Extensions de navigateur « IA » : peuvent-elles lire vos mails, vos dossiers et votre banque ?

Le scénario en bref

Exemple, inventé pour illustrer. Dans un cabinet médical fictif, la secrétaire passe ses matinées à trier les mails des patients et des laboratoires. Elle trouve dans la boutique de son navigateur une extension gratuite qui promet de « résumer vos mails grâce à l'IA ». Des milliers d'avis, une jolie icône, un bouton « Ajouter ». Une fenêtre s'affiche : l'extension demande à lire et modifier vos données sur tous les sites que vous consultez. Elle clique, comme on clique sur des conditions générales.

À partir de ce moment, l'extension voit tout ce que la secrétaire voit dans son navigateur : la messagerie, le logiciel patient en ligne, l'espace de la banque où elle prépare les paiements. Personne n'a rien piraté. Elle a simplement donné la clé. Si l'extension est honnête, elle s'en sert pour résumer des mails. Si elle ne l'est pas, ou si elle change de propriétaire demain, ces pages partent ailleurs.

Ce scénario n'est pas un procès de l'IA : résumer, reformuler, traduire, ces outils font gagner un temps réel. Mais une extension n'est pas un site qu'on consulte : c'est un petit programme installé à l'intérieur du navigateur, là où passent vos données les plus sensibles.

Ce qu'une extension peut voir, selon l'accès que vous lui donnez

Une extension est un module qu'on ajoute au navigateur (Chrome, Edge, Firefox…) pour lui donner une fonction de plus : bloquer des publicités, traduire une page, résumer un texte. Pour travailler sur une page, elle doit pouvoir la lire. Google l'explique dans son aide sur les autorisations des extensions. Quand une extension demande l'accès à « vos données sur tous les sites Web que vous consultez », elle peut lire, demander ou modifier les données de chaque page visitée, par exemple sur votre compte bancaire. Une extension d'IA « résumé » demande souvent cet accès large, et peut envoyer le texte lu vers un serveur en ligne pour le traiter.

Ces trois réglages existent dans Chrome et Edge, et Google décrit comment les changer en quelques clics.

Ce n'est pas théorique : des affaires récentes

Les extensions malveillantes ne sont pas nouvelles. Ce qui est nouveau, c'est l'étiquette « IA », qui attire les clics, et la valeur de ce que les gens tapent dans un assistant d'IA : des questions de travail, des textes de clients, parfois des données de patients.

• Fin décembre 2025, des chercheurs en sécurité (OX Security) ont signalé deux extensions présentées comme une barre latérale d'IA, totalisant plus de 900 000 utilisateurs. L'une portait même le badge « mise en avant » de la boutique de Google. Elles copiaient les conversations avec des assistants d'IA en ligne et l'adresse de tous les onglets ouverts, puis les envoyaient vers un serveur toutes les 30 minutes. Elles demandaient pourtant l'accord pour des données « anonymes ».
• En décembre 2025 également, la presse spécialisée (The Register) a rapporté qu'une famille de quatre extensions gratuites de VPN (outil qui masque votre connexion internet) et de blocage de publicités, installées plus de 8 millions de fois sur Chrome et Edge, captait les conversations avec une dizaine d'assistants d'IA. La fonction avait été ajoutée en juillet 2025 par une mise à jour automatique : ceux qui avaient installé l'extension avant n'ont jamais rien vu passer.
• En 2026, Microsoft a publié l'analyse d'une campagne de 119 extensions qui se faisaient passer pour des bloqueurs de publicités, des VPN ou des traducteurs, touchant environ 2,6 millions d'utilisateurs. Parmi leurs capacités : le vol des identifiants de comptes Google en contournant la double authentification. Toutes ont été retirées de la boutique d'Edge.
• Fin décembre 2024, une extension de sécurité tout à fait légitime, utilisée par environ 400 000 personnes en entreprise, a été piégée : des pirates ont pris le contrôle du compte de son éditeur et publié une version modifiée, qui visait les mots de passe et les sessions ouvertes, ce qui garde vos comptes connectés (TechCrunch). Elle a été retirée le jour même, mais elle s'était déjà installée toute seule chez les utilisateurs.

Trois leçons en sortent. Un badge ou des milliers d'avis ne prouvent rien. Une bonne extension peut devenir mauvaise du jour au lendemain, par une mise à jour que personne ne voit. Et « gratuit » veut souvent dire que ce sont vos données qui paient.

Pourquoi c'est plus grave dans un cabinet ou une PME

Sur un poste de travail, une extension trop curieuse voit la colonne de droite, parfois jusqu'au dossier d'un patient. Ce qui est lu par l'extension l'est au nom de votre organisation.

Les données de santé font partie des catégories particulières de données protégées par l'article 9 du RGPD. Si une extension a pu lire et envoyer ailleurs des données personnelles de patients ou de clients, c'est une violation de données au sens du RGPD. Selon l'Autorité de protection des données, elle se notifie dans les meilleurs délais et, si possible, dans les 72 heures, quand elle présente un risque pour les personnes.

Un piège fréquent n'est pas l'extension malveillante. C'est l'extension honnête, installée par une personne de bonne foi, qui envoie des textes de patients vers un service dont personne au cabinet ne connaît les conditions. Le résultat, pour la confidentialité, est le même.

Comment choisir une extension d'IA : six questions

Avant d'ajouter quoi que ce soit au navigateur d'un poste de travail, posez ces six questions. Une seule mauvaise réponse suffit pour dire non.

Limiter ce qu'une extension voit

Même une extension de confiance n'a pas besoin de lire votre banque. Trois réglages réduisent fortement le risque, sans rien installer de plus.

• Passer l'accès « au clic ». Dans le menu des extensions du navigateur (l'icône en forme de pièce de puzzle), choisissez pour chaque extension d'IA l'option « Lorsque vous sélectionnez l'extension ». Elle ne lit alors que la page sur laquelle vous l'avez lancée.
• Couper les extensions sur les sites sensibles. Edge propose un bouton par site, dans le menu des extensions, qui empêche les extensions que vous avez installées de fonctionner sur ce site. Utilisez-le pour la banque, le logiciel patient, la messagerie.
• Séparer les usages. Un profil de navigateur dédié, sans aucune extension, pour la banque et les dossiers sensibles. Un autre profil pour le reste. C'est simple, gratuit et très efficace.

Dans une organisation, la vraie protection se règle une fois pour tous les postes. Microsoft décrit dans sa documentation pour les entreprises comment autoriser seulement une liste d'extensions approuvées, bloquer celles qui demandent des droits trop larges et interdire à toutes les extensions de lire certains sites sensibles. Votre prestataire informatique peut mettre cela en place sans que vos équipes perdent les outils dont elles ont besoin.

Les gestes à faire lundi matin

1. Faites l'inventaire. Sur chaque poste, ouvrez la page des extensions du navigateur et notez ce qui est installé. Vous serez probablement surpris.
2. Supprimez sans état d'âme toute extension inconnue, inutilisée ou dont personne ne sait à quoi elle sert.
3. Passez les extensions restantes en accès « au clic », sauf celles validées par votre informatique.
4. Écrivez une règle d'une ligne : aucune nouvelle extension sans accord préalable. Affichez-la, expliquez pourquoi.
5. Créez un profil de navigateur « sensible » sans extension, pour la banque et le logiciel patient ou métier.
6. Rappelez une règle simple : pas de données de patients, de clients ou de salariés dans un outil d'IA qui n'a pas été validé par le cabinet ou l'entreprise.
7. Demandez à votre prestataire une liste d'extensions autorisées, appliquée à tous les postes.

Comptez une matinée pour un petit cabinet. L'IA reste disponible, mais elle ne regarde plus par-dessus l'épaule de tout le monde.

Une extension a peut-être vu trop de choses : que faire ?

1. Supprimez l'extension sur tous les postes où elle est installée.
2. Changez les mots de passe des comptes utilisés pendant qu'elle était installée : messagerie, banque, logiciel métier. Microsoft le recommande dans son analyse de 2026 pour les comptes sensibles, comme la messagerie et la banque.
3. Déconnectez-vous partout (les « sessions ouvertes » qui gardent vos comptes connectés) et vérifiez l'activité récente des comptes : connexions inconnues, règles de transfert de mails ajoutées.
4. Évaluez ce qui a pu être lu. Des données personnelles de patients ou de clients ? Notifiez l'APD si un risque existe, dans les 72 heures si possible.
5. Signalez l'incident au Centre pour la Cybersécurité Belgique, de préférence via son formulaire en ligne, ou à [email protected]. Un message suspect se transfère à [email protected].

L'IA a sa place dans un cabinet ou une PME. Elle doit simplement y entrer par la porte qu'on a choisie, pas par une extension ajoutée en deux clics un mardi matin.

Faire le tri dans vos extensions→