי העובדים.
מקורות והרחבה
- Searchjacked: Hidden Browser Extensions Hijack Searches for 13 Million UsersSocket
- Chrome extensions with 13.4 million installs caught hijacking searchesBleepingComputer
- 319 Chrome extensions found hijacking searches, affecting 13.4 million usersCyber Security News
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
