Les extensions de navigateur en entreprise sont la surface d'attaque que personne ne gère
La plupart des programmes de sécurité d'entreprise peuvent indiquer précisément quels ordinateurs portables sont inscrits dans la gestion des appareils, quelles applications SaaS disposent d'une authentification unique, et quels ports USB sont verrouillés. Demandez à cette même équipe de sécurité combien d'extensions de navigateur sont installées dans toute l'entreprise, et ce que chacune peut lire, et la réponse est généralement un haussement d'épaules. Cet écart constitue désormais l'une des plus grandes surfaces d'attaque non gérées d'un bureau typique.
Le rapport LayerX sur la sécurité des extensions de navigateur en entreprise 2026 a révélé que 99% des utilisateurs en entreprise ont au moins une extension installée, et environ un quart en ont plus de dix. Les extensions fonctionnent avec des permissions étendues par conception — lire le contenu des pages, intercepter les requêtes réseau, injecter des scripts — car c'est ce qui rend utile un gestionnaire de mots de passe ou un correcteur grammatical. Ces mêmes permissions rendent une extension compromise ou malveillante presque aussi puissante qu'un logiciel malveillant déjà présent dans votre réseau.
Un exemple concret de la façon dont cela se déroule
En avril 2026, des chercheurs de Socket ont identifié un cluster coordonné de 108 extensions Chrome malveillantes partageant une infrastructure de commande et contrôle, installées collectivement environ 20 000 fois via le Chrome Web Store officiel. Parmi elles, 54 récoltaient des données d'identité de comptes Google via des flux OAuth détournés, et 45 contenaient des fonctionnalités de porte dérobée. Ce qui a rendu ce cluster difficile à détecter n'était pas un exploit exotique — c'était que les extensions utilisaient des capacités entièrement légitimes de Chrome : permissions d'hôte, scripts de contenu, et l'API declarativeNetRequest destinée aux bloqueurs de publicités et outils de confidentialité.
Pourquoi l'ampleur du problème est contestée
Les propres données de Google indiquent que moins de 1% des installations du Chrome Web Store en 2024 impliquaient des logiciels malveillants — un chiffre que l'entreprise utilise pour défendre l'efficacité de son processus de révision. Des chercheurs universitaires de Stanford et CISPA, étudiant le même écosystème de l'extérieur, ont estimé que 280 millions de personnes ont installé une extension Chrome infectée par un malware sur une période de trois ans. Les deux chiffres peuvent être vrais simultanément.
Les extensions d'IA constituent un risque nouveau et à croissance plus rapide
La dernière nouveauté concerne les extensions de navigateur à IA — résumeurs, assistants de rédaction, et outils de type agent qui lisent le contenu des pages pour alimenter un modèle. Le rapport LayerX a révélé que ces extensions sont 60% plus susceptibles d'avoir une CVE connue que l'ensemble des extensions. La raison est structurelle : une extension d'IA nécessite généralement un accès en lecture plus large au contenu des pages qu'une extension utilitaire traditionnelle.
À quoi ressemble une véritable gouvernance des extensions
Les organisations qui gèrent bien cela ne tentent pas d'interdire totalement les extensions. L'ensemble de contrôles pratiques ressemble plutôt à ceci : maintenir une liste blanche appliquée via la gestion du navigateur d'entreprise ; exiger que toute extension demandant l'accès à tous les sites passe par une étape d'approbation spécifique ; surveiller les extensions qui modifient leurs permissions demandées après l'installation ; et traiter les extensions d'IA comme une catégorie de révision distincte avec des restrictions par défaut plus strictes.
Rien de tout cela ne nécessite d'outils exotiques. L'écart est organisationnel, pas technique : la plupart des équipes informatiques ont construit une gouvernance mature des appareils et du SaaS il y a des années et n'ont jamais étendu la même discipline à ce que chaque employé utilise des dizaines de fois par jour.