Googleは、詐欺やソーシャルエンジニアリングに対する新たなChromeの保護機能を発表しました。サイトに対する新しい警告、サーバー側でのGeminiによる分析、ClickFixコマンドの検出などが含まれます。
GeminiとClickFixに関する保護機能は、Googleが2020年に導入したセーフブラウジングのモード「保護強化機能（Enhanced Protection）」の一部です。同社は昨年、10億人を超えるChromeユーザーがこの機能を有効にしていると明らかにしました。
Googleによると、保護強化機能を使うと、フィッシング、ソーシャルエンジニアリング、通知の悪用などの詐欺に対して、標準保護（Standard Protection）より「10倍安全」になります。この指標は、各ユーザー群が受け取る安全性警告の件数の平均に基づいています。
Chromeのセーフブラウジングによるサイト警告は、2段階になりました。これは、ファイルのダウンロードに適用されていたモデルを踏襲したものです。ページが悪意あるものだとセーフブラウジングが高い確度で判断した場合は、従来どおり赤色の全画面警告「危険なサイト」が表示されます。
新設された「不審なサイト」は、確度がそれより低い判定を対象とします。既知の悪意あるサイトに典型的な欺瞞的手口を使うページに、このレベルの警告を出します。この警告は独自のデザインを採用しているため、より多くの警告を安全に表示できるとGoogleは説明しています。
GeminiによるAI詐欺検出も、Googleのサーバー側に移行しました。昨年始まったデバイス上で動作する版は、サポート詐欺（テクニカルサポート詐欺）を対象としており、対応デバイスの保護強化機能ユーザーに限られていました。
より高性能なサーバー側モデルは、すべての保護強化機能ユーザーが利用できるようになりました。偽のウイルス対策ソフトや偽のブラウザ更新ページなど、対象とする脅威も広がっています。
モデルによるページの審査では、表示されているブランド、ページの目的、詐欺の可能性を示すスコアなどのシグナルを確認します。Googleは「セーフブラウジングは、Geminiの分析結果をドメインの評判などのセキュリティシグナルと組み合わせて検討し、最終的な判定を下します」と説明しています。
同社によると、ページのテキストを分析するのは、サイトに詐欺の強い兆候がある場合に限られます。デバイスの外に送信されるページの内容は一時的に処理され、ログへの記録や保存、AIモデルの学習への利用は行われません。
ClickFix攻撃では、被害者を誘導して、自らコマンドを貼り付けて実行させます。そのコマンドは、ほぼ例外なくPowerShellなどのLiving off the Land（環境寄生型）バイナリを呼び出します。マルウェアのダウンロードはブラウザではなくターミナルで行われるため、ChromeやセーフブラウジングのダウンロードBP保護は機能しません。
Chromeは、保護強化機能ユーザーが不審なコマンドをコピーするよう仕向けられた状況を検知できるようになりました。Googleは次のように説明しています。「ClickFixスクリプトの疑いがあるものがコピーされると、クリップボードの内容から個人を特定できる情報（PII）を除去したうえでセーフブラウジングに送信し、詳細な分析を行います。危険と判定された場合、Chromeは警告を表示します」
同社は「このシステムは精度を高く保つように設計されており、ユーザーをリアルタイムで保護しながら、正当な開発者の作業への支障を最小限に抑えます」と付け加えています。
ChromeがHTTP接続前に確認を求めるように
Chromeは、暗号化されていないHTTPでサイトに接続する前に、ユーザーの承認を求めるようにもなりました。この機能は今年初めに保護強化機能のユーザーへ提供されていました。昨年の予告どおり、Googleは今回、すべてのユーザーを対象に既定で有効にしました。
Googleは、「保護されていない通信」というラベルだけでは不十分だと指摘しています。このような受動的な表示は見過ごされやすいことが研究で示されています。リダイレクトなど短時間で終わるHTTP通信には、そもそもラベルが表示されません。さらに大きな問題は、ラベルが表示される時点で、ユーザーのデータや接続がすでに危険にさらされていることだと同社は述べています。
確認画面は、HTTPサイトへの初回アクセス時に表示されます。Googleは「いったんHTTPの利用を承認すると、そのサイトを2週間以上訪問しなくなるまで、Chromeが再び警告することはありません」としています。
既定では、一般に信頼されるHTTPS証明書を取得できないサイトでは、警告が表示されません。たとえば、ラベルが1つだけのホスト名（シングルラベルのホスト名）やローカルIPアドレスです。Googleは、通信を改ざんするには攻撃者が同じローカルネットワーク上にいる必要があるため、こうしたホストは一般にリスクが低いと説明しています。
導入初期の数値によると、デスクトップ版Chromeユーザーの約95%は、ある週にHTTP警告をまったく目にしていません。3回以上目にしたのは1%未満です。モバイルユーザーが警告を目にする頻度はさらに低くなっています。
GoogleはChromeがこの方式を採用した最初のブラウザだとしたうえで、他のブラウザも追随することに期待を示しています。
