Google ChromeとMicrosoft Edgeが攻撃を受けている。最新のゼロデイ脆弱性（CVE-2025-6554）はグーグル自身の脅威分析グループ（TAG。Threat Analysis Group）によって発見され、「全ユーザー」に対する静かな設定変更と緊急アップデートにつながった。
このCVE-2025-6554は、Chromeで採用しているJavaScript・WebAssemblyエンジン「V8」における「型混乱に関する脆弱性」により、「リモート攻撃者が、巧妙に作成したHTMLページを介して任意の読み書き操作を可能にする恐れがある」というもの。この警告を受けてアメリカのサイバー防衛機関は政府職員には米国時間7月23日までに更新するよう義務付けた。
しかし、ChromeとEdgeにはまた別の目に見えない脅威が潜んでいる。最近、Symantec、イスラエルのLayerX Securityは、公式ストアから数億人のユーザーにインストールされている拡張機能に関して、非常に現実的な危険性が存在することを警告してきた。
ChromeとEdgeで、18個の削除すべき拡張機能が発見される
そして、今また同様の警告が発表された。Koi Securityは、ユーザーに対して、もしデバイスにインストールされているなら以下の18個の拡張機能は削除するよう警告している。これらの拡張機能は、ユーザーにとって本物で現実的な脅威をもたらすものの、すでに何百万回もインストールされてしまっている。
「グーグルの認証バッジ付きで、10万以上のインストール数、800以上のレビュー、ストアで注目されているChrome拡張機能が信頼できると思っているのですか？ 考え直してください。それは間違いです」とKoi Securityは述べている。これらの危険な拡張機能は「巧妙な脅威アクターが、私たちが頼りにしている信頼シグナルをいかに悪用しているかを完璧に示している」のだ。
人気ジャンルの拡張機能として動作し、その裏で乗っ取り活動を行う
Koiによると、これらの拡張機能は「人気のある生産性向上ツールやエンターテイメントツールに偽装しています。絵文字キーボード、天気予報、動画再生速度のコントローラー、DiscordやTikTok用のVPNプロキシー、ダークテーマ、音量ブースター、（視聴地域の制限などを解除する）YouTubeアンブロッカーといった多様なカテゴリーに広がっています」という。ユーザーにとって魅力的な些細な機能が揃っている。
さらに、これらの拡張機能は「正当な機能を提供しつつ、実際にはブラウザー監視や乗っ取り機能を秘密裏に実装している。過去に発見された色選択ツールと同様だ」とKoi Securityは述べている。これら拡張機能は単発的な脅威ではなく、過去に発見された一連の悪質な拡張機能と共通する手口・背景、エコシステムとコードベースを持つ計画的な攻撃である。抜き差しならない脅威だが、さまざまなセキュリティチームが危険な拡張機能のネットワークを効果的かつ芋ずる式に解明する手がかりも得られる。
一部拡張機能はストアから削除済みだが、ただちに確認すべき
また、これらの拡張機能の一部は「『Chrome ウェブストア』および『Microsoft Edge アドオン』ストアで認証済みやおすすめとして表示されており、セキュリティの不備が両方の主要なブラウザー市場に及んでいることを示しています」とKoiは指摘している。
グーグルによると、これらの拡張機能はすでにChrome ウェブストアから削除されている。マイクロソフトにもEdgeユーザー向けの更新があるかどうか確認を求めている最中だ。
Koi Securityによると、これらの拡張機能は外部のコマンドおよび制御サーバーを通じて制御されており、それぞれが固有のサブドメインを持っている。しかし、「これらは別々のオペレーターによるものに見えるが、実際には同じ中央集権的な攻撃インフラの一部である」と警告している。
研究チームは「影響を受けたユーザーはただちに行動を取るべきだ」と警告している。以下の5つのステップで対処しよう。
悪意のある拡張機能をインストールしていた場合の対処手順
（1）影響を受けた拡張機能をChromeとEdgeから直ちに削除する
（2）ブラウザーデータをクリアして、保存されたトラッキング識別子を削除する。さまざまな情報を削除することになるため、重要な情報はメモを残すなどバックアップを行う必要がある
・Google Chromeのクリア手順
・Microsoft Edgeのクリア手順（3）システムのマルウェア完全スキャンを実行して、追加の感染を確認する
（4）怪しいサイトを訪れた場合は、アカウントに不審な活動がないか監視する
（5）インストールされている拡張機能を見直し、同様の不審な挙動がないか確認する
Chrome上で拡張機能を削除する手順
・Chromeの右上にある、点が縦に3つ並んだアイコン（︙）をクリック（または、ブラウザーの検索バーに「chrome://extensions」と入力して管理画面を直接開く）
・開いたメニューにある［拡張機能］を選択
・さらにサブメニューが開くので、［拡張機能を管理］をクリック
・「すべての拡張機能」が開いたら、目的の拡張機能の項目で「削除」ボタンをクリック
・削除するかどうか確認されるので、再度「削除」ボタンをクリック
Chrome用拡張機能を直接削除したい場合の手順
・拡張機能がインストールされているフォルダーを開く
Windows 11／10：「C:\Users\＜ユーザー名＞\AppData\Local\Google\Chrome\User Data\Default\Extensions」
macOS：「/Users/＜ユーザー名＞/Library/Application Support/Google/Chrome/Default/Extensions/」
・該当するIDと同じ名前のフォルダーを探し、削除する
・Chromeを再起動する
