Extensions de navigateur : risques cachés, défense IA

En 2023, une évaluation des risques portant sur 300 000 extensions utilisées en entreprise a conclu que 51 % d’entre elles présentaient un niveau de risque élevé. Ce chiffre devrait faire tiquer n’importe quel RSSI — mais aussi n’importe qui qui ouvre son navigateur pour gérer ses e-mails, ses achats de Noël, ou ses virements de fin d’année.

Le problème, c’est que l’extension de navigateur « pratique » (bloqueur de pub, convertisseur PDF, assistant IA, outil de prise de notes) a un accès direct à votre vie numérique. Et cette proximité crée un angle mort : on vérifie plus facilement une application mobile qu’une extension installée « vite fait » un lundi matin.

Dans cette série Intelligence artificielle dans la cybersécurité, je défends une idée simple : la sécurité du navigateur est devenue un sujet stratégique, et l’IA est l’un des meilleurs moyens de reprendre l’avantage — pas en remplaçant la vigilance humaine, mais en détectant ce que l’humain ne peut pas voir à l’échelle.

Pourquoi les extensions sont un terrain de jeu idéal pour les attaquants

Réponse directe : une extension, c’est une mini-application qui tourne au cœur du navigateur, avec des permissions parfois très larges. Pour un attaquant, c’est une position parfaite : proche des données, proche des sessions, et souvent installée « en confiance ».

Dans les faits, une extension peut accéder à des éléments extrêmement sensibles :

• Historique de navigation (habitudes, intérêts, outils professionnels utilisés)
• Cookies de session (parfois suffisants pour se connecter sans mot de passe)
• Saisie clavier (keylogging via scripts ou pages injectées)
• Contenu des pages (y compris portails RH, webmails, outils métier)
• Presse-papiers (copier-coller de mots de passe, IBAN, codes, tokens)

En entreprise, le sujet est encore plus piégeux : les extensions peuvent rester sous le radar des équipes sécurité, surtout si l’inventaire poste de travail ne remonte pas finement les add-ons ou si les navigateurs sont gérés de façon hétérogène.

Le piège de la “source officielle”

Installer depuis une boutique officielle (Chrome Web Store, modules Firefox, etc.) réduit le risque, mais ne l’annule pas. Les campagnes observées ces dernières années l’ont montré : des extensions peuvent être malicieuses dès le départ, ou devenir malicieuses après une mise à jour.

Un scénario courant : une extension légitime est rachetée, ou son compte développeur est compromis. Ensuite, une mise à jour “normale” est poussée à des milliers (ou millions) d’utilisateurs. À ce moment-là, la confiance accumulée se retourne contre vous.

Ce que fait réellement une extension malveillante (et pourquoi ça fait mal)

Réponse directe : une extension malveillante vise surtout le vol de données et la prise de contrôle de comptes, car c’est rapide, rentable et difficile à attribuer. Et quand ça touche le navigateur, l’impact est immédiat.

Voici les actions les plus fréquentes — et concrètement ce qu’elles impliquent :

Vol d’identifiants, cookies et données sensibles

Le vol de cookies de session est particulièrement redoutable : même avec un bon mot de passe, un attaquant peut parfois réutiliser la session. Dans un contexte professionnel, cela peut ouvrir la porte à des outils SaaS (messagerie, CRM, cloud, tickets IT) et accélérer un mouvement latéral.

Redirection vers des sites piégés

Certaines extensions modifient les résultats de recherche, injectent des liens sponsorisés « douteux » ou redirigent vers des clones de sites légitimes. L’utilisateur pense cliquer sur un site connu… et se retrouve sur une page conçue pour aspirer des identifiants ou pousser un téléchargement.

Injection de publicité et scripts indésirables

Au-delà de la nuisance, l’injection publicitaire sert souvent de couche de monétisation et de distribution : scripts de tracking agressifs, redirections intermittentes, voire dépôt d’un infostealer via un site tiers.

Porte dérobée dans le navigateur

Certaines extensions installent des mécanismes persistants : elles surveillent les onglets, déclenchent des actions sur certaines URL (banques, webmail, administration) et peuvent charger du code à distance.

Cryptominage à votre insu

Le cryptominage via navigateur n’est pas la technique la plus “fine”, mais elle existe : consommation CPU, machine qui chauffe, batterie qui fond, poste de travail qui rame. En entreprise, c’est aussi un signal de compromission qui arrive parfois trop tard.

Phrase à retenir : « Une extension, c’est un badge d’accès permanent au navigateur. Si vous donnez trop de permissions, vous donnez trop de pouvoir. »

Les deux portes d’entrée les plus dangereuses : sideloading et mises à jour compromises

Réponse directe : le sideloading et les mises à jour détournées expliquent une grande partie des infections par extensions, car ils contournent les contrôles et exploitent la confiance.

Sideloading : le raccourci qui coûte cher

Le sideloading consiste à installer une extension depuis une source externe (fichier, store tiers, lien direct). Le souci, c’est simple : pas de revue de sécurité équivalente, pas de signalement fiable, et souvent des techniques de tromperie (fausse page, faux bouton, faux “nécessaire pour lire ce PDF”).

Fin 2025, avec la pression de productivité (et les assistants IA à la mode), on voit aussi un autre biais : des utilisateurs installent des extensions “IA” trouvées au hasard pour résumer, traduire, extraire des infos. Ce sont des extensions qui demandent naturellement… beaucoup d’accès. Terrain parfait pour l’abus.

Mise à jour compromise : l’attaque silencieuse

C’est le scénario le plus frustrant : votre organisation a fait “les choses bien” (extension populaire, avis positifs, historique stable), puis une mise à jour introduit un composant malveillant. Résultat : le risque n’est pas dans l’installation initiale, mais dans la chaîne de confiance.

Là où l’IA change la donne (sans magie, mais avec méthode)

Réponse directe : l’IA aide surtout à détecter les comportements anormaux des extensions à grande échelle, là où les contrôles manuels et les listes statiques ne suffisent plus.

Les approches classiques (listes blanches/noires, audits ponctuels) restent utiles, mais elles sont trop lentes face à :

• la vitesse des mises à jour,
• la quantité d’extensions,
• la créativité des attaquants,
• et la fragmentation des postes (BYOD, télétravail, navigateurs multiples).

Détection comportementale : ce que l’IA repère mieux que nous

Les solutions modernes, dopées à l’IA (et à des modèles de détection/anomalie), peuvent repérer des signaux faibles comme :

• une extension qui commence à contacter des domaines jamais vus auparavant,
• des injections de scripts sur des pages sensibles (authentification, paiement),
• des patterns de collecte (clipboard, DOM, formulaires) qui ressemblent à de l’exfiltration,
• des changements brusques de permissions après mise à jour,
• une activité réseau “en arrière-plan” incompatible avec la fonction annoncée.

Le point important : on ne cherche pas seulement du “malware connu”. On cherche du comportement suspect, et c’est précisément là que les modèles sont utiles.

Corrélation poste + réseau + identité

L’IA devient vraiment intéressante quand elle corrèle des événements :

• navigateur (extensions installées, permissions, comportements)
• endpoints (processus, persistance, fichiers déposés)
• identité (connexions inhabituelles, géolocalisation, MFA contournée)
• réseau (DNS suspects, exfiltration, connexions répétées)

Pris séparément, chaque signal est discutable. Ensemble, ils dessinent un scénario crédible et actionnable.

Un exemple réaliste (et fréquent)

Un collaborateur installe une extension “convertisseur PDF” qui demande l’accès à “tous les sites”. Deux jours plus tard :

• apparition de requêtes vers un domaine récemment créé,
• injection d’un script sur la page de connexion au webmail,
• tentative de connexion à un compte SaaS depuis une nouvelle localisation,
• hausse d’échecs MFA.

Sans automatisation, c’est trop d’indices dispersés. Avec de l’IA + règles de détection, c’est un incident qui peut être isolé en minutes, pas en jours.

Mesures concrètes : une hygiène des extensions adaptée à 2025

Réponse directe : vous réduisez le risque en combinant politique d’entreprise, contrôles techniques et habitudes utilisateur — avec une couche IA pour la détection continue.

Côté utilisateur : 7 réflexes simples

1. Installer uniquement depuis une boutique officielle (et éviter le sideloading).
2. Vérifier l’éditeur (historique, autres produits, cohérence).
3. Lire les avis “négatifs” : ce sont souvent eux qui révèlent les dérives (pubs, redirections).
4. Contrôler les permissions : une extension de capture d’écran n’a pas besoin d’accéder à vos mots de passe.
5. Supprimer sans pitié les extensions inutilisées (moins il y en a, mieux c’est).
6. Mettre à jour le navigateur (failles corrigées, protections renforcées).
7. Activer le MFA partout : ce n’est pas parfait, mais ça freine énormément le détournement de comptes.

Côté entreprise : ce qui marche vraiment

• Liste d’extensions autorisées (whitelist) par métier, avec exceptions tracées.
• Gestion centralisée du navigateur (politiques, inventaire, blocage des stores tiers).
• Revue trimestrielle : extensions installées vs. usage réel.
• Surveillance des mises à jour : alerte quand une extension change de propriétaire, de permissions, ou de comportement.
• Protection endpoint + navigation sécurisée pour réduire les redirections, les téléchargements piégés et les scripts malveillants.

Position claire : en environnement professionnel, “chacun installe ce qu’il veut” n’est plus défendable. Les extensions sont des composants de votre surface d’attaque.

Où placer l’IA dans ce dispositif

L’IA n’est pas un gadget ici. Je la vois comme une ceinture de sécurité : vous espérez ne jamais en avoir besoin, mais le jour où une extension bascule après une mise à jour, elle fait la différence.

Concrètement, cherchez des capacités telles que :

• scoring de risque des extensions (permissions + réputation + comportement),
• détection d’anomalies réseau liées au navigateur,
• alertes sur exfiltration potentielle,
• investigation guidée (timeline, corrélation, recommandations),
• réponse automatisée (désactivation, quarantaine, blocage de domaine).

Ce qu’il faut retenir (et le prochain pas)

Les extensions de navigateur sont devenues un vecteur d’attaque majeur parce qu’elles sont proches des données et qu’on leur fait confiance trop facilement. Les chiffres (comme le 51 % d’extensions à haut risque observé en 2023 dans un contexte entreprise) confirment une réalité : l’angle mort est structurel.

La bonne nouvelle, c’est que la défense progresse. Une stratégie réaliste combine gouvernance (politiques), hygiène (permissions, inventaire) et sécurité augmentée par l’IA pour détecter les signaux faibles — surtout lors des mises à jour et des changements de comportement.

Si vous deviez faire une seule action cette semaine : faites l’inventaire de vos extensions (perso ou entreprise) et supprimez tout ce qui n’est pas indispensable. Ensuite, posez-vous une question très simple : “Est-ce que je serais à l’aise si cette extension voyait tout ce que je fais dans mon navigateur ?”