部分奸商是如何操纵谷歌来推广有问题的 Chrome 扩展程序

你要如何将 18000 个关键词塞进一个描述里呢？事实证明这挺容易的。

负责谷歌 Chrome 浏览器安全事务的人员明确禁止第三方扩展程序开发者试图操纵他们提交的浏览器扩展程序在 Chrome 网上应用店中的展示方式。该政策特别指出了一些搜索操纵手段，比如列出多个提供相同功能的扩展程序，或者在扩展程序描述中堆砌关联性不强或完全不相关的关键词。

周三，安全与隐私研究员弗拉基米尔・帕兰特（Wladimir Palant）披露，开发者们正在公然违反这些条款，目前在谷歌上可供下载的数百个扩展程序都存在这种情况。结果就是，对某个特定词条进行搜索时，可能会返回一些不相关的、质量低劣的仿冒品，或者执行一些违规操作的扩展程序，比如暗中通过网络搜索获利，而这是谷歌明令禁止的。

没留意？不在乎？还是两者皆有？

例如，周三上午在加利福尼亚州搜索 “诺顿密码管理器”，不仅会返回官方扩展程序，还会出现另外三个扩展程序，这些程序往好了说是毫不相关，往坏了说可能存在违规行为。在其他时间或者从不同地点进行搜索，结果可能会有所不同。

不清楚为什么使用密码管理器的人会对篡改时区或者提高音量之类的扩展程序感兴趣。没错，它们都是用于调整或扩展 Chrome 浏览体验的扩展程序，但哪个扩展程序不是这样呢？Chrome 网上应用店不想让扩展程序用户受到局限，也不想让他们觉得可选的扩展程序有限，所以它不会只返回所搜索的标题对应的结果。相反，它会从其他扩展程序的描述中进行推断，试图推荐可能也会让人感兴趣的扩展程序。

在很多情况下，开发者们正在利用谷歌热衷于推广潜在相关扩展程序这一点，在推广活动中强行塞入一些不相关或违规的扩展程序。不过等等，Chrome 的安全人员已经告知开发者，不允许他们进行关键词堆砌以及其他搜索操纵手段。那么，这种情况是如何发生的呢？

一种方式是滥用扩展程序描述系统内置的语言翻译功能。由于不清楚的原因，谷歌允许将描述翻译成 50 多种不同的语言。开发者们不会在他们想要针对的用户所使用的语言描述中堆砌大量文字，而是将其藏在另一种语言的描述里。帕兰特说，试图吸引欧洲用户的开发者经常会 “牺牲” 一些亚洲语言，比如孟加拉语。相比之下，针对亚洲用户的开发者往往会选择爱沙尼亚语之类的欧洲语言。

即便一个描述是针对特定语言定制的，其中包含的关键词也会被扫入其他语言的描述中。这使得开发者们能够在描述中塞进数万个误导性的关键词，而表面上又不会违反谷歌的政策。

帕兰特写道：

显然，一些扩展程序开发者发现 Chrome 网上应用店的搜索索引是跨所有语言共享的。比如，如果你想在人们搜索你的竞争对手时出现在搜索结果中，你可以把他们的名字加到你的扩展程序描述里 —— 但这可能会显得像垃圾信息。所以，你要做的反而是牺牲一些 “不太热门” 的语言，然后在那些语言的描述里塞满相关关键词。这样一来，即便人们在 Chrome 网上应用店的英文版中输入这些关键词，你的扩展程序也会出现在搜索结果中。毕竟，除了大概五百万母语使用者外，谁会在意斯瓦希里语呢？

这种手段的一个实际例子可以在名为 “魅力 —— 优惠券、促销码和折扣” 的扩展程序中看到。用包括英语在内的多种语言查看时，其描述很简洁，给人一种正规的、注重隐私的、用于获取折扣的扩展程序的印象。

查看开发者提供给谷歌的完整描述文件，情况就截然不同了。

更具误导性的是那些被塞进特定语言长篇描述中的关键词。其数量超过了 18000 个。在大多数语言中查看描述时，这些关键词并不会显示出来，但它们却会影响 Chrome 网上应用店中扩展程序的搜索结果。

帕兰特发现有 920 个 Chrome 扩展程序使用了这种手段。他追根溯源，发现它们来自几个 “集群”，也就是说这些扩展程序似乎来自相关的开发者。

帕兰特说，大多数扩展程序还使用了其他手段来操纵在 Chrome 网上应用店中的展示位置，包括：使用竞争对手的名字、为同一个扩展程序使用不同名称，以及在描述中或描述末尾使用关键词。

在一次采访中，帕兰特表示，他过去已经就 Chrome 网上应用店中这类有组织的操纵行为向谷歌发出过警告。然而，这些行为依然存在，而且任何有兴趣去查看的人都很容易发现它们。

“谷歌并没有对垃圾信息进行监测，” 他写道，“发现这些并不难，而且他们获取数据的途径比我更便利。所以要么是谷歌没留意，要么就是他们不在乎。” 谷歌并未回复询问其是否知晓这些垃圾信息以及是否有计划制止它们的邮件。

黑客联盟】带你走进神秘的黑客世界