크롬 확장 프로그램 319개가 보고된 설치 수 총 1,340만 건에 걸쳐 사용자의 검색을 추적 서버로 우회시킨 것으로 조사됐다. Socket의 존 터크너(John Tuckner)는 이 확장 프로그램들이 빙과 야후 검색으로 연결해 광고 수익을 얻으며, 운영자가 경로를 바꾸면 피싱 사이트나 악성 다운로드로 보낼 수도 있다고 경고했다.

이 조사 결과는 Socket 보고서에 담겼다. 앞서 2025년 4월 확인된 확장 프로그램 57개에 새로 발견한 264개를 더한 규모다. 확장 프로그램은 PDF 변환기, 설명서 검색, 안전 검색, AI 검색 도구 등을 내세웠지만, 대부분 검색어를 여러 사이트를 거쳐 빙이나 야후로 보냈다.

확장 프로그램은 구글의 공식 크롬 웹 스토어에 올라와 있었지만 검색 결과에는 나타나지 않았고, 수상한 웹사이트 광고를 통해 홍보됐다. 터크너에 따르면 크롬의 chrome_settings_overrides 설정을 이용하면 기본 검색 제공자를 바꾸는 데 코드가 거의 필요하지 않다. 보고서에서 분석한 한 사례에는 매니페스트와 아이콘만 있었고, 백그라운드 스크립트나 콘텐츠 스크립트, 요청 권한은 없었다.

현재 확인된 활동 규모가 가장 큰 ‘Bing-Search’ 묶음은 확장 프로그램 37개, 사용자 220만 명으로 집계됐으며 Bidbrain 광고를 통해 홍보되는 경우가 많았다. ‘SecuryBrowse’ 묶음은 확장 프로그램 58개와 사용자 490만 명을 포함하고, Fire Shield·Securify·WatchTower 같은 보안 테마 도구를 내세웠다. 보고서가 공개됐을 때 이들 확장 프로그램 대부분은 크롬 웹 스토어에서 삭제됐지만, 새 확장 프로그램이 계속 추가되고 있다고 터크너는 전했다.

터크너가 분석한 Predator Search는 같은 검색어를 여섯 번 입력했을 때 네 곳으로 연결됐다. 야후로 바로 이동하거나 searchlio.net, searchtosearch.com, mcftink.com을 거치는 등 목적지가 달랐다. 확장 프로그램은 바뀌지 않았고 프록시 서버가 검색 요청마다 이동 경로를 선택했다.

Socket 보고서는 목록에 포함된 확장 프로그램을 삭제하고 시스템 전체를 백신으로 검사하며, 필요하지 않은 도구나 출처를 알 수 없는 제작자의 브라우저 확장 프로그램을 내려받지 말라고 권고했다. 브라우저를 가로채는 확장 프로그램은 잠재적으로 원치 않는 프로그램과 악성코드의 경계가 모호한 사례로, 유사한 브라우저 하이재커 사례도 보고돼 왔다.