ブラウザ拡張機能は便利だが、甘く見していると足元をすくわれる。2020年にはChrome Web Storeで500件以上の悪質拡張機能が3,000万回ダウンロードされ、广告ブロッカーを装ったマルウェアが横行した。以降も攻撃の手口は高度化し、2024年には北朝鮮系APTグループがレジストリを操作して強制インストールすら行う。本稿では、拡張功能の仕組みとリスクを整理し、個人・企業ごとに実践的な注意点をまとめる。

関連記事 4件

定義: ウェブブラウザをカスタマイズするソフトウェアモジュール · 主な用途: メモ取り、パスワード管理、广告ブロック · 対応ブラウザ: Chrome, Edge, Firefox, Safari · 主なリスク: マルウェア感染の可能性 · インストール元: Chrome Web Store など公式ストア

クイックサマリー

1確認済み事実
2不明な点
3タイムライン
  • 2020年: 大規模悪質拡張キャンペーン発覚 (トレンドマイクロ（セキュリティ研究機関）)
  • 2021年以降: Earth KumihoによるAPT攻撃継続 (トレンドマイクロ（セキュリティ研究機関）)
  • 2024年3月: TRANSLATEXT強制インストール事例 (トレンドマイクロ（セキュリティ研究機関）)
4次へ
  • 権限確認と最小権限の原則徹底 (じさく.com（技術解説サイト）)
  • 公式ストア限定インストールと定期監査 (トレンドマイクロ（セキュリティ研究機関）)
項目 内容
種類 アドオン、プラグイン
初出 2000年代初頭のFirefox
ユーザー数 Chromeで数億
リスク事例 トレンドマイクロ報告済み
悪質拡張キャンペーン 2020年：500件以上・3,000万回DL
感染者数最大事例 430万人

ブラウザ拡張機能とは何ですか？

ブラウザ拡張機能とは、ウェブブラウザに手を加えずとも機能追加できるソフトウェアモジュールの総称だ。主要ブラウザはChrome、Edge、Firefox、Safariに対応しており、JavaScript 기반으로開発される (じさく.com（技術解説サイト）)。

仕組みはどうなっているか？

拡張機能はバックグラウンドスクリプト、コンテンツスクリプト、ポップアップの3層で構成される。権限定義はmanifest.jsonファイルに記述され、permissionsフィールドでWebsiteデータ読み取りや書き換えの可否を指定する (トレンドマイクロ（セキュリティ研究機関）)。このpermissions設定が後のセキュリティリスクの分かれ目となる。

Manifest V2ではバックグラウンドスクリプトが常時稼働するため悪用リスクが高い。Manifest V3では権限モデルが強化されたが、移行期には新旧混在で新たな脆弱性が生まれる可能性がある (トレンドマイクロ（セキュリティ研究機関）)。

主な機能は？

代表的な用途は広告ブロッカー、PDF変換ツール、VPN機能、翻訳ツール、パスワード管理ツールの5種類だ (トレンドマイクロ（セキュリティ研究機関）)。いずれも日常的に便利な半面、過剰な権限要求でセキュリティリスクとなるケースが確認されている。

ブラウザ拡張機能の例は何ですか？

人気拡張機能は利便性重視で設計されており、ユーザー評価も高い。一方、マルウェア化した拡張機能は正規の拡張機能を装って配布されるパターンが主流だ (digitaldata-forensics（セキュリティ専門メディア）)。

人気の拡張機能例

広告ブロッカーのAdBlockやuBlock Origin、メモ取りのNotion Web Clipper、パスワード管理の1PasswordやBitwardenが高い人気を得ている。これらの多くは公式ストアで公開前にセキュリティ審査を受けている (act1.co.jp（ITセキュリティ情報サイト）)。

ChromeやEdgeの例

ChromeはChrome Web Store、EdgeはMicrosoft Edge Add-onsから入手する形式が標準だ。ChromeとEdgeで430万人が感染したGoogle認定拡張機能マルウェア事例では、正規ストア配布でも安全性保証はないことが示された (atmarkit.itmedia（IT専門メディア）)。

ブラウザ拡張機能は安全ですか？

公式ストア審査通過が便利さの土台を広げる一方、セキュリティリスクは看過できない水準で存在する。マルウェア化した拡張機能は、個人ではパスワード窃取・クリップボード傍受を、企業では機密情報漏えい・個人情報保護法違反を引き起こしうる (Barracuda（セキュリティベンダー）)。

セキュリティリスク

主なリスクは5種類に整理できる：情報漏えい、閲覧履歴盗み、セッション乗っ取り、广告挿入、プライバシー侵害だ (act1.co.jp（ITセキュリティ情報サイト）)。cookies権限と<all_urls>権限を組み合わせた場合、セッション乗っ取りのリスクは極限に達する (じさく.com（技術解説サイト）)。

マルウェアの危险性

アップデート型マルウェアは導入時に無害を装い、公式ストア認証後に悪意コードを追加、自动更新で侵入する手口が確認されている (gate02（セキュリティ研究室）)。2025年7月9日にリリースされたVPN拡張機能の悪性バージョンはAIチャットログを収集し、600万人超のユーザーに影響した (トレンドマイクロ（セキュリティ研究機関）)。

サポート詐欺の増加気もアドウェア潜伏密切相关している。ESETの研究では、マルウェア拡張功能が潜伏型広告で収益を得るスキームが増加していることが確認された (ESET（セキュリティソフトウェア開発元）)。

ブラウザ拡張機能を見つけるには？

拡張機能の管理はブラウザ設定画面から容易にアクセスできる。ただし、インストール済みの拡張機能一覧確認と権限検査が安全確保の第一步だ。

インストール場所の確認方法

Chromeでは「設定」→「拡張機能」、Edgeでは「設定」→「拡張機能」から管理画面を開く。各拡張機能に付与された権限一覧が表示され、「すべてのWebサイトへのアクセス」を要求するものは要注意だ (act1.co.jp（ITセキュリティ情報サイト）)。

管理画面のアクセス

Chrome Web StoreやMicrosoft Edge Add-onsから入手した拡張は各ブラウザの管理画面に登録される。ストア外から.crx/.zip形式でインストールした場合、審査・署名検証が回避されるためリスクが跳ね上がる (トレンドマイクロ（セキュリティ研究機関）)。

拡張機能にマルウェアがあるか確認する方法は？

マルウェア検出には技術的な手順と常識的な判断基準の両方が必要だ。個人ユーザーでも実行可能なチェック方法を整理する。

チェック手順

manifest.jsonファイルのpermissions字段を確認するのが効果的だ。*://*/*というパターンがある場合、その拡張はすべてのドメインにアクセスする権限を要求しており危険度が高い (トレンドマイクロ（セキュリティ研究機関）)。host_permissionsとmatches字段も同時に検査すべきだ。

安全なインストール方法

Chrome Web Storeなどの公式ストア限定を原則とし、開発者のドメイン真正性と拡張更新日時を確認する (トレンドマイクロ（セキュリティ研究機関）)。推荐バッジ付き拡張でもリアルタイムセキュリティ保証はないため、権限要求の妥当性はユーザー自身が判断する必要がある (トレンドマイクロ（セキュリティ研究機関）)。

メリット

  • ブラウザ機能のカスタマイズで生産性向上
  • 広告ブロッカーでウェブ閲覧改善
  • パスワード管理拡張でセキュリティ強化
  • 翻訳・メモ取り等功能で作業効率アップ

デメリット

  • マルウェアリスクによる情報漏えい
  • 過剰権限によるプライバシー侵害
  • パフォーマンス低下の可能性
  • アップデート型マルウェアの脅威
  • 企業環境での法的リスク

拡張機能のインストール手順

拡張機能のインストールは数ステップで完了するが、セキュリティを意識した手順を踏むことが重要だ。

手順1：ブラウザの設定画面を開く

ChromeではURLバーに「chrome://extensions」と入力し、Edgeでは「edge://extensions」にアクセスする。拡張機能管理画面が別タブで表示される (act1.co.jp（ITセキュリティ情報サイト）)。

手順2：公式ストアから検索・選択する

Chrome Web StoreまたはMicrosoft Edge Add-onsを開き、必要な機能で検索する。開発者の情報、インストール数、評価を確認する (トレンドマイクロ（セキュリティ研究機関）)。

手順3：権限要求を確認する

「拡張機能を追加」ボタン前にアクセス権限の確認ダイアログが表示される。「すべてのWebsiteへのアクセス」を要求する拡張は、本当に必要か再考すべきだ (act1.co.jp（ITセキュリティ情報サイト）)。

手順4：インストール後に権限を再確認する

インストール完了後、管理画面から付与された権限を必ず確認する。不審な権限要求があれば即座に削除する (じさく.com（技術解説サイト）)。

セキュリティ確保の要点

拡張機能セキュリティは技術対応と管理体制の両面から推進する必要がある。企业環境では特に機密情報漏えいリスクを重視した対策が求められる。

権限最小の原則

拡張機能にはの必要最低限の権限のみ付与するのが基本原則だ。*://*/*这种全ドメイン許可の権限要求は極めて危険であり、本当に必要最小限のサイトのみへのアクセス許可に留めるべきだ (トレンドマイクロ（セキュリティ研究機関）)。

企業環境での対策

企業では業務機密漏えいが原因で取引停止や法的リスクを招く可能性がある。gate02の調査では、日本企業で拡張機能起因の機密漏えい事象が発生した場合、個人情報保護法違反で損害賠償が発生するリスクがあると指摘されている (gate02（セキュリティ研究室）)。企業は拡張機能導入時の審査プロセスを明确规定し、定期的な利用拡張の見直しを行うべきだ。

なぜこれが重要か

トレンドマイクロによると、2020年の悪質拡張キャンペーンでは関連ドメインが1.5万以上に上り、广告ブロッカー装いで閲覧履歴・認証情報を送信していた。個人でも企业でも、最初の拡張導入判断がその後のセキュリティリスクを左右する。

企業向けの教訓

Barracudaの報告では、ブラウザ拡張機能はブラウザハイジャックや企業スパイ活動に悪用されている。日本企业では取引先への信頼失墜リスクも加わるため、拡張機能 管理はITガバナンスの重要課題となる。

明確化された事実

直近5年間の事象で明確化された事実と、未解明の問題を整理する。

  • 拡張機能はブラウザAPIを使用して機能を提供することが確認されている (トレンドマイクロ（セキュリティ研究機関）)
  • 公式ストアでの安全性確保には限界がある (gate02（セキュリティ研究室）)
  • Earth KumihoによるAPT攻撃は2021年以降継続している (トレンドマイクロ（セキュリティ研究機関）)
  • VPN拡張功能のログ収集問題は2025年12月にKoi Securityが公开发表した (トレンドマイクロ（セキュリティ研究機関）)

未解明の問題

  • Manifest V3移行後に生じる新種リスクの全容
  • 全拡張機能のリアルタイム安全性評価方法
  • 企业内部での拡張機能利用状況把握の完全的解决方案

直近5年間（2020年～2025年）でChromiumベースのブラウザ拡張機能においてセキュリティリスクが顕在化した事例を取り上げます。公式ストアやプラットフォーム側の信頼スコアがリアルタイムなセキュリティ評価と繋がらないことを裏付けています。

— トレンドマイクロ研究チーム（セキュリティ研究者）(トレンドマイクロ)

拡張機能が不正化すると、ブラウザ内の操作やデータに影響が出やすくなります。権限の授予範囲が広ければ広いほど、被害も深刻化します。

— digitaldata-forensics（フォレンジック専門家）(digitaldata-forensics)

まとめ

ブラウザ拡張機能は生産性向上に有効な一方で、セキュリティリスク也很大きい。2020年の悪質拡張キャンペーンでは500件以上の悪質拡張機能が3,000万回ダウンロードされ、2024年にはEarth Kumihoがレジストリ操作でTRANSLATEXTを强制インストールする事件も発生した。公式ストア推荐バッジでもリアルタイムセキュリティ保証はない。

個人ユーザーは расширя 功能導入時にpermissions要求を必ず確認し、「すべてのWebsiteへのアクセス」を要求する拡張は本当に必要か再考すべきだ。企业ユーザーはITガバナンスポリシーで扩展功能 管理規定を明確化し、定期的な利用扩展の見直しを実施することで、機密漏えい・法的リスクを防ぐことができる。便利さとセキュリティのバランスはユーザー自身が主动的に判断する时代となった。

見逃し厳禁

よくある質問

ブラウザ拡張機能を持っているか確認する方法は？

Chromeでは「chrome://extensions」、Edgeでは「edge://extensions」にアクセスして拡張機能一覧を確認できます。インストール済み拡張機能 がすべて表示されます。

ブラウザ拡張機能を無効にする手順は？

拡張機能管理画面を開き、対象拡張のスイッチをオフにします。完全に削除する場合は「削除」ボタンをクリックします。

iPhoneでブラウザ拡張機能は使えますか？

Safari拡張機能として一部機能が利用可能です。ただしChromeやFirefoxのPC向け拡張機能の全機能とは限りません。

Chrome拡張機能のインストール方法は？

Chrome Web Storeから必要な拡張を検索し、「拡張機能を追加」→「拡張機能を追加」をクリックして確定します。権限要求画面で確認の上、インストールを完了させてください。

拡張機能の原因でブラウザが遅くなる場合は？

拡張機能管理画面で問題の拡張を特定し、オフにして閲覧速度が改善されるか確認します。複数の拡張同时有効はパフォーマンス低下の原因となります。

おすすめの安全な拡張機能は？

公式ストアで公开发入り済みで、安装数・評価が高く、権限要求が最小限のものを選ぶことを推奨します。AdBlock、uBlock Origin、Bitwardenなどは広く利用されています。

拡張機能を完全に削除するには？

拡張機能管理画面で「削除」→「拡張機能を削除」で完全に削除できます。データ残留が心配な場合は、ブラウザの設定からキャッシュクリアも実施してください。


Related reading: Android位置情報オフの方法 · ChatGPT Conversation not found対処法

Additional sources

wp.techtarget.itmedia.co.jp, keepersecurity.com, lock.pub