319 Ekstensi Chrome Bajak Pencarian 13,4 Juta Pengguna, Alihkan Traffic ke Bing dan Yahoo
Peneliti keamanan menemukan kampanye browser hijacking berskala besar yang melibatkan 319 ekstensi Google Chrome dengan total sekitar 13,4 juta instalasi. Ekstensi tersebut diam-diam mengubah mesin pencari default pengguna dan mengalihkan pencarian melalui server pihak ketiga untuk menghasilkan pendapatan iklan.
Temuan ini diungkapkan oleh John Tuckner, peneliti keamanan dari Socket, melalui laporan berjudul Searchjacked yang diterbitkan pada 29 Oktober 2026.
Sebagian besar ekstensi menyamar sebagai aplikasi yang terlihat bermanfaat, seperti PDF converter, pencari manual perangkat, alat pencarian aman, hingga layanan pencarian berbasis artificial intelligence (AI).
Namun, alih-alih menawarkan fungsi sesuai promosinya, ekstensi tersebut terutama digunakan untuk mengarahkan pencarian pengguna ke Bing atau Yahoo melalui jaringan server yang dikendalikan operator.
Socket memperingatkan bahwa aktivitas ini tidak hanya berkaitan dengan manipulasi pendapatan iklan, tetapi juga dapat membahayakan privasi pengguna karena seluruh kata kunci pencarian berpotensi dikumpulkan oleh pihak ketiga.
Peneliti Temukan 319 Ekstensi dengan 13,4 Juta Instalasi
Penelitian terbaru Socket memperluas investigasi sebelumnya yang dilakukan pada April 2025.
Dalam investigasi awal, peneliti mengidentifikasi puluhan ekstensi Chrome yang digunakan untuk mengumpulkan informasi pencarian pengguna.
Penelitian lanjutan menemukan tambahan 264 ekstensi dengan sekitar 8,7 juta instalasi.
Secara keseluruhan, Socket mengidentifikasi 319 ekstensi yang telah mengumpulkan sekitar 13,4 juta instalasi sepanjang satu dekade.
Angka tersebut merupakan akumulasi historis, bukan jumlah pengguna aktif yang dipastikan masih terpengaruh pada saat laporan diterbitkan.
Menurut Socket, ekstensi tersebut dibuat oleh sejumlah operator yang menggunakan pola bisnis serupa, yakni mengambil alih pengaturan pencarian browser dan mengarahkan traffic melalui layanan proxy.
Operator kemudian memperoleh komisi melalui program kemitraan pencarian yang terkait dengan Bing dan Yahoo.
Sebagian besar ekstensi ditemukan di Chrome Web Store, tetapi menggunakan status unlisted sehingga tidak mudah ditemukan melalui pencarian biasa di toko ekstensi.
Sebagai gantinya, pengguna diarahkan menuju halaman instalasi melalui iklan yang muncul di berbagai website.
Ekstensi Menyamar sebagai PDF Converter dan Alat Pencarian AI
Untuk menarik calon pengguna, operator membuat ekstensi dengan nama dan deskripsi yang terlihat meyakinkan.
Beberapa menawarkan kemampuan mencari dokumen PDF, menemukan manual produk elektronik, meningkatkan keamanan browsing, atau menyediakan pencarian berbasis AI.
Promosi tersebut umumnya disebarkan melalui jaringan iklan, termasuk Google Ads dan Bidbrain.
Ketika pengguna mengklik iklan, mereka diarahkan ke halaman yang menawarkan pemasangan ekstensi Chrome.
Setelah terinstal, ekstensi dapat mengubah mesin pencari default tanpa memberikan fungsi tambahan yang berarti.
Menariknya, Socket menemukan bahwa sebagian ekstensi hampir tidak memiliki kode program.
Salah satu contoh hanya berisi file manifest dan ikon, tanpa background script, content script, maupun permintaan permission khusus.
Perubahan mesin pencari dilakukan melalui fitur bawaan Chrome bernama chrome_settings_overrides.
Melalui konfigurasi tersebut, ekstensi dapat menentukan mesin pencari baru yang digunakan browser.
Teknik ini memperlihatkan bahwa pembajakan pencarian tidak selalu membutuhkan malware kompleks atau akses administratif ke sistem operasi.
Pencarian Pengguna Dialihkan Melalui Server Pelacak
Setelah ekstensi aktif, setiap pencarian yang dilakukan pengguna dapat melewati server milik operator sebelum mencapai mesin pencari sebenarnya.
Sebagai contoh, ketika seseorang mengetik kata kunci melalui address bar Chrome, permintaan tersebut tidak langsung dikirimkan ke Google, Bing, atau Yahoo.
Sebaliknya, browser mengirimkan query ke server perantara yang telah ditentukan ekstensi.
Server kemudian meneruskan pengguna ke mesin pencari seperti Bing atau Yahoo dengan menambahkan identitas kemitraan tertentu.
Melalui mekanisme tersebut, operator dapat memperoleh bagian pendapatan iklan dari traffic pencarian yang dihasilkan.
Namun, proses ini juga memungkinkan operator melihat informasi pencarian pengguna.
Dalam sejumlah kasus, query dapat dikaitkan dengan identitas pelacakan unik sehingga aktivitas pencarian berpotensi dikumpulkan dari waktu ke waktu.
Situasi tersebut menimbulkan risiko privasi karena kata kunci pencarian terkadang berisi informasi sensitif, termasuk masalah kesehatan, pekerjaan, akun pribadi, atau kebutuhan finansial.
Operator Bisa Mengarahkan Pengguna ke Website Phishing
Socket memperingatkan bahwa risiko ekstensi tersebut tidak berhenti pada pengumpulan data pencarian.
Karena server perantara mengendalikan tujuan akhir setiap request, operator dapat mengubah arah traffic tanpa harus memperbarui ekstensi Chrome.
Salah satu contoh ditemukan pada ekstensi bernama Predator Search.
Ketika peneliti melakukan enam pencarian identik, traffic diarahkan melalui beberapa jalur berbeda dan berakhir pada empat tujuan yang tidak sama.
Sebagian pencarian langsung menuju Yahoo dengan parameter afiliasi, sedangkan lainnya melewati domain tambahan atau menampilkan halaman yang tidak merespons.
Padahal, konfigurasi ekstensi tidak berubah selama pengujian berlangsung.
Hal ini menunjukkan bahwa keputusan pengalihan traffic dilakukan oleh server operator secara dinamis.
Secara teknis, kemampuan tersebut dapat disalahgunakan untuk mengarahkan pengguna menuju halaman phishing, hasil pencarian palsu, atau website yang menawarkan unduhan berbahaya.
Namun, Socket tidak menyatakan bahwa seluruh ekstensi yang ditemukan telah digunakan untuk menyebarkan malware atau mencuri kredensial.
Risiko tersebut merupakan potensi penyalahgunaan lebih lanjut dari mekanisme pengalihan pencarian yang telah diamati.
Kelompok SecuryBrowse dan Bing-Search Jadi Sorotan
Peneliti juga mengidentifikasi beberapa kelompok ekstensi dengan jumlah instalasi besar.
Salah satunya adalah SecuryBrowse, yang mencakup 58 ekstensi dengan sekitar 4,9 juta pengguna.
Kelompok tersebut menggunakan identitas bertema keamanan browser, termasuk nama seperti Fire Shield, Securify, dan WatchTower.
Sebagian ekstensi dalam kelompok ini juga meminta permission tambahan yang berpotensi memberikan akses lebih luas terhadap aktivitas browser.
Kelompok lainnya dikenal sebagai Bing-Search, yang terdiri dari 37 ekstensi dengan sekitar 2,2 juta instalasi.
Ekstensi dalam kelompok tersebut banyak dipromosikan melalui jaringan iklan Bidbrain dan menggunakan identitas kemitraan Bing yang serupa.
Socket menemukan indikasi bahwa sejumlah ekstensi yang tampak berasal dari developer berbeda sebenarnya dikelola melalui pola operasional yang saling berkaitan.
Kesamaan konfigurasi, server pengalihan, serta parameter afiliasi menjadi bagian dari indikator yang digunakan peneliti untuk mengelompokkan operasi tersebut.
Sebagian Besar Ekstensi Sudah Dihapus dari Chrome Web Store
Menurut Socket, sebagian besar ekstensi yang diidentifikasi dalam laporan sudah tidak tersedia di Chrome Web Store ketika penelitian dipublikasikan.
Namun, penghapusan dari toko resmi belum tentu langsung menghilangkan ekstensi yang sebelumnya terpasang pada browser pengguna.
Selain itu, operator diketahui terus memperkenalkan ekstensi baru menggunakan nama, domain, dan identitas berbeda.
Kondisi tersebut membuat kampanye browser hijacking sulit dihentikan hanya dengan menghapus satu kelompok ekstensi.
Socket juga menyoroti penggunaan status unlisted yang memungkinkan ekstensi tersedia melalui tautan langsung meskipun tidak muncul pada hasil pencarian Chrome Web Store.
Mekanisme tersebut sebenarnya memiliki penggunaan yang sah, tetapi dapat disalahgunakan untuk mempromosikan ekstensi mencurigakan melalui iklan eksternal.
Cara Memeriksa dan Menghapus Ekstensi Chrome Mencurigakan
Pengguna Google Chrome disarankan memeriksa seluruh ekstensi yang telah terpasang, terutama jika sebelumnya pernah mengunduh alat pencarian, PDF converter, atau ekstensi keamanan dari iklan website.
Pemeriksaan dapat dilakukan dengan membuka alamat chrome://extensions melalui browser.
Pada halaman tersebut, pengguna dapat melihat daftar ekstensi aktif dan menonaktifkan atau menghapus ekstensi yang tidak dikenal.
Setelah itu, periksa pengaturan mesin pencari melalui chrome://settings/search untuk memastikan penyedia pencarian default masih sesuai dengan pilihan pengguna.
Apabila ditemukan ekstensi mencurigakan, pengguna dapat membandingkan namanya dengan daftar yang diterbitkan Socket dalam laporan penelitian.
Pemindaian antivirus juga disarankan untuk memastikan tidak terdapat software berbahaya lain pada perangkat.
Sebagai langkah pencegahan, pengguna sebaiknya hanya memasang ekstensi yang benar-benar diperlukan dan memeriksa reputasi developer sebelum memberikan akses terhadap browser.
Kasus ini menunjukkan bahwa keberadaan ekstensi di toko resmi tidak selalu menjamin keamanannya.
Dengan 319 ekstensi dan 13,4 juta instalasi yang teridentifikasi, kampanye Searchjacked memperlihatkan bagaimana fitur browser yang sah dapat disalahgunakan untuk mengumpulkan aktivitas pencarian dan menghasilkan keuntungan tanpa memberikan manfaat nyata kepada pengguna.
Sumber: Socket — Searchjacked: Hidden Browser Extensions Hijack Searches for 13 Million Users
