Se o Chrome mudou o mecanismo de pesquisa sozinho, ou se as suas buscas passam por um site estranho antes de chegar ao Bing ou ao Yahoo, a causa pode ser uma extensão instalada sem você perceber. Um relatório publicado em 29 de outubro pela empresa de segurança Socket identificou 319 extensões do Chrome, com cerca de 13,4 milhões de usuários somados, que existem só para sequestrar pesquisas.
Elas se apresentam como conversor de PDF, localizador de manuais, busca segura ou busca com inteligência artificial. Na prática, trocam o buscador padrão do navegador e fazem cada pesquisa passar por um servidor do operador, que ganha comissão do Yahoo ou do Bing.
Abaixo estão o que a Socket descobriu, os maiores grupos por trás das extensões e o passo a passo para checar se o Chrome mudou o mecanismo de pesquisa e voltar ao buscador que você escolheu.
O que a Socket descobriu sobre as 319 extensões
O pesquisador John Tuckner, da Socket, ampliou um levantamento que ele mesmo tinha feito em abril de 2025. Agora são 264 extensões novas, com 8,7 milhões de usuários, que se somam às anteriores. O total chega a 319 extensões publicadas desde 2016, segundo o relatório da Socket.
A maioria não aparece na busca da Chrome Web Store. Os operadores publicam a extensão como não listada e a divulgam por anúncios do tipo pop-up em sites de baixa qualidade, com promessas como “pesquise PDFs” ou “encontre manuais”. Bastam poucos cliques para instalar, e a extensão cai no esquecimento logo depois.
Como a extensão troca seu buscador sem pedir permissão
Muitas dessas extensões não têm código nenhum. A Socket mostra um exemplo que é só um arquivo de configuração e três ícones. O Chrome permite que uma extensão declare um novo buscador padrão nesse arquivo, sem pedir permissão de acesso a sites e sem rodar script. Foi assim que o Chrome mudou o mecanismo de pesquisa de milhões de pessoas.
O Chrome avisa durante a instalação que o buscador vai mudar. Esse aviso, porém, não diz para onde as pesquisas vão de verdade. Quem clicou rápido em “Adicionar extensão” para ganhar um conversor de PDF dificilmente entendeu que estava entregando o histórico de buscas.
Por que isso é mais grave que propaganda
Cada pesquisa passa primeiro pelo servidor do operador, que vê o histórico completo, muitas vezes ligado a um identificador único do usuário. Hoje a busca termina em resultados reais do Yahoo ou do Bing. A Socket alerta que o operador decide o destino a cada pesquisa e pode mandar uma busca específica para uma página de golpe ou um download malicioso.
O caso da extensão Predator Search, com 50 mil usuários, mostra isso. Seis pesquisas idênticas feitas pela Socket terminaram em quatro lugares diferentes: o Yahoo com as marcas do parceiro, uma página do searchlio.net, um desvio por dois domínios antes do Yahoo e uma página de erro. A extensão não mudou em nenhum momento; quem escolheu o destino foi o servidor.
Quem está por trás das extensões que sequestram pesquisas
A Socket atribuiu 200 extensões, com 5,68 milhões de usuários, a empresas identificadas. As outras 119, com 7,76 milhões de usuários, vêm de operadores que escondem o registro dos domínios. A tabela resume os maiores grupos do relatório:
| Extensões | Usuários (aprox.) | Como se apresentava | |
|---|---|---|---|
| SecuryBrowse | 58 | 4,9 milhões | Marcas de segurança, como Fire Shield, Wise Ghost, Securify, Protecto e WatchTower |
| Bing-Search | 37 | 2,2 milhões | Promovidas por anúncios da Bidbrain, mandam a busca para o Bing |
| Intango LTD | 111 | 2,19 milhões | Nova aba e busca, como a Search Direct |
| Free Planet VPN S.R.L | 1 | 2 milhões | Extensão de VPN |
| HermesTab | 2 | 400 mil | Nova aba que força o Yahoo |
| Demais grupos e publicadores | 110 | 1,7 milhão | Busca segura, conversor de PDF, localizador de manuais e busca com IA |
Somadas, as extensões ficariam entre as 25 mais populares do Chrome se fossem uma só, segundo a Socket. O relatório também registra que, quando uma extensão é removida da loja, o domínio costuma continuar ativo e outra extensão aparece no lugar.
Como saber se o Chrome mudou o mecanismo de pesquisa
A ajuda oficial do Chrome diz que, quando o Chrome mudou o mecanismo de pesquisa sem você pedir, isso pode indicar malware. A checagem leva menos de dois minutos:
- No computador, abra o Chrome e clique em Mais (os três pontos no canto superior direito) e depois em Configurações.
- Selecione Mecanismo de pesquisa e veja qual buscador aparece como padrão. Se for um nome que você não escolheu, siga para a próxima seção.
- Volte ao menu Mais e abra Extensões e depois Gerenciar extensões. Procure nomes como busca segura, PDF, manuais, nova aba ou “search”. Para comparar com a lista da Socket, ative o Modo do desenvolvedor nessa mesma página. Com ele ligado, a página de extensões passa a mostrar o ID de cada uma, como explica a documentação do Chrome para desenvolvedores. Anote o ID das extensões suspeitas.
- Compare os IDs com o arquivo CSV que a Socket publicou no fim do relatório, na seção de artefatos da campanha.
Outro sinal é a nova aba. Parte das extensões do relatório troca a página que abre em cada aba nova por uma página de busca própria, com a marca do Yahoo no rodapé.
Como remover a extensão e voltar ao buscador certo
Para desfazer a troca quando o Chrome mudou o mecanismo de pesquisa, siga a ajuda da Chrome Web Store, na ordem:
- Em Gerenciar extensões, clique em Remover na extensão suspeita e confirme em Remover.
- Volte a Configurações e depois a Mecanismo de pesquisa, clique em Alterar e escolha o buscador que você quer.
- Se o buscador voltar a mudar depois de reiniciar o navegador, use a opção de redefinir as configurações do Chrome, indicada na própria página de ajuda.
- Rode uma verificação completa com o antivírus do computador, como recomenda a Socket para quem tinha alguma das extensões.
💡 DICA GUIAS EXPERT:
Extensão sem nenhuma permissão também pode ser perigosa. A Socket mostra que muita gente analisa a lista de permissões, não vê nada e conclui que não há risco. Nas extensões do relatório, o risco está justamente no buscador trocado, que não aparece como permissão. Ao instalar qualquer extensão, preste atenção no aviso de que o mecanismo de pesquisa vai mudar.
Como evitar a próxima extensão sequestradora
Quando o Chrome mudou o mecanismo de pesquisa por causa de uma extensão, a porta de entrada quase sempre foi um anúncio. Se um pop-up oferece uma ferramenta para “converter PDF” ou “achar manuais” e leva direto para uma página da Chrome Web Store, desconfie. Um teste simples, tirado do método da própria Socket: procure o nome da extensão na busca da loja. Se ela não aparecer, foi publicada como não listada, o que é comum entre as extensões do relatório.
Vale também revisar a lista de extensões a cada poucos meses e remover o que você não usa mais. Cada extensão esquecida é um ponto que alguém pode explorar, como mostra o golpe da demo falsa do GTA 6, que também começava com um download que parecia inofensivo.
Conclusão
Se o Chrome mudou o mecanismo de pesquisa sem você pedir, a explicação mais provável é uma extensão instalada a partir de um anúncio. As 319 extensões do relatório da Socket mostram que o problema dura uma década e atinge milhões de pessoas.
A solução é gratuita e leva poucos minutos: confira o buscador padrão, remova as extensões que você não reconhece e escolha de novo o buscador nas configurações. Leia também nosso guia GTA 6 Demo Malware: Como o Golpe Está Roubando Senhas de Fãs, sobre outro golpe que começa com um download aparentemente inofensivo.
Você já encontrou o buscador trocado no seu Chrome ou no de alguém da família? Conte nos comentários qual extensão estava por trás.