Faux plugin, vraie collecte. Microsoft Threat Intelligence dit avoir débusqué une extension Chromium malveillante déguisée en Perplexity AI pour intercepter les recherches dans Chrome. Baptisée « Search for perplexity ai », elle a quitté le Chrome Web Store après signalement à Google.
Le module ne se contentait pas de rediriger les requêtes. D’après Microsoft, il expédiait recherches, suggestions tapées dans la barre d’adresse, en-têtes HTTP, adresse IP et identifiant du navigateur vers un domaine pirate, perplexity-ai[.]online, avant de renvoyer l’utilisateur vers un moteur légitime. Objectif observé : intercepter le trafic de recherche et aspirer les données, sans preuve établie de vol de mots de passe.
Points clés
- L’extension « Search for perplexity ai » se faisait passer pour Perplexity AI dans Chrome
- Elle envoyait recherches, suggestions, en-têtes HTTP et IP vers le domaine pirate perplexity-ai[.]online
- Microsoft n’a pas trouvé de preuve de vol de mots de passe, mais Google a retiré l’extension du Chrome Web Store
Une extension déguisée en Perplexity
Dans son analyse publiée le 29 juin 2026, Microsoft précise que l’extension empruntait nom et habillage à Perplexity AI pour tromper les internautes. Portant l’identifiant flkebkiofojicogddingbdmcmkpbplcd, elle s’imposait comme configuration de recherche par défaut dans Chrome pour capter les requêtes de l’omnibox, cette barre d’adresse qui sert aussi de champ de recherche.
Le piège repose sur deux voies de collecte. Les requêtes saisies filent vers le domaine malveillant, où le serveur journalise paramètres et métadonnées réseau. Ensuite, les suggestions en temps réel sont détournées via le champ suggest_url, qui transmet chaque caractère avant même que l’utilisateur n’appuie sur Entrée.
L’extension combinait les capacités de Manifest V3 avec des règles declarativeNetRequest pour camoufler le détournement tout en affichant des résultats familiers. L’utilisateur voyait des pages de recherche de Perplexity, Google ou Bing après redirection, alors que la collecte avait déjà eu lieu au premier saut.
Ce que Microsoft a observé
Le billet liste plusieurs éléments de l’analyse :
- Nom de l’extension : Search for perplexity ai
- ID : flkebkiofojicogddingbdmcmkpbplcd
- Version : 2.2
- Domaines associés : perplexity-ai[.]online, distinct du domaine officiel perplexity.ai
- But observé : interception des recherches et collecte de données
Microsoft n’a pas trouvé de preuve définitive d’une captation de mots de passe ou d’identifiants sensibles, mais le comportement observé suffit à classer l’extension comme malveillante. Google l’a retirée de sa boutique après divulgation responsable, selon le compte-rendu de l’incident.
La portée dépasse la simple redirection. Faire transiter les suggestions par le serveur pirate signifie que chaque caractère tapé dans la barre d’adresse pouvait être transmis avant validation. Une capture au niveau des frappes, via les mécanismes natifs du navigateur.
Mesures de défense et contexte
Microsoft conseille aux entreprises de verrouiller l’installation d’extensions non approuvées par des politiques internes, de surveiller les changements de moteur de recherche par défaut et de vérifier éditeurs, domaines et permissions, surtout pour les outils estampillés IA. L’éditeur invite aussi à traquer les connexions sortantes vers des domaines intermédiaires inattendus liés à la recherche.
L’affaire prolonge une série d’incidents où l’extension de navigateur sert de cheval de Troie pour aspirer données de navigation, requêtes ou contenus liés à l’IA. Ici, la cible n’est pas la conversation avec un chatbot mais les recherches web et les saisies dans Chrome, raflées par une extension qui usurpe un service connu. Le label « AI » fait désormais autant office d’appât que de promesse.
