319 Chrome-udvidelser kaprede dine søgninger: Tjek din browser

319 Chrome-udvidelser har i det skjulte kapret brugernes søgninger og sendt dem gennem servere, der tjener penge på hver eneste søgning. Det viser en ny rapport fra sikkerhedsfirmaet Socket, offentliggjort den 29. oktober 2026. Ifølge rapporten er udvidelserne samlet installeret af omkring 13,4 millioner brugere over cirka ti år. Mange af dem lignede uskyldige værktøjer til at finde PDF-filer eller brugsanvisninger, og flere var slet ikke til at finde, hvis man søgte i Chrome Web Store.

Der er ikke tale om udvidelser, der stjæler adgangskoder. Det handler om annoncesvindel: Når du søger, går forespørgslen en omvej, og bagmændene får en provision fra Bing eller Yahoo. Men omvejen giver også bagmændene kontrol over, hvor du ender – og det kan de ændre, når det passer dem. Derfor er det værd at bruge to minutter på at tjekke din browser.

Sådan virker Searchjacked-udvidelserne

Rapporten, som Socket kalder "Searchjacked", er skrevet af sikkerhedsforskeren John Tuckner. Den bygger videre på tidligere fund og tilføjer 264 nye udvidelser med omkring 8,7 millioner brugere. Tilsammen er der nu kortlagt 319.

Tricket er enkelt. Chrome lader en udvidelse foreslå en ny standardsøgemaskine via en indstilling i udvidelsens programfil, kaldet chrome_settings_overrides. Udvidelserne bruger den til at gøre sig selv til din søgemaskine. Når du skriver noget i adresselinjen, sendes søgningen først til en server, som bagmændene styrer, og derfra videre til Yahoo eller Bing med en partnerkode hæftet på. Det er den kode, der udløser betalingen.

Ifølge Socket kan en udvidelse gøre alt dette uden at bede om en eneste tilladelse ud over at skifte søgemaskine. Et af eksemplerne i rapporten bestod kun af programfilen og nogle ikoner – ingen kode, intet vindue, ingen advarselslamper. Socket konkluderer, at en udvidelse, hvis eneste funktion er at opsnappe søgninger, per definition bør betragtes som ondsindet.

Hvorfor det er mere end irriterende reklamer

Den største risiko ligger i, at serveren træffer beslutningen om, hvor du sendes hen, hver gang du søger. I en test sendte Socket seks ens søgninger gennem udvidelsen Predator Search og endte fire forskellige steder. Ifølge BleepingComputer kan destinationen ændres uden at opdatere udvidelsen, og det kan i princippet føre brugerne videre til phishing-sider eller skadelige downloads.

Socket understreger selv, at det er en mulighed og ikke noget, firmaet har set ske. I dag lægger omdirigeringerne især partnerkoder på søgningerne. Men fordi alle søgninger går gennem operatørens server, kan den se, hvad du søger efter, og ifølge Socket ofte koblet til et unikt id. Har du en af udvidelserne installeret, har en ukendt part altså haft indsigt i din søgehistorik.

De største grupper bag udvidelserne

Socket har delt udvidelserne op i grupper efter, hvem der står bag. Nogle har kendte firmanavne, andre er ukendte:

• "SecuryBrowse": 58 udvidelser med omkring 4,9 millioner brugere. Mange har sikkerhedsklingende navne som Fire Shield, Wise Ghost, Securify, Protecto og WatchTower.
• "Bing-Search": 37 udvidelser med omkring 2,2 millioner brugere.
• Intango LTD: 111 udvidelser med omkring 2,19 millioner brugere.
• Free Planet VPN S.R.L: én enkelt udvidelse med 2 millioner brugere.

Mange af udvidelserne var unlisted i Chrome Web Store. Det betyder, at de ligger i Googles officielle butik, men ikke dukker op, når man søger. Man kan kun finde dem via et direkte link. Brugerne blev lokket til dem via betalte annoncer og pop op-vinduer på tvivlsomme hjemmesider, ofte med landingssider som "Search PDFs" eller "Find Manuals". Det gør dem svære at opdage for både brugere og sikkerhedsfolk.

Ifølge BleepingComputer var de fleste af udvidelserne fjernet fra Chrome Web Store, da rapporten udkom, men nye dukker hele tiden op. Google havde ikke svaret på mediets henvendelse. Socket skriver, at nye domæner og lokkemidler kommer hurtigt efter, at udvidelser er fjernet, og at Chrome Web Store ikke har kunnet følge med. Er en udvidelse fjernet fra butikken, betyder det heller ikke nødvendigvis, at den er væk fra din computer.

Sådan tjekker du din Chrome

Du behøver ikke kende navnene på alle 319 udvidelser. Et par enkle tjek fanger de fleste:

1. Gå dine udvidelser igennem. Skriv chrome://extensions i adresselinjen og tryk Enter. Se listen igennem. Fjern alt, du ikke kan genkende, ikke bruger, eller som du har installeret for at "finde en PDF" eller "søge sikkert". Især udvidelser med generiske sikkerhedsnavne bør du være skeptisk over for, hvis du ikke selv bevidst har valgt dem.

2. Tjek din søgemaskine. Skriv chrome://settings/search i adresselinjen. Her ser du, hvilken søgemaskine Chrome bruger. Står der noget andet end den, du selv har valgt – for eksempel Google, Bing eller DuckDuckGo – så skift tilbage. Styres indstillingen af en udvidelse, viser Chrome det på siden. Så skal du slå udvidelsen fra eller fjerne den, før du kan vælge din egen søgemaskine igen.

3. Kør en fuld scanning. BleepingComputer anbefaler at fjerne de udvidelser, Socket har navngivet, og køre en fuld scanning med dit antivirusprogram. Undgå generelt unødvendige værktøjer og udvidelser fra udgivere, du ikke kender.

Ikke kun et Chrome-problem

Udvidelser er et kendt hul i browsersikkerheden, fordi de får lov til at ændre, hvordan browseren opfører sig. I august skrev vi om 40 falske Firefox-udvidelser, der tømte kryptopunge – en langt farligere type, som gik direkte efter brugernes penge. Searchjacked-udvidelserne er mindre dramatiske, men de er langt mere udbredte.

Husk også, at udvidelser kun er én del af browsersikkerheden. Selve browseren skal holdes opdateret, som da et Chrome-hul blev udnyttet og ramte Edge, Brave og Opera, og da Googles AI fandt 1.072 sikkerhedsfejl i Chrome. Og er du i gang med at skifte browser, for eksempel fordi Arc lukker den 22. december, er det en god lejlighed til kun at tage de udvidelser med, du rent faktisk bruger.

Konklusion

Searchjacked viser, at en udvidelse ikke behøver at bede om farlige tilladelser for at gøre skade. Det er nok, at den overtager din søgemaskine. For bagmændene er det en stabil indtægt, og for brugeren er det en usynlig omvej, som en ukendt part styrer.

Det vigtigste, du kan gøre, er at holde antallet af udvidelser nede og tjekke chrome://extensions og din søgemaskine med jævne mellemrum. Hold øje med, om Google strammer reglerne for unlisted udvidelser og for, hvem der må overtage søgemaskinen. Indtil da er din egen oprydning det bedste værn.