Chrome拡張機能319個が検索を横取り 利用は約1,340万、権限の確認だけでは見抜けない

319個の拡張機能、利用は合わせて約1,340万。米国のセキュリティ会社Socketは10月29日、Chromeの拡張機能が既定の検索エンジンを書き換え、利用者の検索をすべて自分たちのサーバーに通していたと報告しました。名乗っていたのは「PDFの変換」「説明書の検索」「安全な検索」「AIの検索」など、仕事のPCに入っていても不自然でないものです。

検索した言葉が外に漏れるだけでなく、行き先を相手が自由に変えられる作りでした。権限を何も求めないため、「権限の多い拡張機能を止める」という管理では引っかかりません。

「PDFの変換」「説明書の検索」を名乗り、検索だけを横取り

Socketによると、319個のうち264個は今回新しく見つかったもので、利用は約870万です。2025年4月に同社が報告した57個（約600万）と合わせて、2016年からの10年分になります。

入り口は広告です。小さなブログやまとめサイトに、ポップアップの広告が出ます。そこから「PDFを検索」「説明書を探す」といった案内のページに進み、数回押すと拡張機能が入ります。多くはChromeウェブストアで「非公開」の掲載になっていて、ストアで検索しても出てきません。ページのURLを知っている人だけがたどり着ける形です。

入ったあとは、ブラウザーの既定の検索エンジンが、拡張機能の指定するものに替わります。検索するたびに、言葉はまず業者の中継のサーバーに送られ、そこからYahooやBingの結果に転送されます。業者は、YahooやMicrosoftの検索の提携の仕組みで、送り込んだ検索の数に応じた紹介料を受け取っていました。

権限を何も求めないので、権限の確認では見抜けない

Socketが示した1つの例では、拡張機能の中身は、設定のファイル1つとアイコンだけでした。設定には、既定の検索エンジンを替える項目（chrome_settings_overrides）しかありません。

検索エンジンを替える拡張機能を入れるとき、Chromeは確認の画面を出します。ただ、検索がどこに送られるかまでは分かりません。Socketは、権限を求めないから安全だと判断して見逃すのは誤りだとしています。会社で「権限の多いものだけ止める」設定にしていても、この種の拡張機能は通ってしまいます。

検索の記録と、行き先を変えられる中継

業者がわざわざ中継のサーバーを置く理由として、Socketは3つを挙げています。紹介料の数を確かめるための記録、すべての検索の言葉を集めること、そして検索ごとに行き先を選べることです。

同じ言葉を6回検索して、行き先が4通りに分かれた拡張機能がありました（「Predator Search」、利用は約5万）。Yahooにそのまま行く場合、別の検索のページに寄る場合、もう1つ別のドメインを経由する場合、エラーのページになる場合です。いまのところ多くはYahooかBingの結果に着きますが、相手が決めれば、特定の言葉や地域の人だけを偽の検索結果やフィッシングのページに送れます。

社員が仕事で検索する言葉には、取引先の名前、製品の型番、社内のシステムの名前、エラーの文言などが入ります。その言葉が1つのサーバーに、利用者ごとの識別子と結び付いて集まると考えると、広告の迷惑な拡張機能では済みません。

10年で319個、少数の業者が出していた

Socketは、319個を出していた業者を、名前の分かる会社と分からない集団に分けています。主なものは次のとおりです（利用者の数はSocketの集計による）。

「SecuryBrowse」の58個は、セキュリティらしい名前を付け、検索の横取りに加えて多くの権限も求めていました。2025年からの「Bing-Search」の37個は、別々の会社に見える15の出品者が、同じ4日の間にそろって更新を出していて、Socketは1つの業者とみています。

拡張機能のIDの一覧は、報告の末尾に載っています。報告には、Googleが319個をストアから消したかどうかは書かれていません。

影響するのは、拡張機能を自由に入れられる会社のPC

影響が出るのは、社員が自分で拡張機能を入れられる設定のPCです。Chromeウェブストアから何でも入れられる状態なら、広告から1つ入っていても不思議はありません。Socketは、同じ手口のEdgeとFirefoxの拡張機能も見ているとしています。

拡張機能を許可したものだけに絞っている会社は、許可の一覧に入っていない限り、この種の拡張機能は入りません。ただし、許可の一覧に「安全な検索」「PDFの変換」のような名前のものが入っていないかは見直します。

会社の管理の外にある私物のPCや、ブラウザーを管理に入れていないPCは、この設定が届きません。Chrome 157からの管理外のPCの拡張機能の扱いは、Chrome 157の管理者向けの変更 管理外のPCで拡張機能が外れるにまとめています。

管理コンソールとポリシーで確かめる手順

1. Googleの管理コンソールで、ブラウザーの報告が有効になっていることを確認し、「デバイス」→「Chrome」→「レポート」→「アプリと拡張機能の使用状況」を開きます。入っている拡張機能の名前、入れ方（管理者・通常・ほかのソフトによる追加など）、ストアでの状態、入っている台数が一覧になります。報告が出そろうまで、最大で24時間かかります。
2. 一覧から、名前に「検索」「PDF」「説明書」「天気」「VPN」を含み、会社として配っていないものを選び出します。Socketの報告の末尾にある拡張機能のIDとも照らします。ストアでの状態が「Googleによって削除」になっているものも、その場で止めます。
3. 「アプリと拡張機能」の「ユーザー アプリの設定」で、Chromeウェブストアの扱いを「すべてのアプリをブロックし、管理者が許可リストを管理」にします。社員の要望を受け付けたいときは、ユーザーが拡張機能をリクエストできる設定を選びます。グループポリシーで管理している会社は、ExtensionInstallBlocklistに「*」を入れます。そのうえで、ExtensionInstallAllowlistに、許可する拡張機能のIDを並べます。ExtensionSettingsで、まとめて書くこともできます。
4. Edgeを使っている会社は、Chromeと同じ一覧で絞ります。Edgeにも、ExtensionInstallBlocklistとExtensionInstallAllowlistという、同じ名前のポリシーがあります。
5. 社員には、広告のページから拡張機能を入れないこと、検索のたびに見慣れないアドレスを経由するようなら情シスに知らせることを伝えます。入っていた人のPCは、拡張機能を外したうえで、既定の検索エンジンと新しいタブのページが会社の決めたものに戻っているかを確かめます。

拡張機能の利用を個別に認めるときの考え方は、フォーム営業の拡張機能を入れたいと言われたら 情シスが確かめる7つのことも参考になります。