Chrome拡張機能のセキュリティリスクとは？実例と対策

コラム更新日：2026.05.21

「業務効率化のために、社員が自由に Chrome 拡張機能を追加している」という状況は、目に見えないところで重大なセキュリティリスクに繋がります。拡張機能は便利なツールですが、中には認証情報を盗み取ったり、Web サイトの内容を勝手に外部送信したりする悪質なものも存在します。本記事では、拡張機能に潜む脅威と、組織を守るための具体的な管理手法を解説します。「個人の注意」に頼らない、強固なセキュリティ体制を構築しましょう。

執筆・監修：TSクラウド編集部

Google Cloud の「プレミア認定」を保有する、Google Workspace 正規販売代理店です。業界歴 17 年、延べ 3,500 社以上の導入支援実績（ 2026 年 2 月時点）に基づき、Google Workspace の最新機能から活用術、DX推進に役立つノウハウを専門的な視点で解説しています。

※情報は記事公開（更新）時のものです。Google Workspace の仕様や価格は変更される場合があるため、最新情報は必ず公式ページでご確認ください。

その Chrome 拡張機能、本当に安全？ビジネスに潜む 3 つの脅威

ブラウザの利便性を大幅に向上させる拡張機能ですが、その反面、サイバー攻撃に悪用されるといったセキュリティリスクも存在します。従業員が良かれと思って導入したツールが、実は組織の機密情報を外部へ垂れ流す「窓口」になっている可能性があるのです。特に、業務の多くがブラウザ上で完結する現代のビジネス環境において、拡張機能の脆弱性は社内ネットワーク全体を脅かす致命的な弱点となりかねません。

認証情報（ID・パスワード）の漏洩

悪質なスパイ型拡張機能は、ブラウザ上のログイン情報（ID・パスワード）や、Web サービスのセッションデータ（Cookie など）を盗み出すことがあります。これにより、社内システムや取引先システムに外部の第三者が不正アクセスする「なりすまし」のリスクが急増します。一度認証情報が流出すれば、気付かないうちに内部情報が抜かれ続けるといった深刻な事態に陥ります。

機密・個人情報の流出

多くの拡張機能が求める「閲覧中の Web ページの内容を読み取る」権限は、ビジネスにおいて非常に危険です。この権限をもつ拡張機能が悪性化した場合、業務中に入力した顧客情報、見積書の内容、開発中のソースコードなどがそのまま外部サーバーへ送信される恐れがあります。これは個人情報保護法などの規制に抵触するだけでなく、企業の信用失墜や多額の損害賠償、さらには取引停止といった取り返しのつかない法的・経営的リスクを招きます。

社内ネットワークへの踏み台（バックドア化）

一部の拡張機能は、単なるデータ窃取にとどまらず、感染した端末を「踏み台」にして社内ネットワーク内部へ侵入するための情報収集を行います。これは強力なマルウェア感染や、ランサムウェア攻撃の足がかり（バックドア化）になるケースが報告されています。ブラウザという「信頼されたアプリケーション」の内部で動作するため、従来のアンチウイルスソフトでは検知が難しく、攻撃者にネットワーク内部への自由な出入りを許してしまう危険性があります。

実際にあった！拡張機能による情報漏洩とマルウェア被害の実例

日常的に利用するカラーピッカー、広告ブロッカー、翻訳ツールといった「一見無害なツール」が、ある日突然牙を剥くのが拡張機能の恐ろしさです。ここでは、公式ストアの審査をすり抜けて拡散した具体的な被害事例を紹介します。

108 個の悪質拡張機能による大規模データ収集の事例

合計 108 個もの悪質な Chrome 拡張機能が連携し、約 2 万人のユーザーから機密データを盗み出すという大規模な攻撃事例が確認されています。これらの拡張機能は、一見すると便利なツールとして配布されていましたが、バックグラウンドでは悪意のあるプログラムを走らせ、ウェブセッションやログイン識別情報（メールアドレスや氏名など）をごっそりと窃取し、攻撃者のサーバーへ送信する巧妙な仕組みをもっていました。

出典：The Hacker News「108 Malicious Chrome Extensions Steal Google and Telegram Data, Affecting 20,000 Users 」

RedDirection の事例（不正なリダイレクトやデータ窃取）

230 万人以上が感染した「RedDirection」と呼ばれる大規模なブラウザハイジャック攻撃は、Chrome と Microsoft Edge の両方に影響を与えました。攻撃者は、まず無害なコードで拡張機能をリリースして公式ストアの信頼（認証バッジなど）を獲得し、ユーザー数が増えた段階でアップデートを通じて悪意のあるコードを注入しました。感染したブラウザでは、URL の自動収集やフィッシングサイトへの強制リダイレクトが行われ、多くのユーザーが偽のソフトウェア更新ページなどを介してさらなる被害に遭いました。

出典：The Register「Massive browser hijacking campaign infects 2.3M Chrome, Edge users 」

なぜ防げない？拡張機能のリスク要因と「悪性化」のメカニズム

拡張機能のリスクが非常に厄介なのは、インストールした時点では「安全」であっても、その後のアップデートによって「悪性」へと変貌する点にあります。

「サプライチェーン攻撃」の恐怖

拡張機能のリスク管理を難しくしている最大の要因は、最初は善意で開発されたツールが、後から「悪性化」するサプライチェーン攻撃です。開発者が収益化に限界を感じ、第三者に所有権を売却した際、新しいオーナーが悪意あるコードを仕込む事例が多発しています。

たとえ数百万ダウンロードを誇る人気ツールであっても、所有者が変われば一瞬で情報を盗み取るマルウェアへと変貌するのです。また、開発者のアカウント自体がフィッシング攻撃で盗まれ、公式ストア経由で悪意のあるバージョンが配信されるケースもあります。公式ストアの審査プロセスでさえ 100 % の安全を担保できないのが現状です。

「非公式サイト」からの強制インストール

通常、拡張機能は公式ストア経由で導入しますが、攻撃者はセキュリティ審査を回避するためにさまざまな手法を駆使します。近年のマルウェア感染事例では、PC 内の特定のレジストリ（登録情報）を勝手に編集し、ユーザーの操作を一切介さずに悪質な拡張機能を強制インストールする手法が確認されています。これにより、ブラウザを開いただけで特定の不審なサイトへ強制リダイレクトされるといった被害が、世界中で数十万台規模で発生しています。

また、ユーザーが利便性のために未検証の .crx や .zip ファイルをローカルから直接読み込む「デベロッパーモード」による追加も、ビジネス環境では大きなリスクとなります。これらの経路は公式ストアのセキュリティチェックを完全に無効化するため、より露骨で悪質なプログラムが混入しやすくなります。現場の社員が「便利そうだから」と公式サイト以外からツールを入手する行為は、組織のセキュリティゲートを自ら開放しているのと同義です。

不可視の「バックグラウンド動作」

拡張機能の多くは、ユーザーがブラウザを閉じない限りバックグラウンドで常駐し続けます。特に「全ドメインのデータ読み取りと変更」といった過剰な権限をもつ拡張機能は、ユーザーが今どの URL を閲覧し、何を入力しているかをリアルタイムで監視できてしまいます。ユーザー側で権限設定を都度見直すことは稀であるため、拡張機能は長期間にわたり「盲目的な信頼」を得たまま、内部情報の窃取を継続するのです。

「善意のツール」に潜む不十分な匿名化

悪意のあるマルウェアでなくても、拡張機能がビジネス上の脅威になる場合があります。それは、開発者が膨大な利用者データを収集し、第三者へ売却するケースです。この行為自体は、利用規約に記載されていれば法的な問題はありません。

しかし、問題は「データの匿名化が不十分」である点です。過去には、Web サイトの安全性を評価する人気プラグインが、利用者の全閲覧履歴を適切に匿名化しないまま売却していたと報じられ、大きな問題となりました。ビジネスで利用する場合、本来見るはずのない第三者に自社の行動データが開示されるリスクを重く受け止める必要があります。

現場任せは限界。組織を守る「シャドー IT」対策の重要性

「便利なツールだから」と社員の善意やリテラシーに依存した管理は、もはや限界です。どれほど教育を徹底しても、巧妙なサプライチェーン攻撃や「悪意あるアップデート」を一般社員が見抜くことはできません。

社内でどのような拡張機能が使われているかを調べるために、IT 管理者が従業員の PC を一台ずつ手作業でチェックしたり、アンケートを回収したりする方法は、膨大な時間と労力がかかります。企業の規模が大きくなればなるほど、この個別確認の手間は現実的なものではなくなります。結果として、古いバージョンやサポートが終了した拡張機能、さらには業務に関係のない不適切なツールが長期間にわたって放置され、組織全体の重大な脆弱性となってしまうのです。

企業の情シス担当者に求められるのは、システム側で「許可されたもの以外は動かさない」という強制的な統制（ホワイトリスト運用）を敷くことです。利便性を損なわずに、組織としての安全性を担保する仕組み作りこそが、真の「シャドー IT」対策となります。

Google Workspace で利用状況の可視化と一元管理を

拡張機能のリスクや従来の管理の限界を根本から解決できるのが、多くの企業で導入されているクラウド型のビジネスツールである Google Workspace です。専用のシステムを個別に導入しなくても、日頃の業務で使っているアカウントの管理機能を用いて、安全なブラウザ環境を構築することが可能です。

そもそも Google Workspace とは？

Google Workspace とは、ビジネスに必要なメール（Gmail）やオンラインストレージ、共同編集ツール（Google ドキュメントや Google スプレッドシート、Google カレンダー）などのアプリケーションを一つにまとめたクラウド型のグループウェアサービスです。単に便利なツール群というだけでなく、組織内のユーザーやデバイス、データへのアクセス権限などを一元的に管理できる強力な管理者向けの機能が備わっている点が大きな特徴です。IT に詳しくない担当者でも、ブラウザ上の管理画面から社内全体のセキュリティ設定を直感的に調整できるよう設計されています。

【事例あり】Google Workspace とは？使い方やできること、料金プランを解説

Google Workspace 導入のメリットやセキュリティ強化機能について分かりやすく解説しています。

追加費用なしで使える Chrome Enterprise Core の魅力

Google Workspace を利用している企業であれば、追加のライセンス費用を支払うことなく「Chrome Enterprise Core」という強力なブラウザ管理機能を利用できます。これは、組織内の Windows や Mac、ChromeOS など、異なる OS 上で動作している Chrome ブラウザの動向をクラウドから一括して管理できる仕組みです。新たに高額な管理ソフトを契約・導入する必要がなく、強固なエンドポイントセキュリティを確立できる点が大きなメリットとなっています。

関連記事：企業向け Chrome とは？無料版と有料版の違いも解説

特定の拡張機能を一括でブロック・許可する制御機能

Chrome Enterprise Core の登録を済ませると、管理画面から従業員が使用しているすべての端末に、具体的にどのような拡張機能がインストールされているかを一覧のレポートとして可視化できるようになります。一覧で把握した拡張機能に対して、管理者は「自動インストール」「インストールの許可」「ブロック」といったポリシーをマウスクリックだけで一括適用することができます。

たとえば、業務に必要な特定の拡張機能は全社で自動的にインストールさせ、逆にセキュリティリスクが懸念されるものや業務外のツールは即座に「ブロック」に設定してユーザーの画面から強制削除することが可能です。組織のポリシーに沿った確実な制御を行うことで、従業員の利便性を損なうことなく、ブラウザ経由の情報流出を未然に防ぐことができます。

安全と利便性を両立させるための「運用ガイドライン」策定のポイント

システム的な制限と並行して、スムーズな業務遂行のための社内ルールを明文化しましょう。

導入前審査の基準策定

Chrome ウェブストアの「おすすめ」バッジ（Google のベストプラクティス準拠）や「定評のあるパブリッシャー」バッジ（身元確認済）を、リスク評価の一次指標として活用します。ただし、これらは「絶対の安全」を保証するものではないため、最終的には社内で権限内容（特に入力データへのアクセス権）を精査する必要があります。

申請・承認プロセスの構築

状況を可視化した後は、組織のセキュリティポリシーに従って具体的な制御ルール（ポリシー）を設定します。システムで拡張機能を一律に禁止する前に、各部門の業務をヒアリングし、本当に必要なツールをあらかじめ「許可リスト（ホワイトリスト）」として定めておくことが推奨されます。

たとえば、マーケティング部門で使われている分析用の拡張機能や、開発部門で必須のデバッグ用ツールなどを事前に洗い出し、それらは管理コンソール上で「インストールの許可」または「自動インストール」に設定しておきます。このように、安全性が確認されたツールはスムーズに使える環境を提供することで、従業員の不満や業務の停滞を招くことなく、不要なリスクだけを効果的に排除する運用の仕組みが完成します。

並行して、「もし情報が抜かれたら、どのような影響が出るのか」を具体的に社員へ伝え、組織全体のセキュリティ意識を高めましょう。

安全なブラウザ環境の構築で企業の未来を守る

現代のビジネスにおいて、ブラウザは最も多くの機密情報が行き交う「企業の玄関口」といえます。そこに取り付ける Chrome 拡張機能のセキュリティ対策を従業員の裁量に委ねたままにしておくことは、企業にとってあまりにも大きなリスクです。

高額な外部のセキュリティ製品や MDM を個別に導入しなくても、Google Workspace と、追加費用なしで使える Chrome Enterprise Core の組み合わせだけで、社内すべてのブラウザの利用状況を完全に可視化し、安全にコントロールする環境が手に入ります。まずは現状の可視化から一歩を踏み出し、企業の貴重な情報資産をサイバー脅威から守る強固なガバナンスを確立していきましょう。