Google、Chromeストアから偽のMicrosoft Authenticator拡張機能を削除

Google公式のChrome拡張機能ストアは、アドオンをダウンロードするうえで最も安全な場所とされていますが、決して完璧なセキュリティを誇るわけではありません。その証拠として最近、GoogleがChromeストアから偽のMicrosoft Authenticatorアドオンを削除するという出来事がありました。

Chromeストアに紛れ込んだ「本物ではない」Authenticator

英メディアThe Registerの報道によると、Googleは偽のMicrosoft AuthenticatorアプリをChromeストアから削除しました。この対応は、偽アプリに関する報告がインターネット上で拡散してから約24時間後に行われたものです。

詐欺師たちは、MicrosoftがまだChrome向けの公式Authenticator拡張機能を提供していないという事実を悪用したとみられます。公式アプリが存在しないため、悪意のある偽バージョンをアップロードすれば、検索結果の上位に表示されやすくなるというわけです。

幸いにも、このアプリが偽物であることを見分ける手がかりはいくつかありました。例えば、開発元として「Microsoft」と名乗っておらず、企業名が単に「Extension」とだけ登録されていたのです。

それにもかかわらず、この拡張機能は数百回ダウンロードされ、削除時点で星3つの評価を得ていました。拡張機能の詳細情報をきちんと確認しなかったユーザーは、罠にかかってしまった可能性があります。

偽Authenticatorアプリがダウンロード後に何をしていたのか、その全貌は明らかになっていません。しかし報告によると、このアプリは偽のMicrosoftログインページを表示してパスワードを盗み取るフィッシング行為を行っていたほか、CPU使用率が異常に高くなる症状も引き起こしていました。これは暗号通貨の不正マイニング(クリプトジャッキング)を行っていた可能性を示唆しています。

もちろん、MicrosoftもThe Registerへの声明で、Chromeストアに対して厳しい見解を示しました。

「Microsoftはこれまで一度も、Microsoft AuthenticatorのChrome拡張機能を提供したことはありません。ユーザーの皆様には、不審な拡張機能をChromeウェブストアに報告することをお勧めします」

今回の事件は、Chromeウェブストアのセキュリティに一石を投じるものでした。例えば、公式の「Microsoft Corporation」開発者プロファイルを使用せずにアップロードされたアプリが、どのようにGoogleのセキュリティチェックをすり抜けられたのでしょうか。

いずれにせよ、この事件は、インターネット上のすべてのアプリを盲目的に信用してはいけないことを教えてくれます。たとえ公式アプリストアに掲載されていても同じです。過去にChrome向けのMicrosoft Authenticatorをダウンロードしたことがある方は、すぐに削除し、ウイルススキャンを実行したうえで、Microsoftアカウントのパスワードを変更しておくことをお勧めします。

Googleアプリストアの評判に傷

執筆時点で、Microsoftは公式のAuthenticator拡張機能をリリースしていません。そのため、もし実際に見かけた場合は、細心の注意を払うべきです。今回の詐欺事件は、見た目がすべてではないことを証明しましたが、責任は確認を怠ったユーザー側にあるのでしょうか、それとも最初からストアへの掲載を許したGoogle側にあるのでしょうか。

こうした詐欺はあらゆるアプリストアで発生していますが、自分自身を守る方法はあります。レビューの内容、ダウンロード数、開発元の情報を確認することで、目の前のアプリが本物かどうかを見分けやすくなります。公式ストアだからといって油断せず、ダウンロード前に必ずアプリの信頼性をチェックする習慣をつけましょう。