Chromeウェブストアに737個の偽VPN拡張機能、有名ブランドを装いSOCKS5プロキシへ通信を誘導 7万5,000件超がインストール|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月14日更新日時: 2026年08月14日

セキュリティ企業Socketの脅威調査チームは2026年8月、Chromeウェブストアで公開されていた737個の無料VPN・プロキシ拡張機能が、Proton VPNやNordVPNなど66の有名なVPN・プライバシーサービスのブランドを装いながら、実際にはブラウザの全通信を単一の事業者が運営するSOCKS5プロキシ経由で送信していたことを明らかにしました。少なくとも40のChromeウェブストア開発者アカウントを通じて公開され、累計で7万5,000件超のインストールを記録していたとされています。

この記事のサマリー

Socketの脅威調査チームは、Chromeウェブストアで公開されていた737個の無料VPN・プロキシ拡張機能が、少なくとも40の開発者アカウントを通じて公開されていたことを発見しました。
このうち274個は、Proton VPN・NordVPN・Surfshark・ExpressVPN・AdGuard VPN・CyberGhost・Windscribe・TunnelBear・CloudflareのDNSサービス「1.1.1.1」・Google Outlineなど、66の実在するVPN・プライバシーサービスのブランド名や意匠を模倣していました。
累計のインストール数は7万5,486件で、Socketが調査時点で516個が引き続き公開されており、うち5万8,318件のインストールが確認されています。212個は調査時点で既に削除されていました。
主な標的はロシア語話者の利用者で、Instagram・ChatGPT・YouTubeなど、ロシア国内でブロックされているサービスへのアクセスを求める利用者が対象とされています。
Socketが解析した522個のパッケージのうち520個は、Chromeの「chrome.proxy.settings」というAPIを使い、ブラウザの通信を固定のSOCKS5プロキシ（ポート1082）へ強制的に送信するよう設定されていました。バイパスリストにはローカルアドレスのみが含まれており、利用者が「接続」を押すと、それ以外のすべての通信が事業者側のインフラを経由する状態になっていました。
拡張機能のうち104個は、プロキシの接続先ホスト名をCloudflareやGoogleの暗号化DNS（DNS over HTTPS）経由で解決しており、事業者のドメインが精査されるのを避ける狙いがあったとみられています。66個は、拡張機能を更新することなくリダイレクトを追跡し新しいインフラのドメインを見つけ、設定をダウンロードできる、リモート設定の仕組みを備えていました。

整理表

項目	内容
公表日	2026年8月
発見・公表元	Socket 脅威調査チーム（研究者：Kush Pandya氏）
対象	Chromeウェブストアで公開されていた無料VPN・プロキシ拡張機能
拡張機能の総数	737個
有名ブランドを模倣した拡張機能数	274個（66の実在ブランドを模倣）
公開に使われた開発者アカウント数	40以上（分析用アカウントも共有）
累計インストール数	75,486件
調査時点で稼働中の拡張機能・インストール数	516個、58,318件
調査時点で既に削除済みの拡張機能数	212個
主な標的	ロシア語話者の利用者（検閲回避目的）
通信のリダイレクト先	単一事業者が運営するSOCKS5プロキシ（ポート1082）
解析対象パッケージのうち固定プロキシへ転送する設定だった数	522個中520個
DNS over HTTPSで接続先を隠蔽していた拡張機能数	104個
リモート設定機能を備えていた拡張機能数	66個

何が起きたか

Socketの脅威調査チームによると、今回確認された737個の拡張機能は、少なくとも40のChromeウェブストア開発者アカウントを通じて公開され、分析用のアナリティクスアカウントを共有していました。このうち274個は、Proton VPN・NordVPN・Surfshark・AdGuard VPN・Browsec・ExpressVPN・CyberGhost・Windscribe・TunnelBear・CloudflareのDNSサービス「1.1.1.1」・GoogleのOutline・AmneziaVPN・AntiZapretなど、66の実在するVPN・プライバシーサービスのブランド名や意匠を模倣していました。

これらの拡張機能は、主にロシア語話者の利用者を標的としており、Instagram・ChatGPT・YouTubeといった、ロシア国内で規制されているサービスへのアクセスを求める利用者に向けて、キリル文字での名称・説明文を用いていました。累計のインストール数は7万5,486件に上り、調査時点で516個が引き続き公開されており、うち5万8,318件のインストールが確認されています。残り212個は、研究者らが収集した時点で既にストアから削除されていました。

技術的な仕組み——固定プロキシへの一律転送

Socketが解析した522個のパッケージのうち520個は、Chromeの「chrome.proxy.settings」というAPIを使い、単一の事業者が運営するSOCKS5プロキシ（ポート1082）へ、ブラウザの通信を固定的に転送するよう設定されていました。バイパスリストにはlocalhostや127.0.0.1といったループバックアドレスのみが含まれており、実質的にはすべての通信が対象になります。利用者が拡張機能上で「接続」ボタンを押すと、以降のすべてのタブの通信が、分割トンネリング（一部の通信だけを迂回させる仕組み）を経ずに、事業者側のインフラを経由する状態になっていました。

この構成は、事業者が利用者と接続先の間に立つ、いわゆるアドバーサリー・イン・ザ・ミドル（中間者）の位置を占めることを意味します。Socketは、この位置にいる事業者が、接続先のWebサイト、TLSのSNI（サーバー名表示）情報、利用者の送信元IPアドレス、および暗号化されていないHTTP通信で送信される認証情報を含むあらゆるデータを閲覧できる状態にあったと説明しています。ただし同社は、クライアント側のコードのみを観測したとしたうえで、実際にプロキシ側のインフラがデータを保持・改ざん・持ち出ししたと断定するものではないという留保も付け加えています。

あわせて、拡張機能のうち104個は、プロキシの接続先ホスト名をCloudflareまたはGoogleの暗号化DNS（DNS over HTTPS）経由で解決しており、通常のドメイン照会よりも事業者のドメインが精査されにくくする狙いがあったとみられます。66個は、拡張機能自体を更新することなく、Webのリダイレクトを追跡して新しいインフラのドメインを特定し、設定をダウンロードできる、リモート設定の仕組みを備えていました。

意図的な欺瞞を示す複数の兆候

Socketは、今回の拡張機能群の挙動そのものは、正規のVPN・プロキシサービスと技術的には変わらないとしたうえで、意図的な欺瞞を示すいくつかの兆候を確認しています。実在しない日本・シンガポール・カナダ・オーストラリア・トルコの「プレミアムサーバー」を宣伝し、サブスクリプション詐欺に利用していた例、接続に毎回失敗するにもかかわらず、動作しているように見える接続アニメーションやステータス表示を含む偽のインターフェースを見せ続けていた例が確認されています。

さらに、研究者らは「Промт для сотрудников（従業員向けプロンプト）」と題されたロシア語の内部マニュアルも発見しています。このマニュアルには、ドメインをそのまま「chrome.proxy.settings」に指定することを避け、解決済みのIPアドレスのみを使うよう指示する内容や、別の拡張機能で使われたドメインを、個別の指示なしに再利用しないよう求める内容が含まれていました。Chromeウェブストアのポリシーを意図的に回避しようとする痕跡を示すコード内のコメントも確認されており、これらを踏まえ、この一連のキャンペーンは、ロシア国内向けのサブスクリプション型VPNサービスへ利用者を誘導する試みだったとみられています。

情報システム部門・個人が確認すべき対策ポイント

従業員が業務端末に無料のVPN・プロキシ拡張機能をインストールしていないか、社内で棚卸しを行ってください。特に、有名ブランド名を冠した拡張機能であっても、公式サイトからのリンク以外を経由してインストールされたものは注意が必要です。
企業でChrome拡張機能の導入を許可制（許可リスト方式）にしている場合、無料VPN・プロキシ系の拡張機能を対象から除外することを検討してください。
VPN・プロキシ機能を持つ拡張機能を評価する際は、開発元の実在性、プライバシーポリシーの有無、ユーザーレビューの内容に加えて、公式ブランドのドメインと拡張機能の配布元が一致しているかを確認してください。
拡張機能の「接続」操作後、通信内容を暗号化する正規のVPNサービスであっても、企業として利用を許可する場合は、事前に評価済みの製品リストに限定する運用を検討してください。
同種の悪性Chrome拡張機能によるブラウザ通信の乗っ取りについては、900万件ダウンロードされている悪質なChrome VPN拡張機能がユーザーの閲覧データを盗むでも解説しています。あわせてご参照ください。