Chrome拡張機能がAIチャットデータを盗み、90万人のユーザーが被害

OX Securityの研究者は、正規の生産性ツールを装った悪意あるブラウザ拡張機能をインストールした結果、90万人以上のChromeユーザーが気付かないうちに機密性の高いAI会話を露出していたことを突き止めました。 

このキャンペーンは、信頼されているブラウザのエコシステムが、プロプライエタリデータ、個人情報、企業インテリジェンスを大規模に吸い上げるために、ひそかに悪用され得ることを浮き彫りにしています。

研究者によると、マルウェアは「『匿名で、個人を特定できない分析データ』への同意を求めることで悪意ある機能を追加しつつ、実際にはChatGPTおよびDeepSeekのセッションから会話内容を丸ごと流出させている」とのことです。 said

悪意ある拡張機能がデータを監視・収集する仕組み

インストールされると、悪意あるChrome拡張機能はchrome.tabs.onUpdated APIを悪用してユーザーの閲覧アクティビティを継続的に可視化しました。このAPIは、タブの変更やページ読み込みをリアルタイムで監視できるものです。 

この機能により、疑いを招くことなく、ユーザーがChatGPTやDeepSeekといったAIプラットフォームに移動したタイミングをマルウェアが密かに把握できました。

標的ページが検出されると、拡張機能はウェブページのドキュメントオブジェクトモデル（DOM）と動的にやり取りし、ブラウザセッションから直接機密コンテンツを抽出しました。 

これには、ユーザーのプロンプト全文、AIが生成した応答、会話を特定のユーザーや閲覧コンテキストに結び付けるセッション関連メタデータが含まれていました。 

データはレンダリング済みページそのものから収集されていたため、攻撃者はネットワークトラフィックを傍受したり、AIサービスの脆弱性を悪用したりする必要がありませんでした。

盗まれたデータが集約され、流出させられる仕組み

感染した各ブラウザインスタンスには一意の識別子が割り当てられ、脅威アクターはセッションをまたいで会話を関連付け、時間の経過とともに詳細なユーザープロファイルを構築できました。 

AIチャット内容に加えて、拡張機能は開いているすべてのChromeタブの完全なURLも収集し、ユーザーの閲覧習慣、社内アプリケーション、そして潜在的に機密性の高い企業リソースまで攻撃者が把握できる状態にしました。

収集されたデータは一時的にローカルに保存された後、集約され、Base64でエンコードされ、約30分ごとにスケジュールされたバッチとして攻撃者が管理するコマンド＆コントロール（C2）サーバーへ送信されました。 

この定期的な流出パターンは、検知される可能性を下げつつ、大規模で継続的なデータ収集を可能にしました。

注目すべき点として、この攻撃は高度なエクスプロイト、権限昇格、ゼロデイ脆弱性に依存していませんでした。 

その代わりに、過剰な拡張機能権限と、「匿名で、個人を特定できない分析」だけを収集すると主張する誤解を招く同意プロンプトを悪用しました。 

実際には、拡張機能は完全で個人を特定可能な会話内容と閲覧データを流出させていました。 

これは、正当なブラウザAPIと曖昧な権限説明が、無害な機能を装って広範な監視を可能にするために悪用され得ることを示しています。

AI搭載ブラウザ拡張機能によるリスクを低減する

AI対応ツールが日々のワークフローに不可欠になるにつれ、ブラウザ拡張機能は高リスクでありながら、しばしば過小評価される攻撃対象領域として浮上しています。 

このリスクを効果的に管理するには、強力な技術的統制、継続的な監視、そしてセキュリティ意識を備えたユーザーを組み合わせた多層的アプローチが必要です。

• 悪意ある拡張機能を直ちに削除し、影響を受けたユーザー、拡張機能ID、潜在的なデータ露出を特定するためにエンドポイントのテレメトリを確認する。
• 許可リストの適用、サイドロードのブロック、権限や所有者が変更された際の拡張機能の再検証を実施し、ブラウザ拡張機能を管理された攻撃対象領域として扱う。
• エンドポイントおよびブラウザ管理ツールを使用して、企業のブラウザプロファイルを強制し、未承認の拡張機能インストールを防止する。
• AI利用に対してデータ損失防止（DLP）の制御とログ記録を適用し、AIプラットフォームと共有される機密データの露出を検知・制限する。
• 監視する：異常なAPI使用や不審な外向き接続など、拡張機能ベースの侵害の兆候について、ブラウザおよびネットワーク活動を監視する。
• 従業員を教育する：AI対応ブラウザ拡張機能のリスクについて従業員を教育し、AIツールに対して最小権限アクセスを徹底する。
• 定期的にインシデント対応計画を拡張機能およびAI関連のシナリオでテストし、チームが迅速に侵害を封じ込め、データ露出を評価できるようにする。

これらの対策を組み合わせることで、ブラウザ拡張機能がデータ窃取や侵害の「静かな入口」になるリスクを低減し、事後対応のクリーンアップから能動的な防御へと組織を移行させる助けになります。 

摩擦の少ない「信頼」ベース攻撃の台頭

攻撃者は従来のソフトウェア脆弱性の悪用からますます離れ、代わりに信頼されたソフトウェアサプライチェーンや、機密データに最も近い位置にある広く使われるユーザー向けツールを標的にするようになっています。 

AIが日常のワークフローに深く組み込まれるにつれ、攻撃者はデータを追いかけています。利便性、暗黙の信頼、可視性のギャップを悪用し、従来のセキュリティ制御を作動させることなくアクセスを得ようとしています。 

こうした摩擦の少ない手法により、脅威アクターは大規模に静かに活動でき、日常的なツールや連携機能を、データ窃取や侵害の有効な侵入口へと変えてしまいます。 

攻撃者が技術的欠陥ではなく暗黙の信頼を悪用するようになる中、組織はデータやシステムへのアクセスを継続的に検証するゼロトラストモデルへとますます移行しています。