El 29 de octubre de 2026, Socket publicó una investigación que identificó 319 extensiones de Chrome que cambiaban el buscador predeterminado y enviaban consultas a través de servidores intermediarios controlados por operadores. Socket cifró en unos 13,4 millones el alcance histórico, medido en usuarios o instalaciones a lo largo de una década. Socket
Los recuentos publicados dan cifras distintas
BleepingComputer presentó el hallazgo como una ampliación de 57 extensiones identificadas previamente con otras 264. Esa suma da 321, dos más que las 319 extensiones que identificó Socket. Para los usuarios, el mismo recuento citó 6 millones en la investigación anterior y 8,7 millones en las nuevas extensiones: juntos suman 14,7 millones, frente a los 13,4 millones de la estimación general de Socket.
El desglose de Socket por atribución de operadores suma 319 extensiones y aproximadamente 13,44 millones de usuarios históricos. Esta última cifra se redondea a 13,4 millones; los componentes citados por BleepingComputer producen totales distintos.
Cómo podían redirigir las búsquedas
Socket describió el uso de chrome_settings_overrides, una opción del manifiesto de una extensión que permite cambiar el buscador predeterminado de Chrome. En el ejemplo analizado por Socket, la extensión no solicitaba permisos ni incluía un service worker en segundo plano o scripts de contenido.
Aun así, las búsquedas podían pasar por un proxy, es decir, un servidor intermediario controlado por el operador. Según Socket, ese servidor podía registrar consultas y elegir el destino de cada solicitud. La compañía también describió identificadores de referencia asociados a Yahoo y Bing, que podían generar ingresos para los operadores cuando las búsquedas llegaban a esos servicios.
La prueba de Predator Search
En una prueba reportada por Socket, seis búsquedas idénticas hechas con Predator Search acabaron en cuatro destinos mientras la extensión permanecía sin cambios. Hubo búsquedas que llegaron a Yahoo con etiquetas de socio, otras que pasaron por una página de searchlio.net o por los dominios searchtosearch.com y mcftink.com, y una que terminó en un error de Cloudflare. Socket atribuyó la elección variable del destino al proxy.
Socket planteó como riesgo futuro que el operador cambiara esos destinos por páginas de phishing o descargas maliciosas.
Las estimaciones por operador
Socket clasificó 200 extensiones como asociadas a operadores identificados y 119 a operadores desconocidos. Sus estimaciones históricas aproximadas son:
| Atribución de Socket | Extensiones | Usuarios históricos aproximados |
| Operadores identificados | 200 | 5,68 millones |
| Operadores desconocidos | 119 | 7,76 millones |
Socket situó los orígenes de la actividad en 2016. Entre los grupos que describió, SecuryBrowse reunía 58 extensiones y unos 4,9 millones de usuarios; Bing-Search, 37 extensiones y aproximadamente 2,21 millones.
