ブラウザ拡張機能とそのリスクについて

ブラウザ拡張機能の概要

仕事の遅れを取り戻そうとコンピューターの前に座っているところを想像してください。Webブラウザを開くと、ポップアップ広告がいくつか表示されるので、1つずつ閉じます。個人用Eメールをざっと見ると、仕事用のカレンダーに追加する必要がある予定リマインダーに気づきます。また、お気に入りのブランドからフラッシュセールに関するプロモーションEメールが届いています。気が散ってしまう前に、携帯電話に1時間のタイマーを設定し、この時間だけ集中して本来のタスクに取り組み、それが済んだら個人的な活動や余暇活動に没頭します。

ここまでのすべてのアクションを手動で実行するのではなく、1つか2つのデジタルアシスタントが手助けしてくれるとしたらどうなるでしょうか。すべての広告をフィルタで除外する人、会議をカレンダーに自動的に同期する人、さらには優先度の高いタスクに集中できるように邪魔なものをブロックする人などがいるわけです。

アシスタントを雇えるような人は限られているため、ほとんどの人はブラウザ拡張機能（Webブラウザの機能を強化およびカスタマイズする小さなソフトウェアモジュール）などの代替策を検討します。ユーザーが自分のニーズや好みに合わせてオンラインエクスペリエンスをカスタマイズするためにブラウザ拡張機能をインストールするのはよくあることですが、こうしたツールには重大なセキュリティリスクも伴います。ブラウザ拡張機能は、サイバー攻撃者に悪用されたり、マルウェアの媒体として機能したりするという別の面もあります。

この投稿では、ブラウザ拡張機能が生産性向上とセキュリティリスクの両面で果たす役割について見ていきます。また、従業員が正規のブラウザ拡張機能を安全かつ効果的に使用できるようにするために実行できる手順について、クラウドストライクの専門家が説明します。

ブラウザ拡張機能とは

ブラウザ拡張機能は、プラグインやアドオンとも呼ばれ、Chrome、Firefox、Edge、SafariなどのWebブラウザの機能を強化およびカスタマイズする小さなソフトウェアモジュールです。ユーザーは、これらのツールをインストールして、自分のニーズや好みに合わせてブラウジング体験をカスタマイズし、Webサイトの機能性を高めます。

ブラウザ拡張機能が実行できる一般的なタスクには、次のようなものがあります。

• ポップアップ広告や動的コンテンツをブロックおよびフィルタリングします。
• パスワードを保存および保護します。
• 指定したWebサイトやアプリケーションに費やされた時間を追跡または制限します。
• スペルや文法など文章の問題をチェックして修正します。
• 支援機能でアクセシビリティとインクルーシビティを高めます。

上記のリストに示されているように、ブラウザ拡張機能は機能を追加するもや制限するものになります。つまり、新機能を追加したり、他の要素を削除したりすることで、操作性を高めることができます。例えば、画像を説明する代替テキストを提供してアクセシビリティを高めたり、ポップアップ広告やオンライン動画の自動再生をブロックしたりできます。  

現在、生成AIの登場により、ブラウザ拡張機能も完全なAIアシスタントへと進化しています。これは、ブラウザデータの収集と分析、タスクの自動化、推奨事項の提供、アラートの通知ができる高度なツールです。

ブラウザ拡張機能に関連するリスク

ブラウザ拡張機能は、Webユーザーにとって便利なツールですが、同時に重大なセキュリティリスクも生じます。ブラウザ拡張機能をドアに例えてみます。ユーザーを新たな可能性の世界へと開く反面、エクスプロイトへの入り口となる可能性もあります。

正当な拡張機能を適切に機能させるためには、多くの場合、かなりの権限が必要になりますが、中には実際に必要な以上のアクセスを要求するものもあります。こうした権限が悪意のあるアクターに悪用されると、Webトラフィック、保存済みの認証情報、セッションCookie、クリップボードデータなどの機密データや機密情報にアクセスされる可能性があります。

このような貴重なデータが、悪意のある目的に利用されたり、利益目的で販売されたりする可能性があります。例えば、入手した認証情報を使用して、アイデンティティベースの攻撃を実行したり、説得力のあるフィッシング詐欺に役立てたりする可能性があります。

例えば、クラウドストライクの研究者によると、Kironマルウェアファミリーを背後で操っていた攻撃者は、2024年にブラウザ拡張機能を武器化して、EメールアドレスやブラウザCookieなどの機密性の高いユーザーデータを盗み出しました。このマルウェアのコア内に暗号化したZIPファイルとして拡張機能が埋め込まれており、拡張機能にはWebページでEメールアドレスをスキャンしたり、WebメールタブをモニタリングしてCookieを盗み出したりするためのスクリプトが組み込まれていました。盗み出されたCookieは、コマンド&コントロールサーバーに流出しました。認証情報が盗み出されると、アカウントの乗っ取りや、さらなるエクスプロイトが可能になります。

また、拡張機能はブラウザアプリケーションに直接統合され、プロセス開始イベントを生成しないため、従来のデスクトップアプリケーションと比較してセキュリティの問題を検出するのは容易ではありません。このギャップにより、脅威アクターは「ありふれた風景の中に潜み」、長期間にわたって検知されずに有害な活動を実行することができます。

ブラウザ拡張機能のリスクとしてよく見られるのが、正当な拡張機能に過剰な権限を付与することです。悪意を持って拡張機能をプログラムしたり、拡張機能を悪用してマルウェアを配布したりする可能性があります。

クラウドストライクが本番環境のブラウザ拡張機能を評価したところ、拡張機能の半分以上が過剰とも言える権限を要求していました。こうして昇格した権限は、重大なリスクをもたらします。悪意のあるアクターに、Webトラフィックのモニタリングやブラウザタブの変更を許すことになります。

悪意のあるブラウザ拡張機能の特定

悪意や問題のあるブラウザ拡張機能を見つけるのは容易ではなく、特にソフトウェアの複雑さを十分に理解していないユーザーにとっては困難です。ただし、ある種の兆候に気づくと、明らかに悪意のある拡張機能や潜在的に有害な拡張機能を見つけることができます。例えば、次のようなものがあります。

• 不必要な権限や侵襲的な権限を要求している：悪意のあるブラウザ拡張機能は、動作に必要な以上の権限を要求することがよくあります。すべての閲覧データへのアクセスや、Webサイトのコンテンツを変更する権限を要求する拡張機能には注意してください。過剰なアクセスが攻撃者に獲得されると、機密情報の入手、ユーザーアクティビティのモニタリング、Webページへの悪意のあるスクリプトの挿入が可能になります。
• 広告の挿入やユーザー振る舞いの追跡を行う：悪意のあるブラウザ拡張機能の中には、不正な広告を挿入してユーザーのオンラインでの振る舞いを追跡することで、ユーザーセッションを操作するものがあります。操作性が阻害されるだけでなく、個人情報やパスワードなどのデータが収集されて、第三者に販売されてプライバシーが侵害されたり、サイバー攻撃の高度化に使用されたりすることがあります。
• 信頼できないWebサイトにユーザーをリダイレクトする：拡張機能が疑わしいWebサイトや信頼できないWebサイトにユーザーをリダイレクトしている場合、フィッシング攻撃やマルウェアダウンロードといったサイバー脅威にさらされる可能性があります。この戦術は、広告収入を得たり、不正なログインページを通じてユーザーの認証情報を盗んだりする場合によく使用されます。

ブラウザ拡張機能を管理するための6つのベストプラクティス

ブラウザ拡張機能を効果的に管理することは、サイバーセキュリティ戦略に不可欠です。次のベストプラクティスを実装すると、拡張機能に伴うリスクを最小限に抑えつつ、拡張機能の利点を最大限に活用できます。

ブラウザ拡張機能を管理するためのベストプラクティスとは

1. インストールする拡張機能の数を制限する

2. 信頼できるソースから拡張機能をダウンロードする

3. 権限をモニタリングする

4. 拡張機能を最新の状態に保つ

5. 拡張機能のリスクをユーザーに周知する

6. ブラウザ拡張機能のセキュリティを評価する

1. インストールする拡張機能の数を制限する

拡張機能の数が増えると、リスクも増えます。攻撃対象領域を縮小して潜在する脆弱性を抑えるには、必要なブラウザ拡張機能のみをインストールするようにします。

また、使用されなくなった拡張機能や、他のツールと機能が重複している拡張機能がないか、定期的にレビューしてアンインストールすることも重要です。時間の経過とともに発生する脆弱性を最小限に抑え、高度な攻撃手法から保護できるようになります。

例えば、攻撃者がよく使う戦術の1つに所有権の乗っ取りがあります。これまで正当でユーザーベースもすでに存在するブラウザ拡張機能を脅威アクターが購入するか乗っ取り、悪意のある更新をプッシュして標的のシステムを侵害するというものです。

2. 信頼できるソースから拡張機能をダウンロードする

悪意のある拡張機能の中にはよく似た名前やブランドを使用して評判の良いベンダーを模倣するものも多いため、ブラウザ拡張機能をインストールする際には注意を怠らないようにする必要があります。また、人気のある機能を備えたツールを低コストで販売することで、需要につけ込むものもあります。

リスクを最小限に抑えるには、次の手順に従ってください。

• 公式ブラウザストアまたは信頼できる開発者からのみ拡張機能をダウンロードします。
• ユーザーのレビューと開発者の詳細を確認して、拡張機能の信頼性を検証します。
• インストールする前に、拡張機能のセキュリティプロトコルを評価し、必要な権限を慎重にレビューします。

ブラウザ拡張機能に関して、ユーザーが行う最も危険な行為の1つに「サイドローディング」があります。拡張機能ファイルを直接追加することで、公式Webストア以外のソースからブラウザ拡張機能をインストールするといった行為です。この場合、ブラウザストアが備える通常の安全対策が回避されます。攻撃者は、一見正当なソフトウェアアプリケーションに悪意のある拡張機能をバンドルすることで、この手法を悪用します。このようなアプリケーションをインストールすると、隠し拡張機能もインストールされて、攻撃者がユーザーのブラウザやデータにアクセスできるようになります。

3. 拡張機能の権限をモニタリングする

過剰な権限は、悪意のあるブラウザ拡張機能が潜在しうることを示す危険信号ですが、正当な拡張機能であってもリスクをもたらす可能性があります。すべてのWebサイトデータ、クリップボードの内容、ブラウザ履歴にアクセスするといった権限は、拡張機能が意図する機能に必要な範囲を超える可能性があります。このような権限により、拡張機能が侵害された場合に機密情報の公開やエクスプロイトを招く可能性があります。

リスクを軽減するには、インストール中に要求された権限が拡張機能の目的に本当に必要なものであることを常に確認するようにします。Webストアから拡張機能をダウンロードする場合でも、拡張機能の中にはインストール時に権限を拡張するものや、追加で悪意のあるペイロードをダウンロードするものがあることに注意することが重要です。これはよく見られる難読化戦術で、攻撃者は当初最小限の権限要件でWebストアに拡張機能を公開するものの、悪意を持ってその影響範囲を拡大していきます。

ユーザーは、明確な理由なく機密データへの不要なアクセスを要求する拡張機能の権限を取り消す必要があります。疑問がある場合は、ITサポートチームに相談してツールを使用しても安全かどうかを評価し、安全でない場合は安全な代替手段を検討します。

備忘録：市場には何十万ものブラウザ拡張機能があり、似たような目的を果たすものがいくつもあります。あるツールが目的のセキュリティとプライバシーの好みに合わないのであれば、セキュリティが強化された同じ機能を提供する定評あるツールが他に見つかるかもしれません。

4. 拡張機能を最新の状態に保つ

多くのサイバー攻撃は、パッチが適用されていないソフトウェアの脆弱性に起因します。セキュリティチームはオペレーティングシステムや主要なアプリケーションの更新に重点を置くことが多いのですが、ブラウザ拡張機能は大きなリスクを伴うにもかかわらず、見落とされがちです。

このリスクを軽減するには、自動更新を有効にするか、拡張機能を手動で更新して、最新のセキュリティパッチが組み込まれるようにします。また、古くなったソフトウェアは時間の経過とともに脆弱性が増すため、開発者によるサポートやメンテナンスが廃止された拡張機能があれば削除します。

5. 拡張機能のリスクをユーザーに周知する

防御は教育から始まります。全従業員に堅牢なセキュリティトレーニングを実施することで、アセット、オペレーション、お客様を保護できます。

このトレーニングには、レビューの低いものや開発者が不明なものなど、悪意が潜在する拡張機能を識別するためのガイダンスを含めます。また、拡張機能の権限を確認する方法と、何を持って「過剰な権限」とするのかについてのレッスンも含めます。また、疑わしい振る舞いを認識するように従業員に周知します。拡張機能の中には、信頼できないWebサイトにリダイレクトする、追加のダウンロードを促す、アプリケーション設定の変更を試みるといったものもあります。

従業員は、警告サインだけでなく、十分に検証されていない拡張機能や悪意のある拡張機能に関連するデータプライバシーリスクを明確に理解する必要があります。例えば、ブラウザ拡張機能がアプリケーションのパスワードをどのように取得して保存するか（ハッカーがパスワードデータを悪用して、Eメールやバンキングプラットフォームなど他のアカウントに不正にアクセスできるか）をデモで見せることで、これらのリスクの重大度を個人と組織の両方に示すことができます。

6. ブラウザ拡張機能のセキュリティを評価する

ブラウザ拡張機能のセキュリティを評価することは、個人と組織の両方にとって、デジタルアクティビティとアセットを保護するための重要なステップです。正当なブラウザ拡張機能であっても重大なリスクをもたらす可能性があるため、新しい拡張機能をダウンロードする場合にも既存の拡張機能を使用する場合にも、ブラウザ拡張機能を多面的に評価してリスクを抑えることが重要です。

堅牢なブラウザ拡張機能を評価する場合は、拡張機能から要求される権限をレビューする必要があります。新規のブラウザ拡張機能をインストールする場合でも、既存の拡張機能を使用する場合でも、それぞれの拡張機能から要求される権限を慎重にレビューすることが重要です。拡張機能が意図する機能と一致し、指定されたタスクの実行に必要なデータにのみ制限された権限にする必要があります。過剰な権限は、重要な警告サインであることに留意してください。正当な拡張機能にとっても危険信号であり、悪意のある拡張機能の兆候でもあります。

ブラウザ拡張機能のセキュリティを評価することは、複雑で時間がかかる作業になりがちですが、デジタル環境を保護するためには不可欠です。従来のセキュリティツールでは、正規のブラウザ拡張機能の脆弱性を検知できないこともあり、組織が潜在的な脅威にさらされることになります。

このような課題を踏まえると、信頼できるサードパーティベンダーに依頼して包括的にブラウザ拡張機能を評価することが理想的な解決策と言えます。ベンダーの専門家は専用のツールと知識を備えているため、脆弱性を効果的に特定して対処するとともに、そうしたツールの利点を享受できるようになります。

CrowdStrike Falcon® Exposure Managementによるブラウザ拡張機能の保護

CrowdStrike Falcon® Exposure Managementは、ブラウザ拡張機能に関連するリスクの管理および緩和を支援する包括的かつプロアクティブなセキュリティサービスです。

Falcon® Exposure Managementにはブラウザ拡張機能を評価する機能が含まれており、セキュリティチームは次を行うことができます。

• ブラウザ拡張機能に関連するセキュリティリスクを特定して評価する
• 企業全体で拡張機能をモニタリングおよび評価して、コンプライアンスのフレームワーク（つまり、GDPRやSOC2など）とセキュリティポリシーとの整合性を維持する
• 悪意のある拡張機能や非準拠の拡張機能に対して迅速な対策を講じて組織を保護する

CrowdStrike Falcon® Exposure Managementを使用すると、セキュリティチームはリアクティブではなくプロアクティブセキュリティで制御します。このソリューションとそれをサポートする機能および評価により、エクスポージャー管理を一元化するアプローチが可能になり、セキュリティを損なうことなく生産性を高めることができるようになります。