ブラウザの拡張機能が情報を抜き取る仕組み
広告ブロック、翻訳、クーポン自動適用、スクリーンショット——ブラウザの拡張機能は便利です。ワンクリックで入るので、気づくと10個以上入っている、という方も多いのではないでしょうか。
その拡張機能、あなたが見ているすべてのページを読み取れる権限を持っているかもしれません。今日は、拡張機能が何をできるのか、そしてどう見直すかを解説します。
拡張機能がどこまで見られるのか
拡張機能をインストールするとき、こんな確認が出ます。
「訪問したウェブサイトのすべてのデータの読み取りと変更」
さらっと表示されるので流してしまいがちですが、これは文字通りの意味です。
- あなたが開いたすべてのページの中身を読める
- 入力したフォームの内容（ID・パスワード・カード番号）も読める
- ページの表示内容を書き換えられる
- 読み取った内容を外部のサーバーに送れる
つまり、銀行にログインしている画面も、拡張機能からは丸見えということです。
「最初は善良だった」拡張機能が危ない
多くの人が誤解しているのは、「怪しい拡張機能を入れなければ大丈夫」という点です。実際に起きているのは、もっと厄介なパターンです。
買収されて中身が変わる
人気の拡張機能が別の会社に売却され、アップデートで情報収集の機能が追加される。利用者は自動更新で受け入れてしまいます。インストール時に安全でも、今も安全とは限りません。
開発者アカウントが乗っ取られる
開発者のアカウントが乗っ取られ、正規の配信ルートから悪意あるバージョンが配られるケースもあります。
そもそも情報収集が目的
「無料の便利ツール」の対価が、閲覧履歴の収集であることは珍しくありません。プライバシーポリシーに小さく書かれていることもあります。
今すぐできる見直し手順
1. 一覧を開く
- Chrome：アドレスバーに
chrome://extensionsと入力 - Edge：
edge://extensions - Firefox：
about:addons
2. 使っていないものを削除する
判断基準はシンプルです。「直近1ヶ月で使ったか」。 使っていないなら消してください。必要になったら入れ直せます。
3. 権限を確認する
各拡張機能の「詳細」を開くと、許可されている権限が見られます。機能に対して権限が過剰なものは要注意です。
- 電卓の拡張機能が「すべてのサイトのデータ」を要求 → 不自然
- 翻訳ツールが「すべてのサイトのデータ」を要求 → まあ妥当
4. サイトへのアクセスを制限する
Chromeなら、拡張機能ごとに「クリックした場合のみ」「特定のサイトのみ」に制限できます。常時読み取りが必要な拡張機能は、実はそれほど多くありません。
入れる前に確認したいこと
- 提供元は誰か（知らない個人開発のものは慎重に）
- ユーザー数とレビュー（極端に少ないものは避ける）
- 最終更新日（何年も更新されていないものは、放置＝脆弱性が残っている可能性）
- 求められる権限（機能に見合っているか）
そして何より、「本当に必要か」を一度考えてください。多くの機能は、拡張機能なしでも実現できます。
特に注意したい種類
以下は、性質上どうしても強い権限を必要とするため、信頼できる提供元のものだけを使ってください。
- クーポン自動適用系（決済ページを読む必要がある）
- パスワード管理系（入力欄を操作する必要がある）
- VPN・プロキシ系（通信そのものを経由する）
パスワード管理ツールは有用ですが、大手の有名なものを選ぶのが原則です。
業務用パソコンでは特に
会社のパソコンでは、拡張機能のインストールを管理者権限で制限するのが理想です。社員が善意で入れた拡張機能から、顧客情報が外部に送られる——という事故は実際に起きています。
一般ユーザーに管理者権限を与えない運用にするだけで、大半は防げます。
見直しのご相談も承ります
「入っている拡張機能が安全かどうか分からない」という場合は、一覧画面のスクリーンショットを送っていただければ確認します。BULLCOM Security の LINE 無料相談をご利用ください。
法人のお客様には、業務端末の設定方針についてもご提案しています。お気軽にご相談ください。