ハッカーが被害者を標的にするために使う4つの悪質なブラウザ拡張機能

ブラウザ拡張機能はすべてユーザーの役に立つものだと思っていませんか?実はそうとは限りません。

ブックマークツール、広告ブロッカー、翻訳アドオンなど、確かに便利な拡張機能は数多く存在します。しかし一見無害に見える拡張機能の多くには、はるかに暗い側面があるのです。近年話題となった無料VPNサービス「Hola」をめぐるスキャンダルは、その典型例といえるでしょう。

他のアプリやWebサイトの脆弱性を突くタイプのものから、ハッカーへ情報を送り続けるだけのものまで、ブラウザに何を追加するのかについては、ますます警戒が必要になっています。

問題はどれほど深刻なのか?

昨年後半に行われた調査では、Chromeストア上の48,000以上の拡張機能が分析されました。その結果、4,700以上が「疑わしい」、130が「悪意ある」と判定されたのです。研究者によると、そのうちの1つは550万人以上のユーザーを持っていたとのことですが、名前は明かされませんでした。

当時、セキュリティ研究者でTripwireの脆弱性研究チームのメンバーであるタイラー・リグリー氏は次のように述べています。「Google Chromeのプラグインは、多くの点でAndroidアプリと似ています。過剰な権限を要求しながら、エンドユーザーには何をしているのかを実質的に理解させる仕組みがありません。ChromeとAndroidのどちらにおいても、問題の責任はGoogleにある」

以下は、ハッカーが標的を攻撃するのに役立ちうるブラウザ拡張機能の一例です。

Marauders Map(マローダーズ・マップ)

Marauders Mapは、前述した前者のカテゴリに属する拡張機能です。正規のFacebook Messengerアプリを悪用し、友人たちの位置情報を地図上にプロットします。

もちろん、Facebookが位置情報を友人と共有することは周知の事実ですが、そのデータがどれほど正確で、どれほど簡単に抽出・利用できるかはご存じない方が多いでしょう。この拡張機能は米国の学生によって開発されたものであり、高度なコードやアルゴリズムではありません。一定のコーディング能力と好奇心、そして十分な自由時間があれば、誰でも偶然発見できた可能性があります。

報告によれば、2013年まで遡ったデータを抽出できるとのことです。ただし、Facebookメッセージで位置情報共有を有効にしている友人に限られます(このオプションはAndroidでもiOSでもデフォルトで有効になっています)。

Facebookの友達リストを厳しく管理している人なら、それほど心配する必要はないかもしれません。しかし、招待状を何でも受け入れ、ほとんど面識のない人も含めて数千人の友達がいる習慣があるなら、次の行動について慎重に考えるべきです。

このアプリを使えば、ハッカーはあなたが自宅にいない時間帯を把握(または過去の行動パターンから推測)したり、よく訪れる店を特定したり、誰と最も多く時間を過ごしているかを知ることが可能になります。自分の安全のためにも、こうした情報はできる限り非公開にすべきものです。

Hover Zoom

Hover Zoomは冒頭で述べた後者のカテゴリに該当します。つまり、あなたのオンラインでの行動を直接監視しているのです。

この拡張機能の仕組みはシンプルで魅力的です。Reddit、Amazon、Pinterest、eBay、Facebookなどの人気サイトで、サムネイルをクリックせずにマウスを画像の上に置くだけで、画像ギャラリーを閲覧できます。

公開以来、110万人以上のユーザーを獲得してきました。

しかし、その大多数のユーザーが気づいていないのは、この拡張機能が彼らのオンライン習慣を積極的に監視しているという事実です。

どうしてこのようなことが起き、許されているのでしょうか?

Hover Zoomは当初、宣伝どおりの機能だけを備えた誠実で独立した拡張機能でした。しかし人気が高まるにつれ、アドウェアやマルウェア企業にとって魅力的な存在になっていったのです。

やがてそのような企業に買収され、「悪質な振る舞い」の歴史が長く続くことになりました。近年では、開発者がオンラインフォームのデータを収集し、ユーザーのキーストロークを販売していたことが発覚しています。

彼らがこれを続けられるのは、説明ページで開示しているからです。そこには「Hover Zoomは、拡張機能ユーザーがHover Zoomにブラウジング活動の収集権限を与えることを要求します。収集されたデータは内部で使用され、第三者と共有されますが、いずれも匿名化・集計化された形で研究目的に限定されます」と記載されています。実際には、ユーザーが訪問するすべてのWebページを追跡してそのデータで収益を得ると同時に、最も頻繁に訪れるサイトに広告を表示しているのです。

要するに、この拡張機能だけで100万人以上の人々が監視されているということです。

BBC News ReaderとAutocopy

拡張機能が売却されてトラッカー化する問題は、Google Chromeに限った話ではありません。

Firefox向けの(非公式)BBC News Readerも同様の事例が発覚しており、選択したテキストを自動的にクリップボードにコピーするツール「Autocopy」も同じく有罪でした。

これはサードパーティ製の拡張機能、アプリ、Webサイトに関する重要な教訓をもたらします。一部サービスの公式アプリは、プライバシーとセキュリティへの取り組みについて(しばしば正当な)批判を受けていますが、実際にはユーザーの声に左右される立場にあります。十分な抗議があれば、懸念に対処しポリシーを修正せざるを得ません。一方、サードパーティ製のアプリや拡張機能は通常、そうした消費者からの圧力に縛られません。ユーザーが気づかないうちに、追跡を続け、データを売り続けることができるのです。

使うなら自己責任で。

Hola Unblocker

悪質な拡張機能のリストにHolaを抜きにしては語れません。研究者からは「標的型サイバー攻撃を実行する理想的なプラットフォーム」と評され、かつて愛用されていた無料VPNサービスは今や「避けるべき拡張機能」リストの筆頭に挙げられています。

世界中で4,600万人のユーザーを抱えるHolaは、Chromeストアで断トツ最大の悪質な拡張機能です。

問題が発覚したきっかけは、あるフォーラム管理者が、Holaのユーザーが知らないうちにボットネットの一部として機能し、彼のサイトへの複数回の攻撃に加担していたと主張したことでした。その後、開発者は無料版ユーザーの帯域幅が運営コストの補填のために販売されていたことを認めました。

実際には、これは各ユーザーがネットワークの末端ノードになり、ハッカーや攻撃者に悪用されうることを意味しました。

Holaの創業者は自社をイノベーターとして擁護し、「私たちは迅速に革新してきましたが、スティーブ・ジョブズの言葉は正しかったようです。いくつかのミスを犯しました。今すぐ修正します」と述べましたが、それは侵害を受けたユーザーにとって何の慰めにもならないでしょう。

拡張機能が悪質かどうかを見分ける方法

拡張機能が悪質かどうかを判断する最も効果的な方法は、「Shield For Chrome」[現在は提供終了]を使うことです。皮肉なことに、これ自体もまた拡張機能なのですが。

インストールすると、ブラウザ内のすべての拡張機能を自動的にスキャンし、ブラックリストに載っているものがないか通知してくれます。問題のあるものは削除すればよいのです。

さらに便利な追加機能もあります。例えば、各拡張機能が現在持っている権限の確認、今後のインストールやWebサイトの動作における悪意ある活動の監視などです。将来的には、拡張機能の所有者が変更された場合や不審な動作を始めた場合に通知する機能も搭載される予定でした。

また、「Extension Defender」[現在は提供終了]もチェックしてみてください。Shield For Chromeと同様の役割を果たしますが、ユーザーのコメントによれば、誤検出(false positive)が少ないようです。

あなたは被害に遭っていないか?

悪質な拡張機能で痛い目を見たことはありますか?あなたはどんなタイプのブラウザユーザーでしょうか――ほとんど使わない数百の拡張機能を入れているタイプか、それとも環境を最小限に保つタイプか?

もしかすると、ここで紹介しなかった悪質な拡張機能をご存じかもしれませんね。

状況がどうであれ、皆さんからの声をお待ちしています。感想やフィードバック、ご意見があれば、ぜひコメント欄でお聞かせください。