Chromeウェブストアに偽VPNが氾濫、あなたのデータを盗む悪質拡張機能の実態

私はよく、VPNをキッチンの漏斗（じょうご）に例えます。インターネットへの通信を直接流し込むと、メタデータがあちこちにこぼれてしまいますが、VPNを使えば暗号化という細い管を通して、必要な場所だけに接続を向けられます。ただし、この仕組みには前提があります。それは、通信を管理するVPNそのものを信頼できるかどうかです。もしVPNが攻撃者にとっての「ハニーポット」だったら、いくつかのリスクを回避した代わりに、確実なセキュリティ侵害を受け入れることになるでしょう。

セキュリティ企業Socketのチームによると、Chromeウェブストアに掲載されている700以上の偽VPNアプリで、まさにその問題が起きています。これらの拡張機能の多くは無料で、有料のものもあり、中には信頼できるセキュリティ企業を装って、ユーザーにブラウザやネットワークへの無制限アクセスを許させるものもあります。

今回は、Socketのレポートを詳しく調査し、これらのアプリで何が起きているのか、どうやってGoogleの審査を通過したのかを解説します。最後に、偽VPNを避けるためのヒントも紹介します。

Socketが数百の怪しいChrome拡張機能を分析してわかったこと

Socketの脅威研究チームは、オンラインプライバシーを保護すると主張するVPNおよびSOCKS5プロキシサーバーを提供する737の怪しいChrome拡張機能を分析しました。その結果、存在しないVPNサーバーへのアクセスを販売する有料アプリ、プロキシを乗っ取ってオンライン活動を追跡する拡張機能、NordVPNやSurfsharkなどの信頼できるVPNプロバイダーを偽装する試みが多数見つかりました。

Socketは、GitHub拡張機能、ファイアウォール、CLIを備えたサイバーセキュリティプラットフォームで、開発者がAI生成コードの悪意のある動作を分析するために使われています。これらのChrome拡張機能を調べたところ、40の開発者アカウントによって公開され、Chromeウェブストアで合計75,486回インストールされていることが判明しました。

737の疑惑のある拡張機能のうち、Socketチームは525のコードを詳細に分析しました。これらの拡張機能は、当時58,318のアクティブなインストールを抱えていました。残りの212については、Socketが調べる前にストアから削除されていました。しかし、分析した拡張機能ではすぐに問題が見つかりました。

• 525件のうち274件が、Proton VPN、Surfshark、NordVPN、ExpressVPN、CyberGhost、TunnelBearなど、66の有名VPNプラットフォームのブランドやロゴを盗用していました。
• 2つの拡張機能が、特にインターネット検閲や監視を回避するために使われるAmneziaVPNとAntiZapretを名乗っていました。
• 各拡張機能は、スプリットトンネリングやサイトごとの制御なしに固定のSOCKS5プロキシを指しており、インストールするとすべてのオンライン活動が同じサーバーを経由する仕組みでした。
• 104の拡張機能が、DNSレコードを偽装してChromeのブロックリストを回避する、文書化されたDNS-over-HTTPS回避技術を使用していました。
• これらの偽VPNの多くは、日本、シンガポール、カナダ、オーストラリアなどにプライベートVPNサーバーを持つ有料プランを宣伝していました。

偽VPNを避けるためのヒント

偽VPNから身を守るためには、以下の点に注意しましょう。

• VPNは公式サイトから直接ダウンロードし、ブラウザ拡張機能ストアのレビューやインストール数を確認する。
• 無料VPNは特に注意が必要。本当に無料で運営できるはずがないという視点を持つ。
• 拡張機能が要求する権限を確認し、必要以上に広い権限を求めるものは避ける。
• 企業名やロゴの綴りが正しいか、公式サイトと一致するかを確認する。
• 独立したレビューサイトやセキュリティ研究者の評価を参考にする。

VPNはプライバシー保護に役立つ強力なツールですが、その選択を誤ると逆効果になります。今回のSocketの報告を教訓に、信頼できるVPNだけを選ぶように心がけてください。