Uma extensão do Chrome perigosa se reconhece primeiro pelo que ela pede: permissões que não têm nada a ver com o que ela faz, um desenvolvedor que não dá para identificar, uma página na loja que não diz nada sobre os seus dados. Mas uma extensão saudável também pode mudar de dono ou ser invadida, e se tornar maliciosa de um dia para o outro com uma simples atualização. Este guia mostra o que verificar antes de instalar, o que o Chrome faz por você e o que fazer quando uma extensão sai do controle.
Por que uma extensão pode ser perigosa
Uma extensão não é um site que você visita: ela vive dentro do navegador, e o que você permite que ela faça, ela faz em todas as páginas. Uma extensão autorizada a ler e modificar todos os seus dados nos sites que você visita vê o que você vê: os e-mails que você abre no navegador, os formulários que preenche, as páginas do seu banco. Ela também pode modificar essas páginas, incluir anúncios ou desviar um link.
Ela se atualiza sozinha, sem perguntar nada enquanto as permissões continuarem as mesmas. É prático, e é aí que está o ponto fraco: a extensão que você instalou há três anos não é necessariamente a que está rodando hoje.
Três histórias reais
Elas mostram que o perigo nem sempre vem de uma extensão que já parecia suspeita na instalação.
The Great Suspender, 2021. Uma extensão muito querida, que colocava as abas sem uso para dormir e liberava memória. O autor a passou em 2020 para um comprador que nunca se identificou. Alguns meses depois, uma nova versão carregava código de um servidor externo. O Google a retirou da loja no início de 2021 e a desativou nos computadores, com o aviso de que ela continha malware.
Cyberhaven, Natal de 2024. Justamente uma empresa de segurança. Um e-mail falso da Chrome Web Store, ameaçando remover a extensão, levou um funcionário a autorizar um aplicativo armadilha. Os invasores publicaram em 25 de dezembro uma versão adulterada, instalada automaticamente nos usuários, que roubava as sessões abertas. Ela foi retirada no mesmo dia, mas a mesma campanha atingiu outras extensões.
Extensões em destaque, 2025. Pesquisadores da Koi Security encontraram cerca de uma dúzia de extensões comuns, conta-gotas de cor, teclados de emoji, VPNs, algumas com o selo de destaque da loja. Elas se comportaram bem por muito tempo, até que uma atualização lhes deu meios de seguir cada página visitada e redirecionar o navegador.
A lição é a mesma nas três vezes: nem a popularidade nem um selo protegem de uma atualização ruim. O que protege é instalar poucas extensões, conceder só o necessário e olhar de vez em quando o que está instalado.
Antes de instalar: ler a página da loja
Instale apenas pela Chrome Web Store: uma extensão oferecida por um site, um e-mail ou uma janela pop-up escapa dos controles dela. Depois, leia a página da extensão, sobretudo a parte de baixo, aonde ninguém chega:
- o desenvolvedor: um nome, um site que existe e fala da extensão, um endereço de contato. Na União Europeia, a página também informa se ele se declarou comerciante, o que o obriga a respeitar o direito europeu,
- a seção Privacidade: os dados que a extensão declara tratar e os compromissos dela, não vendê-los e não usá-los para nada além da sua função. Uma página que declara muitos dados para uma função pequena merece uma segunda olhada,
- a data da última atualização: uma extensão abandonada há anos não é perigosa em si, mas está à venda, e é assim que muitas dessas histórias começam,
- as avaliações mais recentes: uma mudança brusca de tom, “desde a última versão, anúncios por todo lado”, é o primeiro sinal de um novo dono.
Fuja de uma extensão que copia o nome de outra muito conhecida, com um erro de digitação ou uma palavra a mais: é um truque comum para juntar instalações.
As permissões que devem acender o alerta
Na instalação, o Chrome mostra o que a extensão poderá fazer. É a janela mais importante, e a menos lida. Depois, a mesma lista aparece na página da extensão: chrome://extensions e o botão Saiba mais do cartão dela. Esta é a de uma extensão de exemplo criada para este guia, que pede muito.
A pergunta para cada linha: o que a extensão faz realmente exige isso?
- Ler e modificar todos os seus dados nos sites que você visitar: a mais ampla. Normal para um bloqueador de anúncios, um gerenciador de senhas ou um corretor ortográfico, que precisam agir em todas as páginas. Suspeita para um conta-gotas de cor, um cronômetro ou um papel de parede,
- Ler e modificar o histórico de navegação: a extensão sabe aonde você vai. Raramente necessário,
- Ler dados que você copia e cola: uma senha copiada, um número de cartão, tudo passa por ali,
- Gerenciar apps, extensões e temas: uma extensão capaz de desligar outras, inclusive as que protegem você.
Se uma atualização pedir uma permissão nova que mereça um aviso, o Chrome desativa a extensão e espera a sua aprovação para religá-la. Não clique no automático: é exatamente o momento em que uma extensão vendida muda de natureza.
Limitar o que uma extensão pode ver
Na mesma página, a seção Acesso a sites oferece três opções:
- Ao clicar: a extensão não faz nada até você clicar no ícone dela, na página aberta,
- Em sites específicos: só nos sites que você indicar,
- Em todos os sites: o padrão das extensões que pedem esse acesso.
“Ao clicar” combina com muitas extensões que a gente usa só de vez em quando: um tradutor, uma ferramenta de captura de tela, uma ferramenta de desenvolvedor. O nosso guia para gerenciar extensões do Chrome detalha essa página, de fixar a remover.
A proteção reforçada do Chrome
O Chrome compara extensões, sites e downloads com as listas da Navegação segura do Google. A opção fica nas configurações do Chrome, em Privacidade e segurança e depois Segurança.
- Proteção padrão, a de todo mundo: o Chrome bloqueia o que é conhecido como perigoso,
- Proteção reforçada: o Chrome também verifica em tempo real, e a loja avisa antes de você instalar uma extensão de um desenvolvedor que ela ainda não conhece. O Google só confia em um desenvolvedor depois de alguns meses respeitando as regras: o aviso não diz que a extensão é maliciosa, só que ela é nova ou que o desenvolvedor ainda não provou nada.
A contrapartida está escrita embaixo da opção: com a proteção reforçada, mais dados de navegação vão para o Google para análise. Cabe a você decidir.
A confirmação de segurança
Quando o Google retira uma extensão da loja porque ela contém malware, o Chrome a desativa nos computadores. Nos outros casos, uma extensão retirada pelo Google, despublicada pelo desenvolvedor ou sinalizada como perigosa, a Confirmação de segurança, em Privacidade e segurança, avisa você e propõe removê-la.
Uma olhada a cada um ou dois meses basta. Aqui, nada a relatar.
Sinais de que uma extensão se tornou maliciosa
Uma extensão que muda de natureza costuma deixar rastros:
- anúncios onde não havia, ou links que levam a outro lugar do que o anunciado,
- um mecanismo de pesquisa ou uma página inicial que mudam sem você mexer,
- abas que se abrem sozinhas,
- uma extensão desativada pelo Chrome porque pede permissões novas,
- um navegador de repente mais lento, com uma extensão no topo do Gerenciador de tarefas do Chrome (o menu de três pontos, Mais ferramentas, Gerenciador de tarefas).
Para achar a culpada, desative todas e religue uma de cada vez.
O que fazer se uma extensão parecer suspeita
- Remova a extensão em
chrome://extensions. Desativar não basta quando há suspeita: ela pode ser religada por engano. - Saia das suas contas importantes e troque as senhas, começando pelo e-mail e pelo banco. Uma extensão que roubava sessões abertas não precisa da sua senha: sair de todos os lugares invalida o que ela levou.
- Denuncie a extensão pela página dela na Chrome Web Store, com o link de denúncia no rodapé. É o que permite ao Google agir por todos os outros.
- Confira as suas configurações: mecanismo de pesquisa, página inicial, página de nova aba. Uma extensão maliciosa adora mudá-las.
E o Hoome?
O Hoome é a nossa extensão de nova aba, então vale aplicar este guia a ele. Na página de detalhes, o Chrome mostra uma única permissão, “Substituir a página que você vê ao abrir uma nova guia”, e o acesso a apenas dois sites, os serviços de ícones de onde ele baixa os logotipos dos seus atalhos. Ele não lê as páginas que você visita, nem o seu histórico, nem o que você copia. Os seus atalhos, notas e configurações ficam no seu navegador e, se você ligar, passam pela sincronização do seu navegador. Só a sincronização pela conta, com o Premium, deposita uma cópia nos nossos servidores, e um interruptor a desliga. A privacidade estrita desliga até o clima e os ícones. Os detalhes estão na nossa política de privacidade.
É o que se deve esperar de uma extensão de nova aba: ela substitui uma página e não precisa ler as outras.
Perguntas frequentes
As extensões da Chrome Web Store são verificadas? Sim, cada uma é analisada na publicação e nas atualizações, em parte de forma automática. Isso barra muita coisa, não tudo: as histórias acima passaram pela loja.
Uma extensão popular é segura? Não necessariamente. Uma extensão popular é exatamente o que os compradores mal-intencionados procuram: os usuários já estão lá, e a atualização automática entrega a nova versão a eles.
Um antivírus protege contra extensões? Raramente: para ele, uma extensão é parte do Chrome. A proteção vem do próprio Chrome e das suas escolhas.
As extensões funcionam na navegação anônima? Só as que você autorizar, pela opção Permitir na navegação anônima da página de detalhes, desligada por padrão. Deixe desligada, a não ser para uma extensão em que você confia totalmente.
Quantas extensões manter? O mínimo possível. Cada uma é uma porta a mais: a nossa seleção das melhores extensões do Chrome sugere uma por necessidade, não dez.
Em resumo
- Instale pela Chrome Web Store e leia a página até o fim: desenvolvedor, privacidade, última atualização, avaliações recentes,
- compare cada permissão com o que a extensão faz e limite o acesso a sites quando puder,
- quando o Chrome desativar uma extensão que pede permissões novas, pergunte-se por quê antes de aceitar,
- passe a Confirmação de segurança de vez em quando e remova o que você não usa mais,
- na menor dúvida: remover, sair de todas as contas, trocar as senhas, denunciar.