Chrome’da Büyük Güvenlik Sorunu: 13 Milyon Kişiyi Etkileyen Eklentiler Ortaya Çıktı

Google Chrome kullanıcılarını etkileyen geniş çaplı bir arama motoru yönlendirme ağı ortaya çıkarıldı. Yapılan güvenlik araştırmasında, toplam 13,4 milyon yüklemeye ulaşan 319 tarayıcı eklentisinin kullanıcıların varsayılan arama motorunu değiştirdiği ve arama sorgularını üçüncü taraf sunucular üzerinden yönlendirdiği tespit edildi.

PDF dönüştürme, güvenli arama ve yapay zekâ araçları gibi görünen bu eklentilerin bir kısmı, herhangi bir özel izin veya çalışan JavaScript kodu olmadan tarayıcı ayarlarını değiştirebiliyor.

Siber güvenlik şirketi Socket tarafından yürütülen araştırmada, Chrome kullanıcılarının arama trafiğini ele geçiren 319 farklı eklenti belirlendi. Güvenlik araştırmacısı John Tuckner’ın 29 Ekim 2026 tarihinde yayımladığı inceleme, 2025 yılında tespit edilen benzer eklentilerle ilgili çalışmanın devamı.

Yeni araştırmada 264 ek uzantı tespit edildi ve bunların yaklaşık 8,7 milyon yüklemeye ulaştığı belirlendi. Son on yıllık dönemde tespit edilen toplam yükleme sayısı ise 13,4 milyona çıktı.

Söz konusu eklentiler, kullanıcıların Chrome üzerinden gerçekleştirdiği aramaları doğrudan seçilen arama motoruna göndermiyor. Bunun yerine varsayılan arama motorunun adresini değiştirerek sorguları eklenti geliştiricilerinin kontrolündeki aracı sunuculara iletiyor. Aramalar daha sonra çoğunlukla Yahoo veya Microsoft Bing üzerinden sonuçlandırılıyor.

Sistemin temelinde arama motorlarının reklam gelirlerini paylaşmak için kullandığı iş ortaklığı programları bulunuyor. Yahoo ve Bing, belirli anlaşmalar kapsamında kendilerine arama trafiği yönlendiren iş ortaklarına reklam gelirlerinden pay verebiliyor. Eklentilerin yönettiği aramalara eklenen takip parametreleri sayesinde yönlendirmelerin hangi iş ortağı üzerinden geldiği belirleniyor.

Yahoo tarafında hspart ve hsimp, Bing tarafında ise PC ve PTAG parametreleri kullanılıyor. Arama trafiğini kontrol eden operatörler, kullanıcıların sorgularını kendi sunucularından geçirerek bu iş ortaklığı sistemleri üzerinden gelir elde edebiliyor.

Araştırmanın teknik açıdan dikkat çeken tarafı, bazı eklentilerin bu işlemi gerçekleştirmek için neredeyse hiçbir yazılım koduna ihtiyaç duymaması. Chrome’un eklenti altyapısında bulunan chrome_settings_overrides özelliği, geliştiricilerin varsayılan arama motorunu değiştirmesine izin veriyor. Bu özellik doğrudan eklentinin yapılandırma dosyası üzerinden kullanılabiliyor.

İncelenen Safe Game Search isimli eklenti, yalnızca bir manifest.json dosyası ve üç simgeden oluşuyor. Eklentide arka planda çalışan bir servis, internet sayfalarına müdahale eden JavaScript kodları veya kullanıcıların erişebileceği bir arayüz bulunmuyor. Ayrıca herhangi bir ek tarayıcı izni de talep edilmiyor.

Safe Game Search, yapılandırma dosyasındaki search_provider tanımı aracılığıyla Chrome’un varsayılan arama motorunu değiştiriyor. Kullanıcı adres çubuğuna bir arama sorgusu yazdığında istek search.safesearchgame.com adresine gönderiliyor. Arama önerileri için de suggest.safesearchgame.com alan adı kullanılıyor.

Chrome, varsayılan arama motorunu değiştiren bir eklenti yüklenirken kullanıcıya onay bildirimi gösteriyor. Ancak bu bildirim, arama sorgularının hangi aracı sunuculardan geçeceğini ve nihai olarak nereye yönlendirileceğini açıkça göstermiyor. Eklenti herhangi bir ek izin istemese bile arama trafiğinin kontrolünü değiştirebiliyor.

Tespit edilen eklentiler, çoğunlukla PDF dönüştürücü, kullanım kılavuzu bulucu, güvenli arama hizmeti veya yapay zekâ destekli arama aracı olarak tanıtılıyor. Bazıları internetteki belirli dosyalara veya ürün kılavuzlarına daha kolay ulaşma vaadiyle kullanıcılara sunuluyor. Ancak incelenen örneklerin önemli bir bölümünde, arama motorunu değiştirmek dışında gerçek bir işlev bulunmuyor.

Bu eklentilerin büyük bölümü Google’ın resmî Chrome Web Mağazası’nda yer almasına rağmen normal mağaza aramalarında görünmüyor. Chrome Web Store’un liste dışı yayımlama özelliğini kullanan geliştiriciler, eklentilerin yalnızca doğrudan bağlantı üzerinden bulunmasını sağlıyor. Böylece uzantılar resmî mağaza üzerinden yüklenebilirken genel arama sonuçlarından gizlenebiliyor.

Kullanıcılara ulaşmak için Google Ads, Bidbrain ve farklı reklam ağlarından yararlanılıyor. Özellikle küçük internet sitelerinde açılan reklam pencereleri, kullanıcıları eklenti tanıtım sayfalarına yönlendiriyor. Bu sayfalardaki yükleme bağlantıları üzerinden Chrome Web Mağazası’na ulaşan kullanıcılar, eklentiyi birkaç adımda tarayıcılarına ekleyebiliyor.

Araştırmada ayrıca arama trafiğinin neden doğrudan Yahoo veya Bing’e gönderilmediği de incelendi. Aracı sunucular, gerçekleştirilen aramaların kayıt altına alınmasına, iş ortaklığı gelirlerinin takip edilmesine ve yönlendirmelerin her sorgu için ayrı ayrı belirlenmesine imkân veriyor. Operatörler arama terimlerini, bağlantı bilgilerini ve bazı durumlarda kullanıcıya özel tanımlayıcıları kaydedebiliyor.

Bu sistemde kullanıcıların arama geçmişi, eklenti operatörleri tarafından görüntülenebiliyor. Arama sorguları kullanıcıya ait bir tanımlayıcıyla ilişkilendirildiğinde farklı zamanlarda gerçekleştirilen aramalar aynı kullanıcı üzerinden takip edilebiliyor. Toplanan bilgiler, arama eğilimlerinin ve kullanıcı davranışlarının analiz edilmesi için de kullanılabiliyor.

Araştırmada incelenen Predator Search eklentisi, arama yönlendirmelerinin sunucu tarafında nasıl değiştirilebildiğini ortaya koydu. Yaklaşık 50 bin kullanıcıya ulaşan eklentiyle aynı arama sorgusu altı kez tekrarlandı. Bu altı denemede dört farklı yönlendirme sonucu elde edildi.

Bazı aramalar iş ortaklığı takip kodlarıyla doğrudan Yahoo’ya gönderildi. Diğerleri searchlio.net adresine veya searchtosearch.com üzerinden mcftink.com alan adına yönlendirildi. Denemelerden birinde ise Cloudflare kaynaklı yanıt vermeyen bir hata sayfasıyla karşılaşıldı. Testler sırasında tarayıcı eklentisinin kendisinde herhangi bir değişiklik yapılmadı.

Yönlendirme kararları tamamen aracı sunucu üzerinden verildiği için eklentinin güncellenmesine gerek kalmadan arama sonuçlarının hedefi değiştirilebiliyor. Aynı altyapı, belirli arama terimleri veya kullanıcıların bulunduğu coğrafi bölgeler üzerinden farklı yönlendirmeler gerçekleştirmek için kullanılabiliyor.

Güvenlik araştırmasında bu yapının kimlik avı sayfalarına, sahte arama sonuçlarına veya zararlı yazılım indirme bağlantılarına yönlendirme yapmak için de kullanılabileceği üzerinde duruldu. Ancak incelenen yönlendirmelerin kötü amaçlı yazılım dağıttığına veya kimlik avı saldırısında kullanıldığına ilişkin doğrulanmış bir bulgu paylaşılmadı. Tespit edilen mevcut faaliyetler ağırlıklı olarak arama trafiğinin izlenmesi ve reklam gelirlerinin elde edilmesiyle bağlantılı.

Eklentilerin geçmişi 2016 yılına kadar uzanıyor. O dönemde yayımlanan Yandex Search uzantısının kaldırılmadan önce yaklaşık 200 bin kullanıcıya ulaştığı belirlendi. 2017 yılında yayımlanan HermesTab isimli iki eklenti ise toplam 400 bin kullanıcıya ulaşarak yeni sekme ve arama yönlendirmelerinde kullanıldı.

2018 yılından itibaren Intango LTD tarafından yayımlanan yaklaşık 111 farklı eklenti de incelemeye dahil edildi. Bu uzantıların toplam yükleme sayısı yaklaşık 2,2 milyon olarak hesaplandı. Eklentilerin yaklaşık 279 farklı alan adıyla ilişkilendirildiği, çoğunun Yahoo’ya ve 15 tanesinin Bing’e arama trafiği yönlendirdiği belirlendi.

Araştırmada SecuryBrowse adıyla gruplandırılan 58 eklentilik başka bir ağın yaklaşık 4,9 milyon kullanıcıya ulaştığı tespit edildi. Fire Shield, Wise Ghost, Securify, Protecto ve WatchTower gibi güvenlik odaklı isimler taşıyan bu eklentilerin bir bölümü, arama motorunu değiştirmenin yanında hassas tarayıcı izinleri de talep ediyordu.

2025 ve 2026 yıllarında yayımlanan Bing-Search grubunda ise 37 farklı eklenti bulunuyor. Yaklaşık 2,2 milyon kullanıcıya ulaşan bu eklentiler ağırlıklı olarak Bidbrain reklamları üzerinden tanıtıldı. Araştırmada farklı geliştirici hesaplarında görünen 15 yayıncının Haziran 2026’da aynı dört günlük dönemde güncelleme yayımladığı da belirlendi. Eklentilerin aynı Bing iş ortaklığı takip kodlarını kullandığı tespit edildi.

İncelemeye dahil edilen 319 eklentinin 200 tanesi, kimliği belirlenebilen yayıncılar veya şirketlerle ilişkilendirildi. Bu gruptaki eklentilerin toplam yükleme sayısı yaklaşık 5,68 milyon oldu. Geriye kalan 119 eklentinin yayıncıları ise kesin olarak belirlenemedi. Bu eklentiler yaklaşık 7,76 milyon yüklemeye ulaştı.

Araştırmanın yayımlandığı tarihte şüpheli eklentilerin önemli bir bölümü Chrome Web Mağazası’ndan kaldırılmıştı. Ancak benzer işlevlere sahip yeni eklentilerin farklı alan adları ve isimler üzerinden yayımlanmaya devam ettiği tespit edildi.

Chrome kullanıcıları, adres çubuğuna chrome://extensions yazarak tarayıcılarında yüklü eklentileri kontrol edebiliyor. Tanınmayan veya kullanılmayan PDF, arama, güvenlik ve yapay zekâ eklentileri bu bölümden kaldırılabiliyor. Ayrıca Chrome’un Ayarlar menüsündeki Arama motoru bölümünden varsayılan arama sağlayıcısı kontrol edilebiliyor.

Arama motoru ayarları kullanıcı müdahalesi olmadan değişiyorsa, tanınmayan adreslere yönlendirme gerçekleşiyorsa veya kaldırılan eklentiler yeniden beliriyorsa tarayıcı ayarlarının sıfırlanması da mümkün. Chrome’un Ayarlar bölümündeki Sıfırlama seçenekleri üzerinden varsayılan yapılandırma geri yüklenebiliyor. Bu işlem kayıtlı yer imlerini ve şifreleri silmiyor. Şüpheli eklentilerin kaldırılmasının ardından bilgisayarda güncel bir güvenlik yazılımıyla tam sistem taraması da yapılabiliyor.