Sebastian Juul
319 udvidelser til Chrome har i årevis omdirigeret brugernes søgninger gennem servere, de ikke selv styrer.
Sikkerhedsfirmaet Socket offentliggjorde den 29. oktober 2026 en opdateret kortlægning af en kampagne, der har kørt næsten uopdaget i et årti. 319 udvidelser til Google Chrome er tilsammen installeret omkring 13,4 millioner gange, og de kaprer brugernes søgninger ved at sende hvert ord videre gennem en server, bagmændene selv kontrollerer.
Oplysningerne kommer fra Socket-forskeren John Tuckners rapport, som det amerikanske sikkerhedsmedie eSecurity Planet har gennemgået. Tuckner afdækkede tidligere en første bølge på 57 udvidelser med seks millioner brugere, og den nye optælling tilføjer 264 hidtil ukendte udvidelser og cirka 8,7 millioner yderligere brugere.
Chrome er stadig den mest brugte browser i Danmark med 53,86 procent af markedet i oktober 2026 ifølge StatCounter, og udvidelser installeres af helt almindelige brugere, der sjældent ved, hvad en udvidelse rent faktisk kan gøre, når den først er inde i browseren.
Sådan foregår kapringen
Udvidelserne udnytter en indbygget Chrome-funktion ved navn chrome_settings_overrides, der lovligt lader en udvidelse skifte den søgemaskine, du bruger, når du skriver i adresselinjen. I stedet for at sende dig direkte til Google går din søgning først til bagmændenes server, som derefter videresender den til Bing eller Yahoo og tager en henvisningsprovision for turen.
Nogle af de 319 udvidelser indeholder stort set ingen kode overhovedet, kun et manifest og et ikon. De behøver ikke mere end det for at omdirigere trafikken, og det er præcis det, der har gjort dem svære at opdage automatisk.
Risikoen stopper ikke ved reklamepenge og dataindsamling. Tuckner advarer om, at “fordi operatørerne kontrollerer den mellemliggende server, kan de til enhver tid omdirigere søgninger til ondsindede sider.” Hver søgning er bundet til en unik identifikator, så bagmændene bygger med tiden en komplet søgehistorik for den enkelte bruger.
De største familier bærer harmløse navne
To udvidelsesfamilier står for størstedelen af installationerne. SecuryBrowse omfatter 58 udvidelser og omkring 4,9 millioner brugere, mens Bing-Search dækker 37 udvidelser og cirka 2,2 millioner brugere, oplyser Online Tech Tips i sin gennemgang af Socket-rapporten.
Udvidelserne er typisk pakket ind som PDF-værktøjer, manualsøgere, “sikker søgning”-hjælpere eller AI-assistenter. Flertallet er markeret som “unlisted” i Chrome Web Store, så de ikke dukker op i butikkens søgning. I stedet distribueres de via betalte annoncer på Google Ads og i annoncenetværket Bidbrain, der leder uopmærksomme brugere direkte hen til installationssiden.
Problemet med reklamedistribution af fup-udvidelser er ikke nyt. Tidligere på året afdækkede Google selv en falsk Chrome-app, der snød 100.000 brugere via en betalt reklame, inden den blev lukket ned.
Sådan tjekker du selv
Ifølge Socket er mange af udvidelserne allerede fjernet fra Chrome Web Store, men Digital Trends skriver, at nye bliver ved med at dukke op. En udvidelse, du installerede for år tilbage, kan altså stadig ligge aktivt i din browser.
Åbn chrome://extensions i adresselinjen for at få listen over alle installerede udvidelser. Afinstaller alt, du ikke genkender eller ikke bruger, især udvidelser der kalder sig PDF-værktøjer, “safe search” eller lignende småværktøjer med vage navne. Tjek derefter chrome://settings/search, og sørg for, at din standardsøgemaskine er den, du selv har valgt, og ikke en ukendt tjeneste.
Hvis du har en Chrome-genvej, der har opført sig underligt, skal du være særligt opmærksom på falske opdateringsbeskeder, som ofte er den samme type bagmænds næste trin, når de først har en fod inde i browseren.
Socket har offentliggjort den fulde liste over de 319 udvidelser, så du kan krydstjekke dine egne installationer mod rapporten.
