Chrome SecurityとSafe Browsing、Firebase Cloud Messaging(FCM)による新たな技術概説によれば、Google Chromeは2026年第1四半期中、Android上での迷惑通知を1日あたり70億件以上削減したとのことです。
この節目は、詐欺師やマルウェア配布者、詐欺集団によって頻繁に悪用されてきたウェブ機能を抑制するための、数年にわたる取り組みの成果です。
ブラウザ通知は本来、ウェブサイトからのリアルタイムな正規の更新情報を提供するものですが、脅威アクターはこれを悪用し、偽の警告や偽のセキュリティ警告、認証情報を狙うおとり、不正な支払いプロンプトなどを送りつけるケースが増えています。
Chromeの対策は単一の検知メカニズムに依存していません。Googleはこのシステムを、通知の権限取得から始まるライフサイクル全体を通じて重なり合う複数の制御で不正利用に対処する「スイスチーズ」型の多層防御モデルだと説明しています。
主要な防御層の一つは、ユーザーが最近利用していないサイトから通知権限を自動的に剥奪する仕組みです。これにより、誤解を招く表示やソーシャルエンジニアリング、プロンプト疲労を狙った手口で同意を取り付けたサイトによる長期的な被害を抑えられます。
また、Chromeは疑わしい通知警告を繰り返し発生させるウェブサイトからも権限を剥奪します。剥奪された権限はChromeのSafety Hubで確認でき、信頼できる、あるいは有用だと判断すれば再度有効化することも可能です。ユーザーは引き続きこのプロセスをコントロールできます。
このアプローチにより、悪質なキャンペーンの持続性が低下します。ユーザーが迷惑な通知の発信元をひとつひとつ手作業で調べる必要はなく、Chrome側で活動パターンからサイトがもはや無関係になった、あるいはリスクが高まったと判断した時点でアクセスを削除できます。
Chromeはさらに、悪質な通知キャンペーンを連携して行うウェブサイトのネットワークを特定するための行動検知機能も拡充しています。このシステムはサービスワーカーの活動などのシグナルを分析し、複数のドメインが連携して動いているパターンを探します。
これが重要なのは、現代の通知悪用がしばしば分散型インフラに依存しているためです。攻撃者はドメインをローテーションさせたり、中間ページ経由でユーザーをリダイレクトさせたり、権限を取得するページと最終的に不正なコンテンツを配信するドメインを分離したりします。
各ウェブサイトを個別に評価するのではなく連携した挙動を検知することで、Chromeは関連する不正利用ネットワーク全体にわたって能動的に権限を剥奪できます。
これにより、個々のサイトを検査した際には比較的無害に見える場合でも、マルウェア配布や詐欺、欺瞞的なコンテンツに関連するキャンペーンを妨害できます。
配信レイヤーでは、Firebase Cloud Messagingが現在、悪質なドメインに対してPush APIのメッセージレート制限を適用しています。Googleは、サイト滞在時間に対する通知量の割合や権限プロンプトの頻度、全体的なユーザーエンゲージメントなどのシグナルを用いてサイトを評価します。
悪質と判定されたドメインは、1分あたり1,000件のメッセージに制限されます。この閾値を超えようとすると、HTTP 429「Too Many Requests」レスポンスが返され、大量の通知洪水がユーザーに届くのを防ぎます。
これらの制御は、正規の利用ケースを維持しつつ不正なトラフィックを制限するよう設計されています。違反を繰り返すサイトはより厳しい制限を課され、その制限は迷惑行為のない状態が一定期間続いた場合にのみ解除されます。
Chromeはまた、Android上の通知権限に関するユーザー体験も更新し、押し付けがましいプロンプトを減らして、閲覧を妨げることなくユーザーが十分な情報に基づいて選択できるようにしています。
これらの対策は総合的に、技術的な不正利用と、そもそも通知権限を取得するために使われるソーシャルエンジニアリングの手口の両方に対処するものです。
ユーザーは、デスクトップでは「設定 > プライバシーとセキュリティ > サイトの設定 > 通知」から、Androidでは「設定 > 通知」から、引き続き通知設定を確認・変更できます。
これらの権限を定期的に見直すことは、不要な通知を減らし、通知を悪用した詐欺への露出を抑える実践的な手段であり続けています。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの可視性を完全に高め、SOCを強化してMTTRを削減しましょう
翻訳元: https://cyberpress.org/google-chrome-blocks-7-billion-abusive-notifications/
