Google Chrome、新しいタブで開く乗っ取り拡張機能を標準ブロックへ企業ポリシー悪用への対策|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月04日更新日時: 2026年08月04日

Google Chromeで、企業管理向けのポリシーを悪用して新しいタブページや既定検索エンジンを乗っ取る拡張機能を、標準でブロックする方向の変更が進められています。BleepingComputerが2026年8月2日に報じた内容によれば、Chromium Gerrit上で関連する変更がレビュー中であり、承認後に既定有効化される予定です。

この問題は、Chrome拡張機能そのものの脆弱性というより、本来は企業や学校が端末を管理するための仕組みが、未管理の個人端末やBYOD端末で悪用される点にあります。セキュリティ対策Labではこれまでも、Chromeで108件の不正な拡張機能、ユーザーの情報漏洩の恐れやChromeとEdgeの拡張機能を悪用した巧妙なサイバー攻撃キャンペーンに注意で、ブラウザ拡張機能が企業環境のリスクになり得ることを取り上げてきました。今回の変更は、拡張機能のストア審査だけではなく、端末側のポリシー適用経路にも防御を入れる動きとして見ておく必要があります。

ChromeのNew Tab乗っ取り対策サマリー

Google Chromeでは、企業ポリシーで強制インストールされた拡張機能が、新しいタブページや既定検索エンジンを上書きする挙動を、未管理のWindows/macOS端末で標準ブロックする方向の変更が進められています。
対象は、正規の企業管理が確認できない低信頼環境です。Active Directory、MDM、Chrome Enterprise Coreなどで適切に管理された端末とは扱いが分かれる見込みです。
本稿執筆時点では、Chromium Gerrit上のレビュー中の変更であり、Chrome安定版で一般提供済みの機能ではありません。
企業の情報システム部門は、Chrome拡張機能の許可リスト、強制インストール設定、BYOD端末に残った古いローカルポリシーを確認する必要があります。
不審な拡張機能や身に覚えのない「組織によって管理されています」表示は、マルウェアや不要ソフトがローカルポリシーを改変している兆候になり得ます。

項目	内容
報道日	2026年8月2日
主な対象	Google Chromeの拡張機能管理、企業ポリシーによる強制インストール
影響を受ける可能性がある環境	未管理のWindows/macOS端末、個人端末、BYOD端末、古いローカルポリシーが残った端末
変更内容	企業ポリシーで強制インストールされた拡張機能が、新しいタブページや既定検索エンジンを上書きする場合にブロックする防御策
対象外または影響が限定的とみられる環境	Active Directory、MDM、Chrome Enterprise Coreなどで正規に管理された端末
現在の状態	Chromium Gerrit上でレビュー中。Chrome安定版で一般提供済みではない
CVE番号	該当なし
実際の悪用状況	企業ポリシーを悪用して拡張機能をロックし、検索や新しいタブを乗っ取るブラウザハイジャッカーの手口が背景にあります
情シス部門が確認すべきこと	ExtensionInstallForcelist、ExtensionSettings、既定検索エンジン関連ポリシー、BYOD端末の管理状態、拡張機能の棚卸し

何が起きたか

BleepingComputerは2026年8月2日、GoogleがChromeに新しい防御機能を導入する準備を進めていると報じました。報道によれば、この機能は、企業ポリシーによって強制インストールされた拡張機能が、新しいタブページや既定検索エンジンを乗っ取ることを防ぐものです。

Chromeには、企業や学校が端末を一括管理するためのポリシー機構があります。例えばChrome EnterpriseのExtensionInstallForcelistは、管理者が指定したアプリや拡張機能をユーザー操作なしでインストールし、Chromeの画面上からユーザーが削除または無効化できないようにするためのポリシーです。正規の企業端末では、パスワード管理、DLP、CASB、教育機関向けのフィルタリングなどを確実に配布するために使われます。

一方で、この仕組みは未管理の個人端末では悪用されることがあります。不要ソフトやマルウェアが端末上のローカルポリシーを変更し、Chromeに対して悪性または不要な拡張機能を管理者インストール済みとして見せかける手口です。ユーザーから見ると、Chromeに「組織によって管理されています」と表示され、拡張機能の削除ボタンが使えず、新しいタブや検索エンジンが勝手に変更されたように見えます。

今回の変更は、このような低信頼環境におけるポリシー悪用を抑止する狙いがあります。報道では、未管理のWindowsおよびmacOS端末で、New Tabや既定検索エンジンを上書きするポリシーインストール拡張機能をブロックするfeature flagを既定で有効化する変更として説明されています。

なぜ問題なのか

ブラウザの新しいタブページと既定検索エンジンは、単なる見た目の設定ではありません。ユーザーが日常的に検索語を入力し、業務システムやSaaSに移動する入口です。ここを拡張機能に奪われると、検索クエリの収集、広告・アフィリエイト目的のリダイレクト、偽の検索結果への誘導、フィッシングサイトへの誘導につながります。

特に問題になるのは、ユーザーが通常の拡張機能と同じ方法で削除できない点です。Chromeの公式ヘルプでは、管理されたChromeブラウザでは管理者が機能制限、拡張機能のインストール、アクティビティ監視などを行えると説明しています。本来は組織管理のための表示ですが、個人端末で身に覚えがない場合は、管理アカウント、不要なプログラム、認識していないポリシーや拡張機能を確認する必要があります。

従来のセキュリティ製品は、ブラウザ拡張機能を通常の実行ファイルほど明確に監視できない場合があります。拡張機能はブラウザのプロファイル内で動作し、ユーザーが業務で使うSaaS、Webメール、社内ポータルと同じブラウザ内に存在します。セキュリティ対策Labの企業向けHR／ERPプラットフォームを狙う、悪性のChrome拡張機能でも触れたように、拡張機能はSaaSの認証境界を外側から崩す経路になり得ます。

現在のChromeの企業ポリシーと今回の変更点

Chrome EnterpriseのExtensionInstallForcelistは、管理者が指定した拡張機能をサイレントインストールし、ユーザーがChromeのインターフェースから削除または無効化できないようにする仕組みです。この仕様自体は、企業や学校の端末管理では必要なものです。

今回の変更が狙っているのは、企業管理そのものではなく、正規の管理基盤にひも付かない低信頼環境です。BleepingComputerが引用したChromium Gerrit上の説明では、未管理の個人端末では企業ポリシーの強制インストールや推奨設定が、検索エンジンや新しいタブページをロックするハイジャッカーに悪用されているとされています。

報道されている変更内容は、大きく分けると次のようなものです。新しいタブページまたは既定検索エンジンを上書きするポリシー管理拡張機能のインストールをブロックし、対象拡張機能のIDをブロック済み設定として保持します。同じ拡張機能をポリシーチェックのたびに再ダウンロードし続けないようにし、ネットワーク負荷や再感染のように見える挙動も抑えます。

さらに、ユーザーが手動で入れた拡張機能を、後からポリシー管理のロック付き拡張機能へ変換する手口にも対応する見込みです。これにより、当初はユーザーが削除できる通常の拡張機能だったものが、後から管理対象化されて削除不能になるリスクを下げられます。

正規の管理端末への影響

現時点で公表・報道されている内容を見る限り、今回の変更は正規の企業管理を否定するものではありません。Chromeのポリシー資料では、WindowsやmacOSにおける外部拡張機能の強制インストールについて、Active Directoryドメイン参加、Azure Active Directory参加、MDM管理、Chrome Enterprise Core登録など、管理状態に応じた条件が示されています。

つまり、企業がChrome Enterprise Core、MDM、グループポリシー、Entra ID参加端末などを適切に使っている場合、業務に必要な拡張機能の強制配布そのものが直ちに禁止される話ではありません。BleepingComputerの報道でも、正規管理者向けには、必要な企業拡張機能が新しいタブや検索エンジンを上書きする場合に備えた回避用ポリシーが用意されるとされています。

ただし、例外ポリシーが存在するから安全という話ではありません。新しいタブや既定検索エンジンを変更する拡張機能は、ユーザーの検索導線とブラウザ初期画面を制御します。業務要件として本当に必要か、代替手段がないか、拡張機能の発行元・権限・更新履歴を確認した上で許可すべきです。

企業で起こりやすい見落とし

今回の話で情報システム部門が見落としやすいのは、管理端末だけを見て安心してしまう点です。実際には、退職者端末、検証用PC、現場部門が独自購入したPC、BYOD、委託先が使う端末、過去のGPOやMDM設定が残った端末など、半端な管理状態の端末が存在します。

こうした端末では、Chromeのポリシーがローカルに残ったままになり、誰が設定したのか分からない拡張機能が残存することがあります。利用者は「会社が管理しているのだろう」と思い込み、情シスに問い合わせないまま使い続ける可能性があります。個人端末で突然「組織によって管理されています」と表示された場合も、利用者がそれを正規の表示だと受け取ってしまうと、発見が遅れます。

拡張機能は、インストール時点では問題がなくても、後から更新で挙動が変わることがあります。セキュリティ対策Labでは、Chromeの拡張機能 82件がユーザーから収集した個人情報を販売-650万人超が影響や悪意あるEdge拡張機能「Edgecution」を利用したランサムウェアの拡散キャンペーンでも、拡張機能が情報収集や侵害経路として使われる問題を取り上げています。今回のGoogle側の変更は、こうしたリスクのうち、特にポリシーによるロックと検索導線の乗っ取りに焦点を当てた対策といえます。

ユーザー側で確認すべき兆候

企業の従業員や個人ユーザーは、Chromeの新しいタブページが急に変わった、検索エンジンが意図せず変更された、拡張機能の削除ボタンが押せない、Chromeメニューに「組織によって管理されています」と表示される、といった兆候に注意が必要です。

業務端末であれば、自己判断でポリシーやレジストリを削除するのではなく、情報システム部門へ確認するのが原則です。一方、私物端末で身に覚えのない管理表示が出る場合は、Googleのヘルプが案内するように、管理アカウント、認識していないポリシー、不要なプログラム、見慣れない拡張機能を確認し、必要に応じてChrome設定のリセットや端末側のマルウェア確認を行う必要があります。

本記事では、悪用につながる具体的なローカルポリシー改変手順やレジストリ操作の詳細は記載しません。企業で対応する場合は、管理コンソール、MDM、GPO、EDRの端末調査機能を通じて、正規の変更か不正な変更かを切り分けるべきです。

情報システム部門への示唆

情報システム部門は、Chromeの拡張機能管理を「利用者任せの便利機能」として扱わない方がよいです。現在の業務はSaaS利用が中心であり、ブラウザはほぼ業務端末そのものです。拡張機能が検索、Cookie、認証セッション、入力フォーム、ページ遷移に触れられる場合、影響は従来のデスクトップアプリ以上に大きくなります。

実務上は、拡張機能の棚卸しから着手するのが現実的です。Chrome Enterprise CoreやMDMを使って、インストール済み拡張機能、発行元、権限、インストール方法、強制インストールの有無を一覧化します。業務上必須の拡張機能は許可リスト化し、それ以外は原則ブロックまたは申請制にする運用が望ましいです。

ExtensionInstallForcelistやExtensionSettingsを利用している場合は、新しいタブページや既定検索エンジンを変更する拡張機能が含まれていないかを確認します。必要な場合でも、なぜその機能が必要なのか、同じ目的をChromeの標準ポリシーやブックマーク配布、社内ポータルの案内で代替できないかを見直すべきです。

BYODや委託先端末については、より注意が必要です。正規のMDMやChrome Enterprise Core管理下にない端末で、ローカルポリシーだけに依存した拡張機能配布を続けていると、今回のような保護強化の影響を受ける可能性があります。利用者に対しても、身に覚えのない「組織によって管理されています」表示、新しいタブや検索エンジンの変更、削除できない拡張機能を見つけた場合の連絡先を明確にしておく必要があります。

最後に、今回の変更はChrome側の重要な防御強化ですが、これだけで拡張機能リスクがなくなるわけではありません。Chromeはすでに、ストアから削除された拡張機能やマルウェア判定された拡張機能をユーザーに通知・無効化する安全確認機能も導入しています。それでも、悪性拡張機能、買収された拡張機能、過剰な権限を持つ正規拡張機能は残ります。ブラウザ拡張機能は、EDRやSaaS監査と同じく、継続的に管理すべき攻撃面として扱うべきです。