Microsoft Edgeは、Microsoft Defender SmartScreenまたはスケアウェアブロッカーが、通知経由でたどり着いた詐欺サイトを検出すると、そのWebサイトの通知を自動的に無効にするようになりました。
Microsoftは、2026年10月に展開したEdge 156でこの保護機能を導入しました。今回の変更が狙うのは、通知の継続的な悪用です。ユーザーが通知を許可すると、悪意あるWebサイトが偽のウイルス対策警告や、利用者を欺くセキュリティアラートを繰り返し送り付けてきます。
攻撃は、悪意あるページが訪問者にブラウザ通知のリクエストで「許可」を選ばせるところから始まります。この操作を、人間であることの確認に見せかけるケースもあります。
許可を得た攻撃者は、元のページを閉じた後でもアラートを送信でき、被害者を不正なサイトへ繰り返し誘導します。
この配信手法は、Matrix Push C2にも見られます。Matrix Push C2は、Webプッシュ通知を悪用してフィッシングの誘い文句や偽の更新プロンプト、悪意あるペイロードへのリンクを配布する、ブラウザネイティブのコマンド＆コントロール（C2）フレームワークです。
Microsoftはこの悪用パターンを特定しました。きっかけは、ユーザーから寄せられたスケアウェアブロッカーの報告の分析です。検出された詐欺ページの多くはWebサイトの通知から開かれており、既存のページ単位のブロックでは解消できない経路が繰り返し使われていることが浮き彫りになりました。
Edgeは今後、検出した詐欺と、その通知を送信したWebサイトを関連付け、そのサイトの通知を無効にします。次回のブラウザ起動時には、情報バーが表示され、この措置について説明します。
ユーザーは、判断が誤っていたと考える場合、Edgeの設定からブロックされたWebサイトを確認し、通知の許可を元に戻せます。この方式は、個々の詐欺ページをブロックするだけでなく、繰り返し配信される経路そのものを断ち切ります。
Chromeにも、悪質なWebサイトや組織的な通知ネットワークを対象とした通知許可の取り消しの仕組みがあります。ただしMicrosoftが公表した発動条件は、SmartScreenまたはスケアウェアブロッカーの検出結果を通知の送信元に直接結び付けている点が特徴です。
Microsoftによると、スケアウェアブロッカーは毎日数万人のユーザーを直接保護しています。関連するインテリジェンスは、さらに数百万人規模のユーザーを守るSmartScreenの保護にも活用されています。プレビュー期間中の調査では、送信された報告1件につき、新たに50人のユーザーを保護できる可能性が示されました。
Edgeは、通知許可のリクエストに「ブロックして報告」オプションも追加しました。通知が届く前に、不審なプロンプトを報告できます。
このオプションは、メニューの「ブロック」の隣に表示されます。報告には、リクエスト元のURLと、ページがどのように同意を取り付けようとしたかを示すスクリーンショットを含められます。
Microsoftは、この情報があれば、悪質な通知が最初に配信される前にSmartScreenへ反映できるとしています。これにより、対策の範囲は、検出済みの詐欺サイトから、許可を取り付ける最初の段階にまで広がります。
偽の確認ページは、注意して区別する必要があります。通知の悪用は、ユーザーにブラウザ通知を許可させるものです。一方、ClickFixによるコマンド実行は、被害者を誘導してWindowsのインターフェースからコマンドを貼り付け、実行させます。
どちらも身近な確認手順を悪用しますが、結果は異なります。前者は通知チャネルを確立するだけですが、後者はマルウェアを直接起動させる可能性があります。
Microsoftの発表が説明しているのは、通知元のブロックと報告の仕組みです。偽CAPTCHAによるあらゆる感染チェーンを防ぐ万能の対策ではありません。
ユーザーは引き続き、通知の三点メニューから不要な通知を手動で無効にできます。Microsoftは、不審なアラート内にあるほかのボタンは、セキュリティ上の問題とされるものを解決せず、別のポップアップウィンドウを開く場合があると注意を促しています。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。自社チームで試す
翻訳元: https://cyberpress.org/microsoft-edge-blocks-malicious-browser-notifications/
