Et sikkerhedsfirma har afsløret en af de største bedragssager i Chrome Web Stores historie målrettet VPN-brugere. 737 gratis VPN- og proxy-udvidelser viste sig at lede al browsertrafik gennem en fælles proxy-infrastruktur, som en ukendt operatør styrede. 274 af udvidelserne kopierede navn og logo fra 66 kendte VPN- og privatlivsmærker, deriblandt NordVPN, Proton VPN og Surfshark. Sagen rejser et ubehageligt spørgsmål for danske og nordiske brugere: hvor sikker er en “gratis VPN-udvidelse”, man henter direkte fra Chrome Web Store?
737 falske VPN-udvidelser opdaget i Chrome Web Store
Opdagelsen kommer fra Socket, et sikkerhedsfirma der overvåger softwareforsyningskæder, og blev offentliggjort den 12. august 2026. Analysen kortlagde 737 udvidelser, der alle udgav sig for at være VPN- eller proxy-værktøjer i Chrome Web Store. Tilsammen havde de 75.486 installationer, før researcherne slog alarm. Det gør kampagnen til en af de bredeste af sin slags, som er blevet dokumenteret med et konkret tal på antallet af berørte udvidelser og installationer.
Ifølge Socket blev udvidelserne offentliggjort gennem mindst 40 forskellige udviklerkonti i Chrome Web Store. Mønstret i koden peger dog på, at én aktør stod bag dem alle. Frem for at levere en reel VPN-tjeneste dirigerede udvidelserne i stedet brugerens fulde browsersession gennem en proxy-server, som aktøren selv kontrollerede. Bitdefenders HotforSecurity-blog og det tyske medie gHacks har begge bekræftet tallene efter selv at have gennemgået Socket-rapporten.
Sådan blev kampagnen afsløret
Socket’s trusselsforskere fandt frem til kampagnen ved at analysere mønstre i udvidelsers kildekode og netværksadfærd på tværs af Chrome Web Store. Firmaet hentede 522 af de mistænkelige pakker og undersøgte, hvad de faktisk gjorde efter installation. Resultatet var slående ensartet: 520 ud af de 522 undersøgte pakker konfigurerede Chrome til at sende næsten al trafik gennem en fast SOCKS5-proxy på port 1082.
Kun lokale adresser som localhost, 127.0.0.1 og ::1 var undtaget fra omdirigeringen. Alt andet, altså almindelig websurfing, login-sessioner og formularudfyldning, blev sendt gennem den samme centrale proxy. Det betyder i praksis, at én operatør kunne se destinationer, metadata og i mange tilfælde ukrypteret indhold fra tusindvis af brugeres browsersessioner samtidig.
Nøgletal: omfanget af de falske VPN-udvidelser
Tabellen nedenfor samler de centrale tal fra Socket’s undersøgelse, som efterfølgende er blevet bekræftet af flere uafhængige medier.
| Måltal | Antal |
|---|---|
| Samlet antal falske VPN/proxy-udvidelser | 737 |
| Samlede installationer på tværs af alle udvidelser | 75.486 |
| Udvidelser, der efterlignede et kendt mærke | 274 |
| Kendte VPN/privatlivsmærker, der blev kopieret | 66 |
| Udviklerkonti brugt til publicering | 40+ |
| Pakker Socket analyserede i detaljer | 522 |
| Pakker, der rutede trafik via SOCKS5 på port 1082 | 520 |
| Udvidelser fjernet af Google ved rapportens udgivelse | 221 |
| Udvidelser, der stadig var aktive | 516 |
| Installationer knyttet til de resterende aktive udvidelser | 58.318 |
Sådan virkede den tekniske infrastruktur bag angrebet
Teknikken bag kampagnen var enkel, men effektiv. En falsk VPN-udvidelse beder normalt om brede tilladelser under installation, herunder retten til at ændre browserens proxyindstillinger og læse trafik på alle websteder. De fleste brugere klikker sig igennem den tilladelse uden at tænke over det, fordi udvidelsen ser ud til at komme fra et mærke, de allerede kender og stoler på.
Når udvidelsen først var installeret, satte den Chrome til at sende trafikken gennem SOCKS5-proxyen frem for gennem brugerens almindelige internetforbindelse. Der var ingen reel kryptering af den type, man forventer af en betalt VPN-tjeneste, og ingen af de 737 udvidelser var underlagt en uafhængig sikkerhedsrevision. I stedet fungerede de som et samlet aflytningspunkt, hvor operatøren kunne se, hvilke sider brugerne besøgte, og i visse tilfælde læse ukrypteret trafik direkte.
Hvorfor port 1082 er interessant
At så mange som 520 ud af 522 undersøgte pakker pegede på nøjagtig samme port og protokol, er det stærkeste tekniske bevis for, at kampagnen var koordineret. En reel konkurrence mellem 737 uafhængige VPN-udbydere ville naturligt give forskellig infrastruktur. Her var mønstret i stedet identisk på tværs af udvidelser med helt forskellige navne og logoer, hvilket bekræfter, at det reelt var ét produkt genbrugt under 66 forskellige forklædninger.
// Tjek hurtigt, om Chrome bruger en manuel proxy
// Åbn chrome://net-internals/#proxy i adresselinjen
// På macOS kan du se den aktive proxy for netværket via:
networksetup -getsocksfirewallproxy "Wi-Fi"
// Sammenlign din offentlige IP før og efter en udvidelse er slået fra:
curl -s https://api.ipify.org
Hvilke VPN-mærker blev efterlignet
Det mest bekymrende element i sagen er, hvor kendte de kopierede mærker er. Ifølge Socket, The Hacker News og Bitdefender genbrugte de falske udvidelser navne, ikoner og produktbeskrivelser fra etablerede tjenester som NordVPN, Proton VPN, Surfshark, ExpressVPN, CyberGhost, Windscribe, AdGuard VPN, Browsec, TunnelBear og Cloudflares egne værktøjer 1.1.1.1 og WARP. Ingen af disse selskaber stod bag de falske udvidelser. De var alene ofre for identitetstyveri i Chrome Web Store.
For en dansk bruger, der søger “gratis VPN” i Chrome Web Store, er problemet, at et velkendt navn som NordVPN eller Proton VPN normalt fungerer som et tillidssignal. Når det signal bliver misbrugt direkte i søgeresultaterne, mister almindelige beskyttelsesvaner som at “kun installere kendte mærker” en stor del af deres værdi. Det kræver i praksis, at brugeren tjekker udviklerens navn og antal reelle anmeldelser, ikke kun logoet.
Hvem var målet: russisktalende brugere og resten af verden
Flere kilder, herunder det russiske sikkerhedsmedie Xakep og det spanske vpnlab.io, peger på, at hovedparten af udvidelserne primært var rettet mod russisktalende brugere, som søgte adgang til tjenester blokeret af myndighederne. Beskrivelser og markedsføringstekster i mange af udvidelserne var skrevet med den målgruppe for øje.
Men udvidelserne lå frit tilgængelige i den globale Chrome Web Store, hvilket betyder, at enhver Chrome-bruger i Danmark, Sverige, Norge eller resten af Europa kunne finde og installere dem uden geografisk begrænsning. En dansk studerende, der søgte gratis adgang til udenlandsk streamingindhold, eller en freelancer, der ville skjule sin IP-adresse på et offentligt netværk, ville se præcis samme søgeresultater som en bruger i Moskva.
Googles oprydning: 221 fjernet, 516 stadig aktive
Da Socket offentliggjorde sin rapport den 12. august, havde Google allerede fjernet 221 af de flagede udvidelser fra Chrome Web Store. Det efterlod dog 516 udvidelser, som stadig var tilgængelige til download, med tilsammen 58.318 installationer knyttet til dem. Det svarer til, at over to tredjedele af de oprindelige installationer fortsat var eksponeret, da nyheden ramte offentligheden.
Google har generelt en politik om at fjerne udvidelser, der overtræder reglerne for skadelig eller vildledende adfærd i Chrome Web Store Developer Program Policies, men der er ikke kommet en detaljeret offentlig redegørelse fra selskabet om, hvordan 40 udviklerkonti kunne udgive 737 tilsyneladende ens udvidelser uden at blive stoppet tidligere. Det rejser et spørgsmål om, hvor godt automatiseret gennemgang og manuel kontrol reelt fanger koordinerede kampagner af denne størrelse, før de når titusindvis af brugere.
Historisk perspektiv: et gentaget mønster i Chrome Web Store
Falske browserudvidelser er ikke et nyt fænomen. Sikkerhedsforskere og incident response-teams har i flere år advaret om, at Chrome Web Store gentagne gange bliver brugt til at distribuere udvidelser, der sælger brugerdata videre, indsætter reklamer eller kaprer søgeresultater. Det nye ved denne sag er, at Socket for første gang satte et præcist tal på problemet inden for netop VPN- og proxy-kategorien: 737 udvidelser fra én koordineret kilde.
Tidligere sager om ondsindede udvidelser har ofte handlet om reklamesvindel eller datahøst i mindre skala og med spredte, ukoordinerede aktører. Denne kampagne skiller sig ud ved den systematiske brug af samme SOCKS5-infrastruktur og den bevidste efterligning af 66 navngivne mærker på tværs af hundredvis af udgivelser. Det ligner mere en produktionslinje end enkeltstående svindelforsøg.
Konkurrencesammenligning: gratis Chrome-udvidelse vs. revideret VPN-app
Sagen sætter en tydelig kontrast op mellem gratis browserudvidelser uden tilsyn og de etablerede VPN-udbydere, som de seneste år har underlagt sig uafhængige revisioner for at bevise deres no-logs-politik. NordVPN har for eksempel gennemført sin sjette uafhængige no-logs-revision, og Proton VPN har gennemført sin femte, begge udført af anerkendte revisionsfirmaer. Tabellen nedenfor stiller de to modeller op mod hinanden.
| Egenskab | Falsk gratis Chrome-udvidelse | Etableret, revideret VPN-udbyder |
|---|---|---|
| Uafhængig sikkerhedsrevision | Ingen | Ja, gentagne revisioner |
| Kendt juridisk enhed bag produktet | Ukendt operatør bag 40+ konti | Registreret selskab med offentlig adresse |
| Krypteringsprotokol | Ingen reel VPN-kryptering, kun SOCKS5-proxy | WireGuard, OpenVPN eller lignende |
| Gennemsigtighed om serverdrift | Skjult, fælles proxy-infrastruktur | Offentligt listede servere og lande |
| Pris | Gratis, men trafik potentielt overvåget af operatør | Typisk 30-90 DKK pr. måned |
| Ansvar ved databrud | Intet kendt kontaktpunkt | Underlagt GDPR og virksomhedsansvar |
Markedspåvirkning for den etablerede VPN-branche
For selskaber som NordVPN, Surfshark og Proton VPN er sagen på papiret en ekstern trussel, men den kan også vise sig at være en fordel på længere sigt. Når 66 mærker bliver efterlignet i én samlet svindelkampagne, understreger det værdien af de investeringer, de rigtige udbydere allerede har lagt i uafhængige revisioner og verificerede apps uden for browserudvidelser. Brugere, der har læst om sagen, vil formentlig være mere tilbøjelige til at hente VPN-software direkte fra udbyderens officielle hjemmeside eller app-butik frem for via en søgning i Chrome Web Store.
Samtidig lægger sagen pres på Google til at stramme kontrollen med, hvem der må udgive sig for at være en kendt VPN-tjeneste. Hvis Chrome Web Store fortsat fremstår som et sted, hvor identitetstyveri af store mærker kan foregå i stor skala, risikerer platformen at miste tillid som distributionskanal, selv for de legitime udvidelser, der faktisk findes der.
Sagen føjer sig desuden til en længere række historier i 2026, hvor VPN-branchens troværdighed er blevet testet fra flere kanter samtidig. Mens flere store udbydere har brugt året på at samle beviser for deres no-logs-løfter gennem uafhængige revisioner, viser denne sag den modsatte side af mønten: jo mere et mærke bliver forbundet med sikkerhed og privatliv, desto mere attraktivt bliver det som skjul for aktører, der vil det stik modsatte. Det skaber et paradoks, hvor de mest troværdige navne i branchen samtidig bliver de mest udsatte for at blive misbrugt af andre.
Dansk og nordisk relevans
Selvom hovedparten af målgruppen ifølge researcherne var russisktalende, er sagen relevant for danske og nordiske brugere af flere grunde. Chrome er den mest udbredte browser i Danmark, og Chrome Web Store er samme butik uanset sprogindstilling. Flere af de kopierede mærker, herunder NordVPN, Surfshark og Proton VPN, hører desuden til blandt de mest populære VPN-tjenester i Norden. En dansk bruger, der googler et af disse navne sammen med “gratis udvidelse”, risikerer at lande på et af de falske resultater, hvis udvidelsen endnu ikke er fjernet.
Trafik, der bliver rutet gennem en ukendt operatørs proxy, falder desuden uden for enhver beskyttelse, som GDPR ellers ville give en dansk bruger over for et EU-baseret selskab. Operatøren bag de 737 udvidelser er ukendt, hvilket betyder, at der ikke findes en identificerbar dataansvarlig at klage til hos Datatilsynet, hvis ens data bliver misbrugt.
Danske virksomheder, der stiller Chrome til rådighed for medarbejdere uden central styring af, hvilke udvidelser der må installeres, står med en ekstra risiko. En medarbejder, der på egen hånd installerer en gratis VPN-udvidelse på en firmabærbar for at omgå en netværksbegrænsning, kan uforvarende sende arbejdsrelateret trafik, herunder login til interne systemer, gennem en fremmed proxy. IT-afdelinger bør derfor overveje at bruge Chromes virksomhedspolitikker til at begrænse, hvilke udvidelser der kan installeres, frem for at stole på, at den enkelte medarbejder selv kan vurdere, om en udvidelse er ægte.
Sådan tjekker du dine egne Chrome-udvidelser
Der er heldigvis konkrete skridt, danske brugere kan tage for at finde ud af, om de har installeret en af de berørte udvidelser. Start med at åbne chrome://extensions i adresselinjen og gennemgå listen med et kritisk blik på alt, der beskriver sig selv som “free VPN” eller “proxy” uden et kendt firmanavn i udviklerfeltet.
- Åbn chrome://extensions og fjern enhver VPN- eller proxy-udvidelse, du ikke aktivt genkender eller bruger.
- Tjek udviklerens navn under udvidelsens detaljer, ikke kun logoet og titlen.
- Gå til chrome://net-internals/#proxy for at se, om browseren peger på en manuel proxy-adresse, du ikke selv har sat op.
- Skift adgangskode til vigtige konti, hvis du har brugt en mistænkelig udvidelse til at logge ind på følsomme tjenester.
- Hent fremover VPN-software direkte fra udbyderens officielle hjemmeside frem for via en Chrome-udvidelse alene.
Reguleringsvinklen: EU, DSA og Chrome Web Stores ansvar
Sagen kommer på et tidspunkt, hvor EU allerede har skærpet kravene til store digitale platforme gennem Digital Services Act, som pålægger platforme som Google et ansvar for at reagere hurtigt på ulovligt eller vildledende indhold, herunder svindel med falske produkter. En koordineret kampagne med 737 udvidelser, der efterligner 66 navngivne virksomheder, falder direkte inden for den type problem, DSA er designet til at adressere. Det ligner i omfang de milliardstore GDPR-sager, EU-tilsynsmyndigheder allerede har rejst mod store platforme, blandt andet den hollandske tilsynsmyndigheds fine på 825 millioner euro mod Uber i august 2026, selvom de to sager juridisk hører under forskellig lovgivning.
De 66 ramte VPN-selskaber har desuden en åbenlys interesse i at forfølge sagen som varemærkekrænkelse, uafhængigt af DSA. Om nogen af dem vælger at lægge pres på Google gennem juridiske kanaler, vides ikke på nuværende tidspunkt, men presset fra både regulering og brancheinteresser peger i samme retning: strammere kontrol med, hvem der må bruge kendte VPN-navne i Chrome Web Store.
Fem forudsigelser for resten af 2026
Baseret på sagens forløb og tidligere mønstre i branchen er der en række sandsynlige udviklinger at holde øje med i de kommende måneder.
- Google vil sandsynligvis stramme godkendelsesprocessen specifikt for udvidelser i kategorierne VPN, proxy og “privacy tools”, da presset fra sagen er svært at ignorere.
- Flere lignende kampagner vil formentlig dukke op i andre populære kategorier, som adblockere og skærmoptagere, hvor brugere ligeledes stoler blindt på et genkendeligt navn.
- Etablerede VPN-udbydere vil trolig øge deres egen overvågning af Chrome Web Store for hurtigere at opdage og anmelde efterligninger af deres eget brand.
- EU-tilsynsmyndigheder vil sandsynligvis bruge sagen som eksempel i den fortsatte debat om, hvor langt DSA-forpligtelser rækker for app- og udvidelsesbutikker.
- Efterspørgslen efter uafhængige sikkerhedsanalyser af browserudvidelser vil trolig stige, efterhånden som flere virksomheder og brugere bliver opmærksomme på, hvor let et logo kan kopieres.
Ofte stillede spørgsmål
Hvor mange falske VPN-udvidelser blev fundet i Chrome Web Store?
Socket identificerede 737 gratis VPN- og proxy-udvidelser, som tilsammen havde 75.486 installationer, da rapporten blev offentliggjort den 12. august 2026.
Hvilke VPN-mærker blev efterlignet af de falske udvidelser?
274 af udvidelserne kopierede navn og logo fra 66 kendte mærker, herunder NordVPN, Proton VPN, Surfshark, ExpressVPN, CyberGhost, Windscribe, AdGuard VPN, Browsec, TunnelBear og Cloudflares 1.1.1.1 og WARP.
Har jeg installeret en af de falske VPN-udvidelser?
Åbn chrome://extensions og se efter enhver VPN- eller proxy-udvidelse, du ikke aktivt genkender, eller hvor udviklernavnet ikke matcher det mærke, udvidelsen udgiver sig for at være.
Har Google fjernet alle de falske udvidelser?
Nej. Da Socket offentliggjorde sin rapport, havde Google fjernet 221 udvidelser, men 516 var stadig aktive med tilsammen 58.318 installationer.
Var det kun russiske brugere, der blev ramt?
Målgruppen var primært russisktalende brugere, der søgte adgang til blokerede tjenester, men udvidelserne lå frit tilgængelige globalt i Chrome Web Store og kunne installeres af enhver bruger, herunder i Danmark og resten af Norden.
Hvordan adskiller en revideret VPN-tjeneste sig fra en gratis Chrome-udvidelse?
Etablerede udbydere som NordVPN og Proton VPN har underlagt sig gentagne uafhængige no-logs-revisioner og bruger krypteringsprotokoller som WireGuard, mens de falske udvidelser blot rutede trafik gennem en ukendt SOCKS5-proxy uden nogen form for revision eller ansvarlig juridisk enhed.
Kan jeg klage til Datatilsynet, hvis mine data er blevet misbrugt af en af udvidelserne?
Det er vanskeligt i praksis, fordi operatøren bag de 737 udvidelser er ukendt og ikke er en identificerbar dataansvarlig under GDPR. Det bedste værn er at fjerne udvidelsen og skifte adgangskoder på konti, der er blevet tilgået gennem den.
Hvordan kan jeg beskytte mig mod lignende kampagner fremover?
Hent VPN-software direkte fra udbyderens officielle hjemmeside i stedet for via en søgning i Chrome Web Store, tjek udviklernavnet på enhver udvidelse før installation, og vær ekstra skeptisk over for gratis værktøjer, der beder om adgang til at læse og ændre data på alle websteder.
