Chromeウェブストアは本当に安全？拡張機能のリスクと見分け方を徹底解説

Chromium系ブラウザのユーザーの約33%が、何らかのブラウザ拡張機能をインストールしています。もはや拡張機能は一部の上級者だけが使うニッチな技術ではなく、ごく一般的な存在となりました。その大多数はChromeウェブストアやFirefox Add-Onsから入手されたものです。

しかし、それらは本当に安全なのでしょうか？

IEEEセキュリティ＆プライバシーシンポジウムで発表された研究によると、答えは「あまり安全ではない」というものです。Googleの資金提供によるこの研究では、数千万人規模のChromeユーザーが、何らかのマルウェアを含む拡張機能をインストールしていることが判明しました。これはGoogleの全トラフィックの約5%に相当します。

この研究を受けて、Chromeウェブストアから約200個の拡張機能が削除され、ストア全体のセキュリティ体制にも疑問符が投げかけられました。

では、Googleは私たちの安全をどう守っているのでしょうか？そして、悪質な拡張機能を見分けるにはどうすればいいのでしょうか？詳しく見ていきましょう。

拡張機能はどこからやってくるのか

ブラウザ拡張機能、プラグイン、アドオン――呼び方はさまざまですが、その出自は同じです。何らかのニーズに応えたり問題を解決したりする製品を作る、独立したサードパーティの開発者たちです。

拡張機能は一般的にHTML、CSS、JavaScriptといったWeb技術で書かれており、通常は特定のブラウザ向けに開発されます。ただし、クロスプラットフォーム対応の拡張機能の作成を支援するサードパーティサービスも存在します。

開発がある程度完成し、テストを終えると拡張機能はリリースされます。独自に配布することも可能ですが、大多数の開発者はMozilla、Google、Microsoftの公式ストアを通じて配布することを選びます。

ただし、ユーザーのコンピュータに届く前には、安全に使用できることを確認する審査を受けなければなりません。ここでは、Chromeウェブストアでの仕組みを紹介します。

GoogleはChromeの安全をどう守っているのか

拡張機能が提出されてから公開されるまでには、60分の待ち時間があります。この間に何が起きているのでしょうか？舞台のでしょうか？舞台裏では、Googleが拡張機能に悪意のあるロジックや、ユーザーのプライバシー・安全を脅かす要素が含まれていないかを確認しています。

このプロセスは「Enhanced Item Validation（IEV）」として知られ、マルウェアを特定するために、拡張機能のコードとインストール時の動作を厳しくチェックする一連の審査です。

Googleはまた、開発者に許容される動作と避けるべき動作を示した「スタイルガイド」も公開しています。たとえば、クロスサイトスクリプティング（XSS）攻撃のリスクを軽減するため、別ファイルに保存されていないJavaScript（インラインJavaScript）の使用は禁止されています。

さらに、コードがコードを実行できるプログラミング構造である「eval」の使用も強く非推奨とされています。evalはさまざまなセキュリティリスクを招く可能性があるためです。加えて、Google以外のリモートサービスへの接続も好ましくないとされ、中間者攻撃（MITM攻撃）のリスクがあるためです。

これらはシンプルな対策ですが、ユーザーの安全を守るうえで概ね効果的です。セキュリティ専門家のジャヴァド・マリク氏は、これらは正しい方向への一歩だと評価しつつも、ユーザーの安全を守るうえでの最大の課題は教育にあると指摘します。

「良質なソフトウェアと悪質なソフトウェアを見分けることは、ますます難しくなっている。たとえて言えば、ある人にとっての正規のソフトウェアは、別の人にとっては地獄の底で書かれた、個人情報を盗みプライバシーを侵害する悪意あるウイルスなのだ。誤解しないでほしいが、Googleがこうした悪質な拡張機能を削除する動きは歓迎だ――そもそも公開されるべきではなかったものもある。しかし、Googleのような企業にとって今後の課題は、拡張機能を監視し、許容できる動作の限界を定義することだ。それはセキュリティや技術の話にとどまらず、インターネットを利用する社会全体にとっての問いでもある」

Googleは、ブラウザ拡張機能のインストールに伴うリスクについて、ユーザーが十分な情報を得られるようにすることを目指しています。Chromeウェブストアの各拡張機能は必要な権限を明示しており、ユーザーが許可した権限を超えて動作することはできません。もし拡張機能が不自然な要求をしてくるようなら、疑いを持つべきサインです。

しかし時折、ご存じのとおり、マルウェアが審査をすり抜けてしまうことがあります。

Googleの目をすり抜けた悪質な拡張機能の事例

意外に思われるかもしれませんが、Googleはかなり厳格な管理体制を敷いています。少なくともChromeウェブストアに関しては、多くのものが監視の網をすり抜けることはありません。しかし、一度すり抜けてしまうと、事態は深刻になります。

• AddToFeedly： ウェブサイトをFeedlyのRSS購読に追加できるChrome拡張機能でした。当初は個人開発者がリリースした正規の製品でしたが、2014年に4桁の金額で買収されました。新しい所有者はこの拡張機能にSuperFishアドウェアを仕込み、ページに広告を挿入しポップアップを表示させるようにしました。SuperFishは、レノボが低価格帯のWindowsノートPCに同梱していたことが発覚し、大きな悪名を馳せることになりました。
• WebPage Screenshot： 閲覧中のウェブページ全体のスクリーンショットを撮影できる拡張機能で、100万台以上のコンピュータにインストールされていました。しかし、ユーザー情報を米国のある単一のIPアドレスに送信していたことが判明しました。開発元は不正行為を否定し、品質保証活動の一環だと主張しましたが、GoogleはChromeウェブストアから削除しました。
• Adicionar Ao Google Chrome： Facebookアカウントを乗っ取り、許可されていないステータス更新、投稿、写真の共有を行う悪質な拡張機能でした。YouTubeを装ったサイトを通じて拡散され、「動画を見るには拡張機能をインストールせよ」とユーザーに指示していました。Googleはその後、この拡張機能を削除しました。

多くの人が日常的なコンピューティングの大部分をChromeで行っていることを考えると、これらの拡張機能が審査をすり抜けたのは憂慮すべきことです。とはいえ、少なくとも審査という手順があって失敗したわけです。ストア以外の場所から拡張機能をインストールする場合、あなたは何の保護も受けていません。

Androidユーザーが任意のアプリをインストールできるのと同じように、GoogleはChromeウェブストア以外の拡張機能も含め、好きなChrome拡張機能をインストールできます。これは消費者に選択肢を増やすためだけでなく、開発者が承認申請の前に自作のコードをテストできるようにするためでもあります。

ただし、手動でインストールされた拡張機能は、Googleの厳格な審査を受けていないことを忘れないでください。そうした拡張機能には、望ましくないあらゆる動作が含まれている可能性があります。

あなたのリスクはどれくらい？

2014年、Google ChromeはMicrosoftのInternet Explorerを抜いて最も普及しているWebブラウザとなり、現在ではインターネットユーザーの約35%を占めています。そのため、手っ取り早く稼ごうとしたり、マルウェアを拡散しようとしたりする者にとって、Chromeは依然として魅力的な標的であり続けています。

Googleは概ねこれに対処できています。インシデントは発生していますが、いずれも孤立したものであり、マルウェアがすり抜けた際も、Googleらしい迅速さとプロフェッショナリズムで対処されてきました。

しかしながら、拡張機能やプラグインが潜在的な攻撃経路になりうることは明らかです。ネットバンキングへのログインなど、機密性の高い操作を行う予定があるなら、拡張機能のない別のブラウザやシークレットウィンドウで行うことをおすすめします。また、本記事で紹介した拡張機能のいずれかをインストールしている場合は、念のためChromeのアドレスバーにchrome://extensions/と入力し、該当する拡張機能を見つけて削除してください。

うっかりChromeのマルウェアをインストールしたことはありますか？無事に生き残って語れる体験談をお持ちですか？ぜひ聞かせてください。下のコメント欄でお待ちしています。