Chromeで108件の不正な拡張機能、ユーザーの情報漏洩の恐れ|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年04月16日更新日時: 2026年04月16日

Chrome Web Storeで108件の不正な拡張機能、ユーザーの情報漏洩の恐れ

Socketは2026年4月13日、Chrome Web Store上で公開されていた108件の拡張機能が、共通のC2基盤を使ってデータ流出、セッション窃取、バックドア動作を行っていたと公表しました。拡張機能は5つの開発者名義で公開され、合計で約2万インストールに達していたとされます。

概要

今回確認された108件の拡張機能は、Telegram用サイドバー、スロットやKeno系ゲーム、YouTubeやTikTok向け拡張、翻訳ツール、ページ操作系ユーティリティなど、見た目には通常の機能を持つ形で公開されていました。

しかしSocketは、これらがすべて cloudapi[.]stream を中心とした同一のバックエンドへ接続し、盗んだ情報や端末状態を同じ運営者側へ送っていたと説明しています。調査時点では、これらの拡張機能はChrome Web Store上で公開状態にあり、SocketはGoogleへ削除要請を出したとしています。

GoogleのChrome Web Storeポリシーでは、スパイウェア、悪意あるスクリプト、フィッシング詐欺、無断でのメッセージ送信、虚偽または矛盾するプライバシー表示などを禁止しています。今回Socketが示した挙動は、少なくともこうした禁止事項に複数触れる内容です。

何が起きたか

最も深刻な拡張機能としてSocketが挙げたのは Telegram Multi-account です。

この拡張機能は web.telegram.org 上で localStorage 全体と user_auth トークンを取得し、15秒ごとに tg[.]cloudapi[.]stream/save_session.php へ送信していました。さらにC2側から受け取った別セッション情報で被害者の localStorage を上書きし、Telegramを再読み込みさせる処理も備えており、被害者のブラウザを別アカウントへ強制的に切り替えられる構造でした。

54件の拡張機能では、Googleサインイン時に chrome.identity.getAuthToken({ interactive: true }) を使い、userinfo APIから取得したメールアドレス、氏名、プロフィール画像、sub を mines[.]cloudapi[.]stream/auth_google へ送信していました。ここで重要なのは、Socketの一次情報では、OAuth2 Bearer token 自体はブラウザ外へ送信されず、攻撃者側に送られるのは恒久的なGoogleアカウント識別情報だと説明されている点です。二次記事ではトークン窃取と強く書かれがちですが、少なくともこの54件についてSocket本文が示しているのは、主にアカウント識別情報の収集です。

また45件の拡張機能には loadInfo() という共通関数があり、Chrome起動時に自動で mines[.]cloudapi[.]stream/user_info へ拡張機能IDを送信し、応答に infoURL があれば新しいタブでそのURLを開く仕組みが実装されていました。ユーザーが拡張機能を手動で開かなくても動作し、ブラウザ再起動後も継続するため、Socketはこれを汎用バックドアと位置付けています。

さらに翻訳系の拡張機能では、登録時にメールアドレスと氏名を送信し、その後の翻訳リクエスト本文も攻撃者側サーバー経由で処理されていました。つまり、単なる利用者識別だけでなく、実際に入力した文章そのものも監視対象になっていたことになります。

原因

今回の件は、単一の不正拡張機能が見つかったというより、複数の名義とカテゴリを使い分けた組織的な展開が行われていた点に特徴があります。

Socketは、108件すべてが同じC2基盤を使い、同じインフラ上で管理されていたと説明しています。C2は Contabo 上の 144[.]126[.]135[.]238 で運用され、cloudapi[.]stream 配下の複数サブドメインが、Telegramセッション窃取、Googleアカウント識別情報の収集、遠隔URL起動、課金や運営管理などに分担利用されていました。

また54件のGoogleサインイン系拡張機能では、56個のOAuth2クライアントIDが2つのGoogle Cloud project番号に集約されていました。Socketはこれを、5つの開発者名義があっても実質的には単一運営者が管理している根拠としています。さらに支払いポータルやユーザーID管理の存在から、単独犯ではなくマルウェア・アズ・ア・サービス型の運用である可能性も示しています。

影響

一次情報から見えている実害は、Telegram Webのセッション窃取とアカウント差し替え、Googleアカウント識別情報の蓄積、翻訳入力文の監視、ブラウザ起動時の任意URLオープン、YouTubeやTikTokへの広告注入などです。中でもTelegram拡張は、単なる情報収集ではなく、セッションを奪って別アカウントへ切り替えるところまで踏み込んでいました。

企業利用の観点では、拡張機能が一見すると業務補助ツールや翻訳ツール、SNS補助ツールに見える点が厄介です。Chrome Web Storeポリシーでは、単一目的であること、機能を明確に開示すること、ユーザーデータの利用目的を正確に示すことが求められていますが、今回の拡張機能群はその表向きの機能の裏で、実際には別用途の情報収集や遠隔制御を行っていました。

対応

Socketは利用者に対し、公開したIOC内の拡張機能IDと自分のインストール済み拡張機能を照合し、一致したものは直ちに削除するよう勧告しています。Telegram Multi-account を使っていた場合は、Telegramアプリの Settings から Devices を開き、他のWebセッションをすべて終了する対応を求めています。Googleサインインを行った拡張機能については、第三者アプリのアクセス権を見直し、不審なものを取り消すよう案内しています。

企業や情シス向けには、cloudapi[.]stream とそのサブドメイン、top[.]rodeo の通信遮断、Google Cloud project番号 1096126762051 と 170835003632 を使う identity 権限付き拡張機能の洗い出し、loadInfo() パターンの検出が推奨されています。拡張機能は業務効率化の名目で入りやすいため、EDRやMDMだけでなく、ブラウザ拡張機能そのものを監査対象に含める必要があります。

出典

108 Chrome Extensions Linked to Data Exfiltration and Session Theft via Shared C2 Infrastructure