In questo articolo Indice dei contenuti 2 sezioni
Sono state individuate 737 estensioni VPN malevole sullo store ufficiale di Chrome, un numero che da solo racconta quanto sia diventato semplice mascherare un servizio truffaldino dietro l’aspetto rassicurante di un add on per la privacy. Il lavoro di analisi arriva dal Threat Research Team di Socket, che ha ricostruito una campagna piuttosto strutturata, portata avanti da 40 account editore diversi ma con ogni probabilità gestiti da un solo attore. I download complessivi sfiorano le 75.000 unità, concentrati soprattutto in Russia.
Il dettaglio più insidioso riguarda i nomi scelti. Ben 264 di queste estensioni si spacciavano per prodotti di marchi conosciutissimi nel settore, da Proton VPN a NordVPN, passando per Surfshark, AdGuard VPN, Browsec, ExpressVPN, CyberGhost, Windscribe, TunnelBear, fino a 1.1.1.1 di Cloudflare e Outline di Google. Chi cerca velocemente una VPN nella barra di ricerca dello store difficilmente si sofferma sull’editore o sulla data di pubblicazione, e proprio su quella distrazione contava l’intera operazione.
Come funzionava la truffa dentro il Chrome Web Store
Il meccanismo era tutt’altro che improvvisato. Una volta installate, le estensioni instradavano il traffico di navigazione verso proxy SOCKS5 riconducibili a un unico fornitore, trasformando l’utente in un cliente inconsapevole di un’infrastruttura di terze parti. La risoluzione dei nomi host avveniva tramite servizi DNS over HTTPS di Cloudflare e Google, una scelta che serviva soprattutto a coprire le tracce di chi stava dietro alla rete e a rendere più complicato risalire alla vera identità dell’operatore.
Con questo tipo di configurazione, chi controlla i server ha in mano molto più di quanto l’utente immagini. Indirizzi IP, dati trasmessi, abitudini di navigazione: tutto passa da un punto unico e non verificabile. Il paradosso è evidente, perché una VPN nasce esattamente per evitare che qualcuno possa mettere il naso nel traffico, e qui accadeva l’opposto.
Non finisce lì. Lo stesso gruppo di estensioni Chrome pubblicizzava anche server premium che semplicemente non esistevano, presentati come localizzati in Giappone, Singapore, Canada, Australia e Turchia. In quel caso l’obiettivo era più diretto e più banale: incassare il pagamento di abbonamenti falsi. Gli elementi raccolti durante l’indagine suggeriscono un collegamento con un servizio di Virtual Private Network russo, anche se il quadro completo resta parziale.
Oltre 500 add on ancora online e il nodo delle VPN gratuite
La bonifica è iniziata, ma è lontana dall’essere completa. Più di 200 add on sono già stati rimossi dallo store, mentre circa 500 risultano ancora scaricabili. Significa che il rischio è tuttora concreto per chiunque cerchi una soluzione rapida senza controllare la provenienza. Il consiglio più sensato rimane il più noioso: passare dai siti ufficiali dei provider per l’installazione, evitando scorciatoie dentro il Chrome Web Store.
Su questo terreno si innesta il discorso più ampio delle VPN gratuite, che periodicamente torna sotto i riflettori proprio per casi come questo. In una intervista con Dainius Ražinskas di NordVPN il tema è stato affrontato senza troppi giri di parole. La sua posizione è che un servizio del genere non possa essere gratuito a causa dell’infrastruttura, perché mantenerla costa molto, così come costa molto la banda. Tutto ha un prezzo, e offrire qualità a costo zero significherebbe generare soltanto perdite, senza poter sviluppare nuovi prodotti, fare ricerca, investire nel marketing o cercare modi per rendere la vita delle persone più semplice e veloce.
Il ragionamento aiuta a inquadrare il fenomeno delle estensioni VPN a costo zero che spuntano a decine sugli store. Quando manca un abbonamento, il modello di business va comunque cercato da qualche parte, e nella maggior parte dei casi finisce per coincidere con i dati di chi installa. La campagna scoperta ne è la dimostrazione più concreta, con 737 estensioni pubblicate, quasi 75.000 installazioni e un unico attore dietro le quinte a raccogliere tutto quello che passava dai suoi proxy.
