369 extensions VPN douteuses ciblent les Russes sur Chrome, dont de faux Windscribe et ExpressVPN

À mesure que la Russie serre la vis sur les VPN, le Chrome Web Store se remplit d’extensions VPN destinées aux internautes russes dont personne ne peut se porter garant. Une enquête de TechRadar publiée le 22 octobre en a recensé 369 qui échouent aux tests de transparence les plus simples, avec plus de 218 000 utilisateurs au total. Certaines empruntent le nom de vrais VPN, dont Windscribe et ExpressVPN.

Aucune n’est confirmée comme malveillante. Ce n’est pas aussi rassurant qu’il y paraît.

Ce que TechRadar a trouvé

Selon l’enquête de TechRadar, signée Samuel Woodhams avec la contribution de Mike Williams :

• 369 extensions du Chrome Web Store ciblent les utilisateurs russes et échouent aux vérifications de transparence de base.
• Plus de 218 000 utilisateurs les ont installées au total.
• 70 développeurs sont liés à l’ensemble. Une seule adresse e-mail est associée à 24 applis.
• Plus de 120 utilisent des noms liés à des marques légitimes. Le plus copié est Happ, un client proxy populaire en Russie, repris par plus de 15 extensions.
• Sept imitent Windscribe et cinq se font passer pour ExpressVPN.

TechRadar reste prudent : il ne dit pas que ces extensions sont des malwares. Le problème, c’est l’anonymat. Personne ne sait qui les gère, où passe le trafic ni ce qu’on en fait. Or une extension VPN voit, par construction, une bonne partie de ce que vous faites dans votre navigateur.

TechRadar est aussi revenu sur une alerte plus ancienne. Palo Alto Networks avait signalé plus de 350 applis liées à la collecte de données d’utilisateurs par interception du trafic. TechRadar en a retrouvé 89 toujours disponibles.

Google n’avait pas répondu à la demande de commentaire au moment de la publication. TechRadar dit avoir transmis la liste complète à Google et suivre leur disponibilité.

Pourquoi la Russie, et pourquoi maintenant

La demande, évidemment. Depuis deux ans, la Russie bloque des protocoles VPN, fait retirer des applis VPN des boutiques et sanctionne la publicité pour les VPN. Nous suivons la façon dont les autorités détectent le trafic VPN dans notre article sur les méthodes de détection des VPN en Russie.

La pression ne retombe pas. Le 19 octobre, TechRadar a relayé un article de Kommersant selon lequel les autorités russes avaient étudié l’usage de l’IA pour repérer et bloquer les VPN, avec une efficacité annoncée de 95 %, dans un projet de plan national IA à l’horizon 2030. Le ministère du Développement numérique affirme que cette mesure ne figure pas dans la version actuelle du plan. Le même projet prévoit de multiplier par 2,5 la capacité de filtrage du trafic, jusqu’à 954 térabits par seconde d’ici 2030.

Quand les grandes applis sont difficiles à obtenir et que les gens veulent n’importe quoi qui se connecte, les copies anonymes comblent le vide. Une extension Chrome est particulièrement facile à publier et à installer, sans un contrôle aussi strict que celui d’Apple.

Pourquoi une extension VPN louche est pire que pas de VPN du tout

Une extension VPN demande en général l’autorisation de « lire et modifier toutes vos données sur tous les sites web ». C’est comme ça qu’elle fait passer votre navigation. Ça veut aussi dire que le code du développeur peut voir les pages que vous ouvrez et, en principe, ce que vous y tapez.

On a déjà vu à quoi cet accès peut servir. En décembre 2025, des chercheurs ont découvert que l’extension Urban VPN Proxy, qui avait un badge « Recommandé » sur le Chrome Web Store, captait les conversations de ses utilisateurs avec les chatbots IA et les envoyait à ses serveurs. Nous détaillons l’affaire dans Urban VPN est-il sûr ?

Pour les utilisateurs russes, le risque va plus loin. Si une extension VPN anonyme enregistre votre trafic, vous n’avez aucune idée de qui pourrait finir par récupérer ces logs.

Comment repérer une fausse extension VPN

Avant d’installer une extension VPN, vérifiez ceci :

1. Le nom du développeur. Sur la fiche du store, descendez jusqu’aux informations sur le développeur. Une vraie extension Windscribe ou ExpressVPN est publiée par l’entreprise elle-même, avec un lien vers son site officiel.
2. Installez depuis le site du fournisseur. Allez sur le site officiel du VPN et utilisez son lien de téléchargement pour l’extension Chrome. Ne cherchez pas dans le store en cliquant sur le premier résultat.
3. Le site et la politique de confidentialité. Pas de site, une page générique ou une politique qui ne nomme aucune société : autant de signaux d’alerte.
4. Le nombre d’utilisateurs et les avis. Un VPN « célèbre » avec quelques centaines d’utilisateurs n’est pas ce VPN. Lisez les avis à une étoile, pas seulement ceux à cinq.
5. L’existence d’une offre payante. Un VPN sans abonnement et sans pub a quand même des serveurs à payer. Demandez-vous comment.
6. La connexion à un compte. Les vraies extensions Windscribe et ExpressVPN demandent de se connecter à votre compte chez ce fournisseur.

Si vous avez installé quelque chose qui échoue à ces vérifications, supprimez-le : dans Chrome, cliquez sur l’icône puzzle, puis Gérer les extensions, puis Supprimer. Changez ensuite les mots de passe des sites sur lesquels vous vous êtes connecté pendant qu’elle était active.

Ce problème ne concerne pas que la Russie

L’enquête porte sur les extensions destinées aux russophones, mais le schéma ne s’arrête pas aux frontières russes. Tapez « VPN gratuit » dans la boutique d’extensions de n’importe quel navigateur et vous trouverez des dizaines de fiches presque identiques, avec des noms génériques, des logos de banque d’images et aucune société derrière. Dès que la demande grimpe (nouvelle loi de vérification d’âge, réseau social bloqué, grand événement sportif derrière un paywall), il en apparaît de nouvelles. Les vérifications ci-dessus valent dans toutes les langues et tous les pays.

De vraies extensions chez des fournisseurs audités

Plusieurs VPN de notre base ont de vraies extensions Chrome, publiées par les fournisseurs eux-mêmes. D’après nos données (notes sur 5) :

Notre guide des meilleures extensions VPN pour Chrome les compare en détail. Gardez en tête qu’une extension ne protège que votre navigateur. Pour les applis, les jeux et le trafic système, il faut l’appli complète pour ordinateur ou mobile.

Si vous en voulez une digne de confiance, l’extension de NordVPN est publiée par Nord Security, couverte par une politique no-logs auditée par PwC, et rattachée au VPN le mieux noté de notre base.

Obtenir NordVPN et son extension Chrome officielle

Envie de comparer tous les VPN côte à côte ? Consultez notre tableau comparatif complet avec les scores sur 18 critères.

Et pour les utilisateurs en Russie ?

Nous ne pouvons pas donner de conseil juridique, et la situation russe évolue vite. Ce qu’on peut dire, c’est que le risque d’une extension inconnue y est plus élevé, pas moins. Si vous avez besoin d’un VPN en Russie, installez-le avant de partir, utilisez l’appli du fournisseur plutôt qu’une recherche dans le store, et gardez une seconde option sous la main au cas où l’une serait bloquée. Notre guide du meilleur VPN pour la Russie fait le point sur ce qui marche encore.

Notre avis

Ce qui nous gêne le plus, c’est l’échelle. Un seul store laisse des centaines de développeurs anonymes publier des outils qui s’intercalent entre les utilisateurs et tout ce qu’ils font en ligne, sous des noms empruntés à des entreprises avec lesquelles ils n’ont rien à voir. La réponse de Google, quand elle viendra, dira si le Chrome Web Store traite les extensions VPN comme la catégorie à haut risque qu’elles sont.

D’ici là, la règle est simple : si vous ne savez pas qui gère un VPN, ne l’installez pas.