Sous couvert de protéger la vie privée, une extension Chrome vérifiée a mené une vaste opération d’espionnage silencieux. Plus de 100 000 victimes. Silence radio côté développeur.
L’extension FreeVPN.One, téléchargée plus de 100 000 fois sur Chrome, s’est révélée être un puissant outil de surveillance déguisé. Derrière son label « vérifié » par le Chrome Web Store, elle capturait en secret des captures d’écran des navigateurs, extrayait des données sensibles et les transmettait à des serveurs distants. L’attaque, perfectionnée au fil des versions, exploitait des autorisations critiques, changeait de nom et ajoutait du chiffrement sophistiqué pour brouiller les pistes. En prétendant analyser les menaces, elle siphonnait en réalité des informations personnelles et professionnelles. Cet incident soulève des questions profondes sur la fiabilité du modèle de validation de Google. Quand la sécurité devient façade, qui contrôle vraiment l’extension ?
Une extension banale, une menace invisible
Pendant des mois, FreeVPN.One a fait partie du paysage numérique de nombreux internautes. Téléchargée depuis le Chrome Web Store, affichant fièrement la mention « vérifiée », elle offrait un service de protection de la vie privée, un VPN gratuit et simple d’utilisation. Rien d’inhabituel à première vue. Pourtant, derrière cette façade rassurante se cachait une opération d’espionnage massive, organisée et habilement dissimulée. L’extension, installée sur plus de 100 000 navigateurs, agissait silencieusement à chaque navigation.
La mécanique était bien huilée : à chaque chargement de page, des scripts étaient injectés en arrière-plan. Une temporisation précise de 1,1 seconde permettait d’activer une API peu connue du grand public, chrome.captureVisibleTab(). Ce simple appel technique suffisait à figer l’instantané de la page visitée. De Google Docs à Gmail, en passant par les plateformes bancaires et les services photo, rien n’échappait à la surveillance.
Les images ainsi capturées étaient encodées en base64 et transférées discrètement vers un serveur distant, identifié comme appartenant au domaine aitd.one. La collecte ne se limitait pas aux captures : adresse IP, géolocalisation, caractéristiques techniques du terminal, tout était aspiré et archivé. L’utilisateur, de son côté, ne voyait rien. Pas de ralentissement, pas d’alerte, aucune anomalie visible.
Une évolution toxique et programmée
Le processus d’infiltration s’est affiné sur plusieurs mois. L’analyse des versions successives révèle une stratégie en trois temps. À partir de la version 3.0.3, publiée au printemps 2025, FreeVPN.One demande une autorisation critique : <all_urls>. Ce simple paramètre ouvre l’accès à l’ensemble des sites visités, sans distinction. À partir de là, tout devient possible.
Puis vient la mutation. Avec la version 3.1.1, l’extension change de nom et se rebaptise « AI Threat Detection ». Un repositionnement sémantique malin, qui laisse entendre qu’elle renforcerait la sécurité de l’utilisateur en détectant d’éventuelles menaces à l’aide de l’intelligence artificielle. Une couverture parfaite pour masquer des fonctions d’espionnage toujours plus sophistiquées.
Dans les versions suivantes (3.1.3 et 3.1.4), le basculement est complet. La collecte de données s’intensifie et un chiffrement AES‑256‑GCM est mis en place, couplé à un empaquetage des clés avec RSA. Ce double verrou rend l’analyse des flux sortants particulièrement complexe, même pour les experts. La structure à deux niveaux (scripts injectés, capture différée, envoi chiffré) fait penser à une opération pensée pour durer, mais surtout pour ne pas être découverte.
Le discours du développeur, lorsqu’il était encore joignable, évoquait un simple outil d’analyse destiné à identifier les « domaines suspects ». Mais cette défense s’écroule face aux preuves : des captures issues de services de confiance (Google Photos, Sheets, etc.) ont été retrouvées sur les serveurs, sans aucune justification légitime. La dissimulation prend alors une autre tournure.
Silence du développeur, échec de Google
Le responsable de l’extension, contacté par plusieurs chercheurs en cybersécurité, a brusquement cessé toute communication. Son site de référence, construit sur une base Wix générique, ne comporte aucun contenu concret, aucune mention légale, aucune identité vérifiable. L’opacité est totale.
Plus troublant encore : malgré les signaux d’alerte répétés, FreeVPN.One a conservé son statut « vérifié » pendant toute la durée de son activité malveillante. Ce label, censé rassurer l’utilisateur, a paradoxalement joué contre lui. Il a renforcé la confiance, facilité la diffusion et multiplié les installations. Un échec structurel du Chrome Web Store, déjà critiqué par le passé pour ses failles de contrôle.
Cette affaire illustre une réalité inquiétante : même les extensions officiellement validées par Google peuvent devenir des vecteurs de surveillance massive. Et dans un contexte de tensions géopolitiques croissantes, l’enjeu dépasse le simple cadre technique. Qui étaient les véritables bénéficiaires des données collectées ? Pour quelles finalités ces captures ont-elles été stockées, organisées, analysées ? Aucune réponse officielle, mais des indices qui pointent vers une exploitation à grande échelle, peut-être au service d’acteurs étatiques ou de groupes opérant en sous-traitance.
Ce que révèle FreeVPN.One dépasse le cas isolé d’une extension malveillante. Il s’agit d’un signal d’alarme. La confiance accordée aux labels de sécurité, les promesses de confidentialité, les discours de protection sont aujourd’hui trop facilement détournés. Derrière une interface propre et un slogan rassurant, se cache parfois une mécanique d’espionnage redoutablement efficace.
Et si cette affaire n’est qu’un exemple parmi d’autres, elle pose une question fondamentale : dans un écosystème où les extensions peuvent tout voir, tout lire, tout enregistrer, qui surveille vraiment les surveillants ?
