Uma pesquisa da empresa de segurança Socket encontrou 737 extensões de VPN e proxy na Chrome Web Store que imitam marcas conhecidas e redirecionam toda a navegação do usuário por servidores controlados por um mesmo agente malicioso. O Google já removeu 221 delas, mas 516 seguiam ativas quando o levantamento foi publicado, somando mais de 75 mil instalações.
Resposta rápida
Pesquisadores acharam 737 extensões falsas de VPN no Chrome, 274 delas imitando marcas reais (NordVPN, Surfshark, ExpressVPN e outras). Elas roteiam todo o tráfego do navegador por um proxy controlado pelo golpista. O Google removeu 221; mais de 500 seguem no ar. Confira em chrome://extensions se você tem alguma instalada.
O essencial
- O que foi encontrado: 737 extensões falsas de VPN/proxy na Chrome Web Store
- Quem fez o levantamento: Socket, empresa de segurança (pesquisador Kush Pandya)
- Quantas imitam marca real: 274, imitando 66 marcas de VPN e privacidade
- Instalações somadas: 75.486 (58.318 nas que ainda estão ativas)
- Removidas pelo Google até agora: 221 de 737
- Como o golpe funciona: redireciona todo o tráfego por proxy SOCKS5 na porta 1082
O que a pesquisa encontrou
O time de pesquisa de ameaças da Socket mapeou 737 extensões publicadas por pelo menos 40 contas de desenvolvedor diferentes na Chrome Web Store. Das que puderam ser analisadas em profundidade (522 de 737, já que 212 tinham sido removidas antes da coleta), 520 configuravam o navegador para rotear 100% do tráfego por um servidor proxy externo, sem deixar isso claro pro usuário além da concessão de permissão genérica no momento da instalação.
Do total, 274 extensões imitavam diretamente 66 marcas reais de VPN e privacidade, usando nome e visual parecidos pra passar credibilidade. Juntas, as 737 extensões somam 75.486 instalações registradas na própria Chrome Web Store, sendo 58.318 só nas 516 que ainda estavam ativas quando a Socket publicou o levantamento, em 11 de agosto de 2026.
Como o golpe funciona, em termos simples
A maioria das extensões configura o Chrome pra usar um proxy SOCKS5 fixo, hospedado numa única infraestrutura controlada pelo autor da campanha, sempre pela mesma porta (1082). Na prática, isso significa que, depois de instalada, a extensão vira um intermediário entre você e todo site que você visita, mesmo os que não têm nada a ver com VPN.
Segundo a Socket, esse intermediário fica em posição de observar pra onde você navega, o endereço IP de origem da sua conexão e o conteúdo de qualquer requisição feita sem criptografia HTTPS. A pesquisa deixa claro que não dá pra afirmar o que o servidor realmente guarda ou repassa, só que ele tem acesso técnico a essas informações enquanto a extensão está ativa.
Um agravante encontrado: 104 das extensões resolvem o endereço do próprio servidor proxy usando DNS-over-HTTPS do Cloudflare ou do Google, uma técnica que evita deixar rastro num tipo comum de checagem de segurança, dificultando a detecção por ferramentas corporativas de rede.
Marcas reais imitadas pela campanha
A lista abaixo reúne marcas de VPN e privacidade genuínas que a Socket identificou sendo imitadas por nome ou visual nas extensões falsas. Elas são vítimas da imitação, não têm relação com o golpe:
| Marca real imitada | Segmento |
|---|---|
| Proton VPN | VPN paga/gratuita |
| NordVPN | VPN paga |
| Surfshark | VPN paga |
| ExpressVPN | VPN paga |
| CyberGhost | VPN paga |
| Windscribe | VPN paga/gratuita |
| TunnelBear | VPN paga/gratuita |
| AdGuard VPN | VPN paga/gratuita |
| Browsec | Extensão de proxy |
| Cloudflare 1.1.1.1 | DNS/privacidade |
| Outline (Google) | Proxy/anticensura |
Sinais de alerta de uma extensão de VPN falsa
A Socket listou um conjunto de comportamentos que, juntos, diferenciam uma extensão falsa de uma VPN de verdade:
| Sinal | Por que é suspeito |
|---|---|
| Promete servidor “premium” em país específico que nunca conecta | A pesquisa achou 200 endereços de servidor “premium” anunciados que simplesmente não existiam (não resolviam) |
| Interface mostra “conectando” com animação, mas nunca conecta de fato | Padrão identificado pra simular funcionamento sem entregar serviço real |
| Pede permissão de proxy sem explicar por quê | É a permissão que dá controle total sobre o tráfego do navegador |
| Nome quase idêntico a uma marca famosa, mas não é o desenvolvedor oficial | 274 das 737 extensões usaram esse recurso pra parecer confiáveis |
| Poucas avaliações, avaliações genéricas ou conta de desenvolvedor nova | Sinal comum em campanhas com dezenas de extensões publicadas às pressas |
A quem a campanha mira (e por que isso ainda importa pra você)
É importante ser direto aqui: a Socket identificou que a campanha mira majoritariamente usuários de língua russa, que buscam extensões de VPN pra acessar serviços bloqueados na Rússia, como Instagram, ChatGPT e YouTube. A maioria das descrições e nomes das extensões está em russo (caracteres cirílicos).
Isso não torna o achado inútil pra quem está no Brasil. A técnica (imitar marca conhecida, pedir permissão de proxy, sequestrar 100% do tráfego) não é exclusiva dessa campanha nem dessa língua, e o mesmo tipo de extensão pode reaparecer em português a qualquer momento. O método de checagem explicado abaixo vale pra qualquer extensão de VPN, de qualquer origem, instalada agora ou daqui a um ano.
Passo a passo: como checar e remover
- Abra chrome://extensions na barra de endereço do Chrome
- Revise cada extensão instalada, prestando atenção nas que mexem com VPN, proxy ou privacidade
- Clique em Detalhes na extensão suspeita e confira o desenvolvedor, o site informado e as permissões pedidas
- Se a extensão pede acesso a “alterar suas configurações de proxy” e você não reconhece o desenvolvedor, remova clicando em Remover
- Acesse chrome://settings/system (ou peça pro Chrome usar as configurações de proxy do seu sistema) e confirme que nenhum proxy customizado ficou ativo
- Se usava a extensão pra algo sensível (banco, e-mail, redes sociais), troque as senhas dessas contas por precaução
O que isso significa pra você
Se você nunca instalou extensão de VPN no Chrome: o risco direto é baixo agora, mas vale guardar a regra: só baixe pelo link oficial do site da marca, nunca pela primeira opção que aparece numa busca dentro da própria loja.
Se você já usa uma VPN em extensão: vale os 6 passos acima como checagem preventiva, mesmo que sua extensão pareça legítima; leva menos de 2 minutos.
Se você administra o Chrome de família ou de uma pequena empresa: o mesmo golpe também funciona em qualquer navegador baseado em Chromium (Edge, Brave, Opera) que aceite extensões da Chrome Web Store, então vale revisar máquinas compartilhadas com o mesmo cuidado.
Fique de olho
A Socket publicou os IDs técnicos das 737 extensões identificadas para quem quiser conferir uma lista completa. O Google segue removendo extensões da campanha aos poucos, então o número de “ainda ativas” tende a cair nos próximos dias.
Fontes: pesquisa da Socket, empresa de segurança (socket.dev) e Chrome Web Store, onde as extensões estavam publicadas (chrome.google.com/webstore).
Vale saber o que a loja de extensões verifica antes de publicar uma delas, porque é isso que separa uma extensão legítima de uma clonada. A central de ajuda do Chrome explica os sinais que dá para conferir antes de instalar.
Perguntas frequentes sobre extensões de VPN falsas no Chrome
Como sei se tenho uma dessas extensões falsas instaladas?
Abra chrome://extensions no navegador e revise a lista. Desconfie de qualquer extensão de VPN que você não lembra de ter escolhido com atenção, que promete “servidores premium” grátis, ou que tem poucas avaliações e um nome quase idêntico ao de uma VPN conhecida (ex.: “NordVPN Pro” em vez de “NordVPN”).
É seguro usar extensão de VPN grátis no Chrome?
Não existe resposta genérica: a maioria é legítima, mas o caso mostra que qualquer extensão grátis pode redirecionar todo o seu tráfego para um servidor desconhecido. O sinal de alerta real não é “ser grátis”, é a extensão pedir permissão de proxy (chrome.proxy) sem uma empresa identificável por trás, sem site oficial e sem política de privacidade clara.
Quais marcas de VPN são confiáveis para extensão no Chrome?
As marcas listadas como vítimas de imitação no levantamento (não como culpadas) incluem Proton VPN, NordVPN, Surfshark, ExpressVPN, CyberGhost, Windscribe, TunnelBear e AdGuard VPN. A dica prática é sempre baixar pelo link oficial do site da marca, nunca só pelo nome que aparece na busca da Chrome Web Store.
O golpe também afeta quem usa Urban VPN, Hola VPN ou VeePN?
O levantamento da Socket não citou essas marcas especificamente entre as imitadas. Mas o princípio de checagem vale para qualquer extensão de VPN: confirme o desenvolvedor, o número real de avaliações e se a extensão pede permissão para alterar as configurações de proxy do navegador.
O Google já removeu essas extensões?
Parcialmente. Segundo a Socket, 221 das 737 extensões identificadas já tinham sido removidas da Chrome Web Store até a publicação da pesquisa, mas 516 continuavam ativas e disponíveis para instalação.
O que essas extensões fazem exatamente com meus dados?
Elas configuram o navegador para rotear toda a navegação por um servidor proxy (protocolo SOCKS5) controlado pelo autor da extensão. Isso coloca esse servidor numa posição para observar os sites que você visita, o endereço IP de origem e o conteúdo de qualquer requisição feita sem criptografia (HTTP puro, sem o “s” de seguro).
Só quem busca burlar bloqueio de site é alvo desse golpe?
A pesquisa aponta que a campanha mirou majoritariamente usuários de língua russa tentando acessar serviços bloqueados no país (como Instagram, ChatGPT e YouTube). Mas a técnica em si (extensão imita marca de VPN e sequestra o proxy) não depende de nacionalidade: qualquer pessoa que instale uma extensão de VPN sem checar a procedência corre o mesmo risco.
O que faço se encontrar uma extensão suspeita instalada?
Remova a extensão em chrome://extensions (clique em “Remover”), depois confira se o Chrome voltou a usar a conexão direta em chrome://settings/system (nenhum proxy customizado deve aparecer ativo). Troque as senhas de contas importantes acessadas durante o período em que a extensão esteve instalada, por precaução.
