800万人のAIチャット履歴が「プライバシー」拡張機能によって収益目的で売却されていた

数週間前、私は人生の重要な決断に頭を悩ませていました。いつものように、私はClaudeを開いて考えを声に出し始めました。選択肢を並べ、トレードオフを比較検討し、意見を求めていたのです。

会話の途中で、私はふと手を止めました。自分がどれだけのことを共有してきたかに気づいたのです。この決断のことだけではありません。ここ数カ月にわたる会話——個人的な悩み、健康に関する質問、財務の詳細、仕事の愚痴など、他の誰にも話していないことまで含まれていました。私はAIアシスタントに対して、自分の人生の大半の人々に対するよりも率直に話す関係を築いていたのです。

そして、ある不快な考えが頭をよぎりました。もし誰かがこれを全部読んでいたら?

その考えは頭から離れませんでした。セキュリティ研究者として、私にはその疑問に答えるための手段があります。

発見の経緯

私たちは、エージェント型AIリスクエンジンであるWingsを使い、AIチャットプラットフォームから会話を読み取って外部に送信する機能を持つブラウザ拡張機能をスキャンしました。想定していたのは、インストール数の少ない、素性の怪しい発行元による、いくつかの無名な拡張機能でした。

しかし、結果はまったく違うものでした。

リストの上位に現れたのは、Urban VPN Proxyでした。600万人を超えるユーザーを抱えるChrome拡張機能です。レビュー数58,000件で評価4.7つ星。さらにGoogleの「Featured(注目)」バッジも付与されていました。これは手動レビューを通過し、Googleが言うところの「ユーザーエクスペリエンスとデザインにおける高い水準」を満たしていることを意味します。

プライバシーとセキュリティを謳う無料VPN。まさに、オンラインで自分の身を守りたいと思う人がインストールするようなツールです。

私たちはさらに深く調査することにしました。

判明した事実

Urban VPN Proxyは、10のAIプラットフォームにまたがって会話を標的にしています。

ChatGPT
Claude
Gemini
Microsoft Copilot
Perplexity
DeepSeek
Grok (xAI)
Meta AI

この拡張機能は各プラットフォームごとに、会話を傍受・取得するために設計された専用の「エグゼキュータ」スクリプトを備えています。この収集機能は、拡張機能の設定内にハードコードされたフラグによって、デフォルトで有効化されています。

これを無効にするためのユーザー向けの切り替えスイッチは存在しません。データ収集を止める唯一の方法は、拡張機能を完全にアンインストールすることだけです。

仕組み

データ収集はVPN機能とは独立して動作します。VPNが接続されていてもいなくても、この収集はバックグラウンドで継続的に実行されます。

技術的な仕組みは次のとおりです。

1. AIプラットフォームへのスクリプト注入

この拡張機能はブラウザのタブを監視しています。対象となるAIプラットフォーム(ChatGPT、Claude、Geminiなど)のいずれかにアクセスすると、「エグゼキュータ」スクリプトがページに直接注入されます。各プラットフォームには、chatgpt.js、claude.js、gemini.jsといった専用のスクリプトが用意されています。

2. ブラウザのネイティブ関数の上書き

注入されたスクリプトは、あらゆるネットワークリクエストを処理するブラウザの基本API、fetch()とXMLHttpRequestを上書きします。これは攻撃的とも言える手法です。スクリプトは元の関数をラップすることで、そのページ上のすべてのネットワークリクエストとレスポンスが、まず拡張機能のコードを経由するようにします。

つまり、Claudeが応答を返すときや、あなたがChatGPTにプロンプトを送信するとき、ブラウザがそれを描画する前に、拡張機能は生のAPI通信をすでに把握しているということです。

3. 解析とパッケージ化

注入されたスクリプトは、傍受したAPIレスポンスを解析し、プロンプト、AIの応答、タイムスタンプ、会話IDといった会話データを抽出します。このデータはパッケージ化され、window.postMessageを通じて拡張機能のコンテンツスクリプトに送られます。その際、PANELOS_MESSAGEという識別子が付与されます。

4. バックグラウンドワーカーによる外部送信

コンテンツスクリプトは、実際の外部送信を担う拡張機能のバックグラウンドサービスワーカーにデータを転送します。データは圧縮され、analytics.urban-vpn.comやstats.urban-vpn.comを含むUrban VPNのサーバーへ送信されます。

収集される情報:

AIに送信するすべてのプロンプト
受け取るすべての応答
会話識別子とタイムスタンプ
セッションのメタデータ
使用している具体的なAIプラットフォームとモデル

タイムライン

AI会話の収集機能は、最初から存在していたわけではありません。私たちの分析によると、経緯は以下のとおりです。

バージョン5.5.0以前: AI収集機能は存在しない
2025年7月9日: AI収集機能がデフォルトで有効化された状態でバージョン5.5.0がリリース
2025年7月〜現在: 対象となるAIプラットフォームとのユーザーの会話がすべて取得・外部送信されている

ChromeとEdgeの拡張機能は、デフォルトで自動更新されます。VPN機能という本来の目的のためにUrban VPNをインストールしたユーザーは、ある日気づけば、新しいコードによって密かにAI会話を収集される状態になっていたのです。

2025年7月9日以降にUrban VPNをインストールした状態でChatGPT、Claude、Geminiなど対象プラットフォームを利用したことがある人は、それらの会話がすでにUrban VPNのサーバーに送られ、第三者と共有されたと考えるべきです。医療に関する質問、財務の詳細、独自のコード、個人的な悩み——そのすべてが「マーケティング分析目的」で売却されていたのです。

「AI保護」機能の実態

Urban VPNのChromeウェブストアの掲載ページでは、「AI保護」が機能の一つとして宣伝されています。

「高度なVPN保護 — 当社のVPNは、フィッシング詐欺、マルウェア、迷惑な広告からブラウジング体験を守るための追加のセキュリティ機能を提供します。AI保護機能はプロンプト内の個人情報(メールアドレスや電話番号など)を確認し、AIチャットの応答に不審または安全でないリンクが含まれていないかチェックし、クリックまたは送信の前に警告を表示します。」

この説明からは、AI監視機能はユーザーを保護するために存在しているかのような印象を受けます。うっかり共有してしまいそうな機密情報をチェックし、応答内の不審なリンクについて警告してくれる、というわけです。

しかし、コードが物語る実態はまったく違います。データ収集機能と「保護」通知機能は、それぞれ独立して動作しています。警告機能を有効にしても無効にしても、会話が収集・外部送信されるかどうかには一切影響しません。この拡張機能は、設定にかかわらずすべてを収集しているのです。

この「保護」機能は、機密データをAI企業と共有していることについて時折警告を表示します。一方で収集機能は、その同じ機密データを——それ以外のすべてとともに——Urban VPN自身のサーバーへ送信し、広告主に売却しています。この拡張機能は、あなたがChatGPTにメールアドレスを共有していることを警告しながら、同時にあなたの会話全体をデータブローカーへ流出させているのです。

さらに深刻な事態

Urban VPN Proxyの挙動を記録した後、私たちは同じコードが他の場所にも存在していないか確認しました。

結果は「存在していた」でした。同一のAI収集機能が、同じ発行元による他の7つの拡張機能にも、ChromeとEdgeの両方にわたって存在していたのです。

Chromeウェブストア:

Urban VPN Proxy — 6,000,000ユーザー
1ClickVPN Proxy — 600,000ユーザー
Urban Browser Guard — 40,000ユーザー
Urban Ad Blocker — 10,000ユーザー

Microsoft Edgeアドオン:

Urban VPN Proxy — 1,323,622ユーザー
1ClickVPN Proxy — 36,459ユーザー
Urban Browser Guard — 12,624ユーザー
Urban Ad Blocker — 6,476ユーザー

影響を受けたユーザーの総数: 800万人超。

これらの拡張機能は、VPN、広告ブロッカー、「ブラウザガード」セキュリティツールと、それぞれ異なる製品カテゴリーにまたがっていますが、共通の監視バックエンドを共有しています。広告ブロッカーをインストールしたユーザーには、自分のClaudeとの会話が収集されているとは想像もつかないはずです。

これらの拡張機能はすべて、Edge向けのUrban Ad Blockerを除き、各ストアから「Featured(注目)」バッジを付与されています。このバッジは、拡張機能がレビュー済みでプラットフォームの品質基準を満たしていることをユーザーに示すものです。多くのユーザーにとって、Featuredバッジの有無は、その拡張機能をインストールするか見送るかを左右する決め手になります。つまり、GoogleやMicrosoftによる暗黙の推薦にほかなりません。

運営元は誰か

Urban VPNは、データブローカー企業BiScience(B.I Science (2009) Ltd.)と関連のあるUrban Cyber Security Inc.によって運営されています。

この企業は、以前から研究者たちの注目を集めていました。Secure AnnexのJohn Tuckner氏をはじめとするセキュリティ研究者たちは、以前からBiScienceのデータ収集手法を記録してきました。その調査で明らかになったのは以下の点です。

BiScienceは数百万人のユーザーからクリックストリームデータ(閲覧履歴)を収集している
データは永続的なデバイス識別子と紐づけられており、再識別が可能になっている
同社はサードパーティの拡張機能開発者向けに、ユーザーデータを収集・売却するためのSDKを提供している
BiScienceはAdClarityやClickstream OSといった製品を通じてこのデータを販売している

今回の私たちの発見は、この事業の拡大を示すものです。BiScienceは、閲覧履歴の収集から、完全なAI会話の収集へと踏み出しました。これは、はるかに機密性の高いデータの領域です。

プライバシーポリシーには、このデータの流れが明記されています。

「当社は、Webブラウジングデータを関連会社である……BiScienceと共有します。同社はこの生データを利用してインサイトを作成し、商業的に利用するとともにビジネスパートナーと共有します」

開示をめぐる問題

公平を期すために言えば、Urban VPNはこうした点の一部を開示してはいます——探すべき場所を知っていれば、の話ですが。

同意プロンプト(拡張機能のセットアップ時に表示される)には、「訪問したページ」や「セキュリティシグナル」とともに「ChatAI通信」を処理する旨が記載されています。そして、これは「これらの保護を提供するため」に行われるとしています。

プライバシーポリシーには、文書の奥深くに埋もれる形で、さらに踏み込んだ記述があります。

「AIの入力および出力。ブラウジングデータの一環として、当社はエンドユーザーが入力したプロンプト、または該当する場合にAIチャットプロバイダーが生成した出力を収集します。」

そして、こうも書かれています。

「当社はまた、マーケティング分析目的でAIプロンプトを開示します。」

しかし、ユーザーが実際にインストールを判断する場である、Chromeウェブストアの掲載ページには、これとは異なる説明が示されています。

「この開発者は、承認された利用ケースの範囲外で、あなたのデータが第三者に販売されることはないと表明しています」

この掲載ページには、拡張機能が「閲覧履歴」と「ウェブサイトのコンテンツ」を扱う旨が記されていますが、AI会話について具体的に触れている箇所はありません。

この矛盾は看過できないものです。

同意プロンプトは、AI監視機能を保護的なものとして描いています。しかしプライバシーポリシーでは、そのデータがマーケティング目的で売却されていることが明かされています。
ストアの掲載ページには、データは第三者に販売されないと書かれています。しかしプライバシーポリシーでは、BiScienceや「ビジネスパートナー」との共有、「マーケティング分析」への利用が説明されています。
2025年7月以前にインストールしたユーザーは、更新された同意プロンプトを一度も目にしていません。AI収集機能は、バージョン5.5.0でのサイレントアップデートによって追加されたものだからです。
同意プロンプトを目にしたユーザーでさえ、細かい選択の余地はありません。VPNだけを承諾してAI収集を拒否する、といったことはできません。すべてか、無かのいずれかです。
VPNが切断されている場合や、AI保護機能がオフになっている場合でも、データ収集が継続される旨をユーザーに示す記載は一切ありません。ユーザーがどの機能を有効にしているかに関わらず、この収集機能はバックグラウンドで静かに動き続けています。

Googleの責任

Urban VPN Proxyは、Chromeウェブストアにおいて、Googleの「Featured(注目)」バッジを付与されています。Googleの説明によれば次のとおりです。

「Featured拡張機能は、当社の技術的なベストプラクティスに従い、ユーザーエクスペリエンスとデザインにおける高い水準を満たしています。」

「Featuredバッジが付与される前に、Chromeウェブストアチームは各拡張機能を審査する必要があります。」

つまり、Googleの担当者がUrban VPN Proxyをレビューし、基準を満たしていると判断したということになります。そのレビューでは、Google自身のAI製品(Gemini)から会話を収集するコードが見落とされていたか、あるいは把握した上で問題視しなかったか、そのいずれかということになります。

Chromeウェブストアの限定利用ポリシーは、「広告プラットフォーム、データブローカー、その他の情報再販業者といった第三者へのユーザーデータの譲渡または販売」を明確に禁止しています。BiScienceは、自らの説明によれば、まさにデータブローカーです。

この拡張機能は、本稿執筆時点でも公開されたままであり、Featuredバッジも維持されています。

結びに

ブラウザ拡張機能は、独特な信頼の立場を占めています。バックグラウンドで動作し、ブラウジング活動に広くアクセスでき、ユーザーに確認を取ることなく自動更新されます。ある拡張機能がプライバシーとセキュリティを謳っているとき、ユーザーがその真逆のことをしていると疑う理由はほとんどありません。

今回の事例が際立っているのは、単に規模が800万人に及ぶという点や、扱われているデータが完全なAI会話という機密性の高いものであるという点だけではありません。これらの拡張機能がレビューを通過し、Featuredバッジを獲得し、ユーザーがオンライン上で生み出す最も個人的なデータの一部を収集し続けながら、何カ月も公開され続けていたという事実です。ユーザーを保護するはずのマーケットプレイスが、逆にこれらの拡張機能にお墨付きを与えてしまっていたのです。

もしこれらの拡張機能のいずれかをインストールしている場合は、今すぐアンインストールしてください。2025年7月以降に行ったAIとの会話は、すでに収集され第三者と共有されたものと考えてください。

本稿はKoiのリサーチチームによって執筆されました。

私たちがKoiを開発したのは、まさにこうした脅威を検知するためです。つまり、マーケットプレイスのレビューをすり抜け、密かに機密データを外部へ送信する拡張機能を捉えるためです。私たちのリスクエンジンWingsは、脅威がチームに到達する前に捉えるべく、ブラウザ拡張機能を継続的に監視しています。

デモを予約することで、行動分析が静的レビューでは見逃されるものをどう捉えるかをご確認いただけます。

皆様のご安全をお祈りしています。

侵害指標(IOC)

Chrome:

Urban VPN Proxy: eppiocemhmnlbhjplcgkofciiegomcon
Urban Browser Guard: almalgbpmcfpdaopimbdchdliminoign
Urban Ad Blocker: feflcgofneboehfdeebcfglbodaceghj
1ClickVPN Proxy for Chrome: pphgdbgldlmicfdkhondlafkiomnelnk

Edge:

Urban VPN Proxy: nimlmejbmnecnaghgmbahmbaddhjbecg
Urban Browser Guard: jckkfbfmofganecnnpfndfjifnimpcel
Urban Ad Blocker: gcogpdjkkamgkakkjgeefgpcheonclca
1ClickVPN Proxy for Edge: deopfbighgnpgfmhjeccdifdmhcjckoe

‍

翻訳元: https://www.koi.ai/blog/urban-vpn-browser-extension-ai-conversations-data-collection