「Google Chrome」の拡張機能を改変する手段として開発者にフィッシング攻撃を仕掛ける攻撃者の存在が確認されている。改変された拡張機能は、被害者を脅してPCの修理代を払わせるアフィリエイト広告を広めるために使われる。
Proofpointの研究者「Kafeine」は、フィッシング攻撃によって開発者のGoogleアカウントの認証情報が盗まれたのち、6つのChrome用拡張機能が最近改変されていることを確認した。
「Web Developer 0.4.9」「Chrometana 1.1.3」「Infinity New Tab 3.12.3」「CopyFish 2.8.5」「Web Paint 1.2.1」「Social Fixer 20.1.1」が、7月下旬～8月初めにかけて改変された。「TouchVPN」「Betternet VPN」も6月下旬に同じ手法で改変されたとKafeineは述べている。
Chrome用拡張機能の開発者に対する攻撃の主目的は、Chromeユーザーをアフィリエイトプログラムに誘導し、正規の広告を悪意ある広告にすり替え、最終的に紹介を通じて攻撃者に収入をもたらすことにある。
攻撃者は、ウェブサイト運営者を対象としたコンテンツ配信ネットワーク（CDN）サービス「Cloudflare」のユーザーの認証情報も収集しており、将来の攻撃に利用される可能性もある。
乗っ取られた拡張機能は、成人向けサイトを中心に、さまざまなサイトにもバナー広告を掲載し、正規の広告ネットワークからトラフィックを盗むようプログラミングされていた。
「多くの場合、被害者に、PCを修理するよう促すJavaScriptを使った偽の警告が表示されたのち、攻撃者が利益を得られるアフィリエイトプログラムにリダイレクトされた」とKafeineは述べている。
提供：Proofpoint Kafeine
開発者のGoogleアカウント乗っ取りに使われたフィッシングメールは、Googleの「Chrome Web Store」チームから送られたかのように装っていた。その開発者の拡張機能は、Googleのポリシーに従っていないので、問題が修正されなければ削除される、とメールには書かれていた。
この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。
