ブラウザー拡張機能を悪用した大規模なマルウェアによるスパイ活動について、セキュリティ企業のKoi Securityは2025年12月26日、詳細な調査レポートを公開しました。
概要
レポートでは、中国系とみられる脅威アクター「DarkSpectre」が、少なくとも7年以上にわたり複数のサイバー攻撃キャンペーンを並行して展開し、累計で約880万人以上のユーザーに影響を与えてきた実態が明らかにされています。
単一グループによる複数キャンペーン
調査によると、DarkSpectreは一見すると無関係に見える複数のマルウェアキャンペーンを、共通のインフラや運用手法を用いて展開していました。代表的なものとして、以下の3つが確認されています。
-
ShadyPanda：長期間にわたり正規拡張として配布された後、監視やアフィリエイト詐欺を行うスパイウェアへと変化
-
GhostPoster：画像ファイルにマルウェアコードを隠す手法で、気付かれにくい形で不正コードを実行
-
Zoom Stealer：Web会議サービスを狙い、会議URLや参加者情報などの「会議インテリジェンス」を収集
これらは別々の犯罪者によるものではなく、同一グループが目的に応じて使い分けていたと結論づけられています。
Zoom StealerがZoomやMeetの情報を窃取
特に注目されているのが、新たに確認された「Zoom Stealer」キャンペーンです。これは会議補助ツールや動画関連拡張を装い、ZoomやMicrosoft Teams、Google Meetなど20以上のWeb会議サービスに対する広範なアクセス権限を要求します。
ユーザーが会議ページにアクセスすると、拡張機能は会議URL、埋め込まれたパスコード、開催日時、登壇者の氏名や所属などを自動的に収集し、リアルタイムで外部サーバーへ送信していました。影響を受けたユーザー数は約220万人に上るとされています。
長期潜伏型の巧妙な手口
DarkSpectreの特徴として、極めて長期間待機する戦略が挙げられます。
前段した多くの拡張機能は、数年にわたって完全に無害な状態で配布・運用され、公式ストアで高評価や認証バッジを獲得していました。
その後、アップデートや遠隔設定変更により、突如として不正な挙動を開始します。
この手法により、ストア審査や利用者の警戒を回避しつつ、大規模なユーザー基盤を一気に悪用できる点が、今回のキャンペーンを特に危険なものにしています。
中国系インフラとの関連
レポートでは、攻撃インフラの多くが中国国内のクラウド環境で運用されていることや、コード中に中国語のコメントや変数名が含まれている点も指摘されています。加えて、中国向けECサイトを狙ったアフィリエイト詐欺の仕組みが組み込まれていることから、中国語圏を主軸とした高度に組織化された活動である可能性が高いと分析されています。
利用者・企業への影響と対策
今回の調査は、ブラウザー拡張機能がもはや単なる「小さな便利ツール」ではなく、企業情報や会議内容にまでアクセスし得る重大なリスク要因であることを示しています。特に業務でWeb会議を多用する企業にとって、拡張機能経由での情報流出は、競争上・安全保障上の問題に直結する恐れがあります。
Koi Securityは、拡張機能を一度導入して終わりにするのではなく、継続的に挙動を監視し、不要な権限を持つ拡張は定期的に棚卸しすることの重要性を強調しています。
まとめ
DarkSpectreの事例は、ブラウザー拡張機能を起点とした脅威が、個人情報の窃取にとどまらず、企業の会議情報や戦略情報にまで及んでいる現実を浮き彫りにしました。長期間にわたり潜伏し、信頼を積み上げたうえで一気に悪用する手法は、今後も他の脅威アクターに模倣される可能性があります。
出典
DarkSpectre: Unmasking the Threat Actor Behind 8.8 Million Infected Browsers
関連記事
サイバー攻撃集団 ロックビット(LockBit)とは？
富士通で個人情報漏洩の恐れ マルウェア感染も
不正アクセスで「よどいこ！」から個人情報流出の可能性
モバイルファクトリーがSuishow 株式会社の現代表取締役へ訴訟提起 背景に「NauNau」のセキュリティ管理問題か？
国分生協病院がランサムウェア攻撃を受け、一部診療記録のPDFが閲覧不可に
北海道大学が不正アクセスで約2.3万の個人情報が流出した事を発表
ベネッセ 個人情報流出事件で地裁から賠償命令 3338人に計1100万円
WelcomeHRを運営するワークスタイルテックが約15万人の個人情報漏洩を発表
福島県郡山市の委託先社員がマイナンバーカードの個人情報を私的に利用
