Chrome kullanıcılarının arama trafiğini etkileyen geniş çaplı bir tarayıcı eklentisi ağı ortaya çıkarıldı. Güvenlik araştırmacılarının incelemesine göre, toplamda 13,4 milyon yüklemeye ulaşan 319 eklenti, kullanıcıların varsayılan arama motorunu değiştirebiliyor ve adres çubuğundan yapılan aramaları üçüncü tarafların kontrolündeki sunucular üzerinden yönlendirebiliyor. Eklentiler çoğunlukla PDF araçları, güvenli arama hizmetleri, ürün kılavuzu bulucular veya yapay zekâ destekli arama araçları gibi tanıtılıyor.

Bu bulgular, her eklentinin mutlaka zararlı yazılım olduğu anlamına gelmiyor. Araştırmada doğrulanan temel faaliyet, arama sorgularının eklenti operatörlerinin belirlediği aracılar üzerinden geçirilmesi ve çoğunlukla Yahoo ya da Microsoft Bing gibi arama sağlayıcılarına ulaştırılması. Bu yönlendirme, reklam ortaklığı gelirlerinin izlenmesini sağlayabildiği gibi arama verilerinin eklenti operatörleri tarafından görülmesine de yol açabiliyor. Araştırmacılar, kötü amaçlı yazılım dağıtımı veya kimlik avı faaliyetiyle ilgili doğrulanmış bir bulgu paylaşmadı; bununla birlikte altyapının farklı ve daha zararlı amaçlarla kullanılma ihtimali de göz ardı edilmiyor.

Araştırmada ortaya çıkan ağın kapsamı

Siber güvenlik şirketi Socket’in çalışmasında 319 farklı Chrome eklentisi incelendi. Araştırmacı John Tuckner’ın 29 Ekim 2026’da yayımladığı inceleme, 2025’te belirlenen benzer uzantılar hakkındaki araştırmanın devamı niteliğinde. Yeni çalışmada 264 ek eklenti tespit edildi ve bunların yaklaşık 8,7 milyon yüklemeye ulaştığı bildirildi. Önceki bulgularla birlikte ele alındığında, on yıllık dönemde belirlenen eklentilerin toplam yükleme sayısı yaklaşık 13,4 milyona çıktı.

Bu rakamlar, 13,4 milyon kişinin hâlen bu eklentileri kullandığını kesin olarak göstermiyor. Yükleme sayısı zaman içinde birikmiş olabilir; kullanıcılar eklentileri sonradan kaldırmış, farklı cihazlarda yüklemiş veya birden fazla uzantı indirmiş olabilir. Bununla birlikte toplam sayı, arama yönlendirme işlevinin geniş bir kullanıcı kitlesine ulaşabildiğini ve yalnızca birkaç bilinmeyen eklentiyle sınırlı olmadığını ortaya koyuyor.

İncelenen eklentilerin çoğu, temel işlevini arama motorunu değiştirmek dışında açıklamayan ya da tanıtımında vaat ettiği özellikleri sınırlı biçimde sunan uzantılardı. PDF dönüştürme, güvenli arama, kılavuz bulma ve yapay zekâ destekli arama gibi başlıklar kullanıcıya yararlı bir araç izlenimi verebiliyor. Ancak bir eklentinin adı veya mağaza açıklaması, arama trafiğini nasıl işlediğini tek başına göstermez. Kullanıcıların yükleme öncesinde geliştiriciyi, talep edilen izinleri ve eklentinin hangi tarayıcı ayarlarını değiştireceğini incelemesi bu nedenle önem taşıyor.

Aramalar neden aracı sunuculardan geçiriliyor?

Normalde kullanıcı adres çubuğuna bir arama sorgusu yazdığında, Chrome bu sorguyu seçili varsayılan arama sağlayıcısına gönderir. İncelenen eklentiler ise varsayılan arama motorunun adresini değiştirebiliyor. Böylece sorgu önce eklentinin veya operatörünün belirlediği bir alan adına ulaşıyor; aracı sunucu da isteği başka bir arama sağlayıcısına, çoğunlukla Yahoo’ya ya da Bing’e iletiyor.

Bu yönlendirme, kullanıcının aradığı sonucu mutlaka değiştirmek zorunda değil. Aracı sunucu sorguyu olduğu gibi iletip sonuç sayfasına geçiş sağlayabilir. Ancak bağlantı zincirine eklenen her ara durak, arama isteğinin hangi sistemlerden geçtiğini ve hangi tarafların bu isteği kaydedebileceğini değiştirir. Kullanıcı, sonuçları Yahoo veya Bing üzerinde görüyor olsa bile sorgunun ilk olarak başka bir operatörün sunucusuna ulaştığının farkında olmayabilir.

Bu yapı, arama sağlayıcılarının reklam gelirlerini paylaşmak amacıyla yürüttüğü iş ortaklığı programlarıyla bağlantılı olabilir. Bir iş ortağı arama trafiğini sağlayıcıya yönlendirdiğinde, yapılan anlaşmaya göre reklamlardan elde edilen gelirin bir bölümünü alabilir. Yönlendirmeyi izlemek için arama bağlantılarına özel takip parametreleri eklenebilir. Araştırmada Yahoo yönlendirmelerinde hspart ve hsimp, Bing yönlendirmelerinde ise PC ve PTAG gibi parametrelerin kullanıldığı belirtildi.

Bu parametreler tek başına kötü amaçlı faaliyet kanıtı değildir; iş ortaklığı sistemlerinde trafiğin kaynağını belirlemek için kullanılabilir. Ancak araştırmacılara göre, kullanıcıların aramalarını kendi sunucularından geçiren operatörler bu sistemler üzerinden yönlendirmeleri takip edebilir ve ticari gelir elde edebilir. Dolayısıyla asıl güvenlik ve gizlilik sorusu, takip kodunun varlığından çok, arama sorgularının hangi sunuculara gönderildiği ve bu verilerin ne kadar süreyle saklandığıdır.

İzin istemeden arama motorunu değiştirebilen eklentiler

İncelemenin dikkat çekici yönlerinden biri, bazı eklentilerin arama ayarını değiştirmek için arka planda çalışan karmaşık bir programa ihtiyaç duymaması. Chrome eklentileri, yapılandırma dosyalarında bulunan chrome_settings_overrides özelliğiyle varsayılan arama sağlayıcısını belirleyebiliyor. Bu mekanizma, tarayıcıya eklentinin arama ayarını değiştirmek istediğini bildiriyor.

Araştırmacıların örnek olarak incelediği Safe Game Search eklentisi, yalnızca bir manifest.json dosyası ve üç simge dosyasından oluşuyordu. Eklentide arka planda sürekli çalışan bir servis, ziyaret edilen sayfalara müdahale eden JavaScript kodları veya kullanıcı arayüzü bulunmuyordu. Ayrıca uzantı, arama motorunu değiştirmek dışında ek tarayıcı izinleri de talep etmiyordu.

Bu örnekte yapılandırma dosyası, Chrome’un varsayılan arama motorunu değiştirecek şekilde düzenlenmişti. Kullanıcı adres çubuğuna bir sorgu yazdığında arama isteği search.safesearchgame.com adresine gönderiliyor, arama önerileri ise suggest.safesearchgame.com üzerinden sağlanıyordu. Bu nedenle eklentinin küçük veya kod bakımından basit görünmesi, arama trafiğine etkisinin önemsiz olduğu anlamına gelmiyor.

Chrome, varsayılan arama motorunu değiştirmek isteyen bir eklenti yüklenirken kullanıcıya bu değişikliği bildiren bir onay ekranı sunabiliyor. Fakat bu bildirim, isteğin hangi aracı sunucuya gideceğini veya sonraki aşamada hangi hizmetlere aktarılacağını her zaman açık biçimde ortaya koymuyor. Bir uzantının ek izin istememesi de arama yönlendirmesi yapmadığını kanıtlamıyor; çünkü arama sağlayıcısının değiştirilmesi, eklenti yapılandırması üzerinden gerçekleştirilebiliyor.

Liste dışı yayımlama ve reklamlarla kullanıcıya ulaşma

Şüpheli uzantıların önemli bir bölümü resmî Chrome Web Mağazası’nda yayımlanmış olsa da mağaza aramalarında kolayca bulunmuyordu. Geliştiriciler, mağazadaki liste dışı yayımlama seçeneğinden yararlanarak eklentileri yalnızca doğrudan bağlantıya sahip kişilerin bulabileceği biçimde dağıtabiliyor. Böylece uzantı mağazanın yükleme altyapısını kullanırken genel arama sonuçlarında görünmeyebiliyor.

Kullanıcılar bu bağlantılara çeşitli reklamlar üzerinden yönlendirilebiliyor. Araştırmada Google Ads, Bidbrain ve başka reklam ağlarının yanı sıra küçük internet sitelerinde açılan reklam pencerelerinden söz edildi. Reklamlar, PDF aracı, güvenli arama hizmeti veya ürün kılavuzu bulucu gibi görünen tanıtım sayfalarına götürebiliyor. Buradan verilen bağlantı kullanıcıyı Chrome Web Mağazası’na ulaştırdığında, resmî mağazada bulunması uzantının her yönüyle güvenilir olduğuna dair kesin bir garanti oluşturmuyor.

Bir eklentinin mağazada bulunması, yayınlanma sürecinden geçtiğini gösterir; ancak eklentinin tüm davranışlarının kullanıcı açısından şeffaf olduğu veya zaman içinde değişmeyeceği anlamına gelmez. Kullanıcıların özellikle geliştirici adı, açıklama, yükleme sayısı, güncelleme geçmişi ve istenen izinler arasındaki uyuma dikkat etmesi gerekir. Örneğin yalnızca PDF dosyalarını dönüştürdüğünü söyleyen bir uzantının varsayılan arama motorunu değiştirmek istemesi, açıklanması gereken bir uyumsuzluktur.

Yönlendirme davranışı sunucu tarafından değiştirilebiliyor

Araştırmada incelenen Predator Search adlı eklenti, yönlendirme kararlarının eklenti kodu güncellenmeden de değiştirilebildiğini gösterdi. Yaklaşık 50 bin kullanıcıya ulaştığı bildirilen uzantıyla aynı arama sorgusu altı kez tekrarlandı. Denemelerde dört farklı yönlendirme sonucu elde edildi. Bazı istekler iş ortaklığı takip kodları eklenmiş biçimde doğrudan Yahoo’ya gönderilirken, bazıları searchlio.net adresine veya searchtosearch.com üzerinden mcftink.com alan adına yönlendirildi. Denemelerden birinde Cloudflare kaynaklı, yanıt alınamayan bir hata sayfası görüldü.

Testler sırasında tarayıcı eklentisinin kendisinde herhangi bir değişiklik yapılmadı. Bu durum, yönlendirme hedefinin uzantının içindeki sabit kodla değil, aracı sunucunun verdiği yanıtla belirlenebileceğini düşündürüyor. Eklenti arama isteğini tek bir ara adrese gönderiyor; sunucu ise gelen sorguya, zamana, bölgeye veya başka ölçütlere bağlı olarak farklı bir hedef seçebiliyor. Araştırmanın açıkladığı sonuçlar, her olası karar ölçütünün kullanıldığını kanıtlamıyor; ancak sunucu tarafındaki kontrol mekanizmasının farklı yönlendirme sonuçlarına imkân verdiğini gösteriyor.

Sunucu üzerinden yönetim, operatörlerin yeni bir hedef belirlemek için her kullanıcının eklentisini güncellemesine gerek bırakmıyor. Yönlendirme kuralları merkezi olarak değiştirilebildiğinden, aynı eklenti farklı zamanlarda farklı arama hizmetlerine veya alan adlarına yönlendirme yapabilir. Bu, kullanıcıların eklentiyi ilk yükledikleri gün gördükleri davranışın ileride de aynı kalacağını varsayamayacakları anlamına geliyor.

Aracı sunucular, arama sorgularını ve bağlantı bilgilerini kaydedebilir; sorguları kullanıcıya özel tanımlayıcılarla ilişkilendirirse farklı zamanlarda yapılan aramaları aynı tarayıcı veya kullanıcı profili altında bir araya getirebilir. Bu tür kayıtlar kullanıcıların ilgi alanları ve davranışları hakkında çıkarım yapılmasına olanak tanıyabilir. Araştırmada her eklentinin hangi verileri ne süreyle tuttuğuna ilişkin kapsamlı ve aynı düzeyde doğrulanmış bir kayıt politikası sunulmadığından, toplanan verilerin kapsamı tüm uzantılar için aynı kabul edilmemelidir.

Farklı dönemlerde ortaya çıkan eklenti grupları

İncelemede belirlenen eklentilerin geçmişi 2016 yılına kadar uzanıyor. O yıl yayımlanan Yandex Search uzantısının kaldırılmadan önce yaklaşık 200 bin kullanıcıya ulaştığı bildirildi. 2017’de yayımlanan iki HermesTab eklentisi toplamda yaklaşık 400 bin kullanıcıya erişti. Bu örnekler, arama yönlendirmelerinin yalnızca yeni ortaya çıkan bir yöntem olmadığını; farklı adlar, yayıncılar ve tanıtım biçimleriyle yıllar içinde tekrar görülebildiğini gösteriyor.

Araştırmacılar, 2018’den itibaren Intango LTD tarafından yayımlanan yaklaşık 111 eklentiyi de incelemeye dahil etti. Bu uzantıların toplam yükleme sayısı yaklaşık 2,2 milyon olarak hesaplandı. Eklentiler yaklaşık 279 farklı alan adıyla ilişkilendirildi; çoğunun Yahoo’ya, 15’inin ise Bing’e arama trafiği gönderdiği belirtildi. Alan adı sayısının yüksek olması, aynı işlevin farklı markalar veya adresler altında dağıtılabildiğini gösteriyor; ancak tek başına her alan adının aynı şirket tarafından işletildiğini kanıtlamıyor.

SecuryBrowse adı altında gruplandırılan 58 eklentinin yaklaşık 4,9 milyon kullanıcıya ulaştığı bildirildi. Fire Shield, Wise Ghost, Securify, Protecto ve WatchTower gibi güvenlik çağrışımı yapan adlar taşıyan uzantıların bir bölümü arama motorunu değiştirmenin yanı sıra hassas tarayıcı izinleri de talep ediyordu. Güvenlik temalı bir ad, eklentinin güvenlik ürünü olduğu anlamına gelmediği için bu tür uzantılarda işlev ve izin uyumunu özellikle kontrol etmek gerekiyor.

2025 ve 2026’da yayımlanan Bing-Search grubunda 37 eklenti belirlendi ve grubun yaklaşık 2,2 milyon kullanıcıya ulaştığı aktarıldı. Bu uzantıların önemli bölümünün Bidbrain reklamlarıyla tanıtıldığı belirtildi. Araştırmacılar ayrıca farklı geliştirici hesaplarında yayımlanan 15 uzantının Haziran 2026’da aynı dört günlük dönemde güncellendiğini ve aynı Bing iş ortaklığı takip kodlarını kullandığını tespit etti. Ortak kod ve yakın güncelleme tarihleri bağlantı ihtimalini destekleyen işaretler olsa da, tek başlarına her uzantının aynı kişi tarafından yönetildiğini kesinleştirmez.

Toplam 319 eklentinin 200’ü kimliği belirlenebilen yayıncılar veya şirketlerle ilişkilendirildi. Bu grubun yaklaşık 5,68 milyon yüklemeye ulaştığı belirtildi. Kalan 119 eklentinin yayıncıları kesin olarak belirlenemedi ve bu grubun yaklaşık 7,76 milyon yüklemesi olduğu bildirildi. Yayıncı bilgisinin belirlenememesi, eklentilerin otomatik olarak suç teşkil eden bir faaliyet yürüttüğünü kanıtlamaz; ancak kullanıcıların kiminle veri paylaştığını ve sorumluluğun kime ait olduğunu anlamasını zorlaştırır.

Güvenlik riski ve bulguların sınırları

Arama trafiğinin üçüncü taraf bir sunucudan geçirilmesi, kullanıcı açısından şeffaflık ve gizlilik riski oluşturabilir. Arama sorguları kişisel, sağlıkla ilgili, finansal veya işle ilgili hassas bilgiler içerebilir. Kullanıcı bir arama sağlayıcısına sorgu gönderdiğini düşünürken, isteğin önce başka bir operatörün altyapısına ulaşması bu verilerin kimler tarafından görülebileceği konusunda belirsizlik yaratır.

Yönlendirme altyapısı farklı amaçlarla da kullanılabilecek teknik bir mekanizma sunuyor. Teorik olarak kullanıcılar sahte arama sayfalarına, kimlik avı içeriklerine veya zararlı dosya indirme bağlantılarına yönlendirilebilir. Ancak Socket’in araştırmasında incelenen faaliyetler ağırlıklı olarak arama trafiğinin yönlendirilmesi, takip edilmesi ve reklam ortaklığı gelirleriyle bağlantılı olarak tanımlandı. Bu nedenle olasılık ile doğrulanmış bulguyu ayırmak önemlidir: araştırmacılar altyapının kötüye kullanılabileceğini belirtti, fakat incelenen eklentilerin doğrulanmış biçimde kimlik avı yaptığı veya zararlı yazılım dağıttığı sonucunu paylaşmadı.

Benzer şekilde, bir eklentinin Yahoo veya Bing’e yönlendirme yapması tek başına bu arama sağlayıcılarının söz konusu eklentiyi geliştirdiğini ya da yönlendirme ağını yönettiğini göstermez. Araştırmada kullanılan iş ortaklığı parametreleri ve hedef hizmetler, arama trafiğinin hangi ekosistemlere ulaştığını açıklıyor; eklentilerin tüm taraflarla kurumsal olarak bağlantılı olduğunu kanıtlamıyor. Sorumluluk ve veri işleme ilişkileri için ayrı teknik ve hukuki inceleme gerekir.

Araştırmanın yayımlandığı tarihte şüpheli eklentilerin önemli bir kısmı Chrome Web Mağazası’ndan kaldırılmıştı. Buna rağmen benzer işlevlere sahip yeni uzantıların farklı adlar ve alan adlarıyla ortaya çıkabildiği bildirildi. Bu nedenle yalnızca bilinen bir eklentinin kaldırılmış olmasına güvenmek yeterli olmayabilir; kullanıcıların tarayıcılarındaki mevcut uzantıları düzenli aralıklarla gözden geçirmesi gerekir.

Chrome kullanıcıları neler yapabilir?

Kullanıcılar Chrome’un adres çubuğuna chrome://extensions yazarak yüklü eklentilerin listesini açabilir. Tanınmayan, artık kullanılmayan veya vaat ettiği işle ilgisiz ayarlar isteyen uzantıları bu bölümden kaldırabilirler. Özellikle PDF, güvenlik, yapay zekâ ve arama aracı olarak tanıtılan eklentilerin adını ve yayıncısını kontrol etmek, beklenmeyen bir uzantıyı fark etmeyi kolaylaştırır.

• Varsayılan arama motorunu inceleyin: Chrome’un Ayarlar bölümündeki Arama motoru sayfasını açın ve seçili sağlayıcının beklediğiniz hizmet olduğundan emin olun.

• Eklentilerin amacını ve izinlerini karşılaştırın: Basit bir araç, işleviyle ilgisiz tarayıcı izinleri veya arama ayarı değişikliği istiyorsa uzantıyı yüklememeyi değerlendirin.

• Yayıncı ve güncelleme bilgilerine bakın: Geliştirici adı, mağaza açıklaması, kullanıcı yorumları ve son güncelleme tarihini birlikte değerlendirin. Tek bir olumlu işaret, güvenilirliği kesin olarak kanıtlamaz.

• Arama adresine dikkat edin: Bir arama sırasında beklenmeyen alan adlarına yönlendirme oluyorsa varsayılan arama sağlayıcısını ve yüklü eklentileri yeniden kontrol edin.

• Şüpheli eklentiyi kaldırın: Kullanmadığınız veya güvenmediğiniz uzantıları kapatmak yerine tamamen kaldırmak, tarayıcı ayarlarını değiştirmeye devam etmelerini önlemeye yardımcı olur.

Arama motoru ayarı kullanıcı müdahalesi olmadan değişiyorsa, tanınmayan adreslere yönlendirme görülüyorsa veya kaldırılan bir eklenti yeniden beliriyorsa Chrome ayarları sıfırlanabilir. Bu işlem, tarayıcının varsayılan yapılandırmasını geri yüklemeye yardımcı olur. Chrome’un sıfırlama seçeneği kayıtlı yer imlerini ve şifreleri silmez; yine de kullanıcıların işlem öncesinde ekrandaki açıklamayı kontrol etmesi ve önemli verilerinin yedeğini bulundurması iyi bir uygulamadır.

Şüpheli eklentiler kaldırıldıktan sonra bilgisayarda güncel bir güvenlik yazılımıyla tam sistem taraması yapmak da önerilebilir. Bu adım, araştırmada incelenen her eklentinin zararlı yazılım içerdiği anlamına gelmez; genel güvenlik kontrolü amacı taşır. En önemli önlem ise eklentiyi yalnızca adı veya mağazada bulunması nedeniyle güvenilir kabul etmemek, tarayıcı ayarlarını düzenli olarak kontrol etmek ve arama trafiğinin hangi sağlayıcıya gittiğini bilmektir.