160万インストールのブラウザ拡張機能「ModHeader」に閲覧履歴の隠し収集機能、GoogleとMicrosoftがストアから削除

要点

• HTTPヘッダーを変更するための人気ブラウザ拡張機能「ModHeader」に、ユーザーの閲覧履歴を収集して外部サーバーに送信する隠しコードが含まれていることが判明した。
• 閲覧履歴の収集機能は、動作を有効化する内部の「許可リスト」が空だったため休止状態にあり、実際にデータが送信された形跡は確認されていない。
• データを暗号化して保存する仕組みや、休止状態で動作させることで安全性の自動検知ツールをすり抜ける巧妙な隠蔽工作が施されていた。
• データの送信先ドメインやコード内の記述から、中国語圏の事業者が関与している可能性が浮上している。
• 同拡張機能は2023年頃から広告の挿入に関する苦情が相次いでおり、人気の拡張機能が第三者に買収されてデータ収集ツール化する典型的な手口とみられている。

リード文

GoogleとMicrosoftが、ChromeとEdgeで合計約160万回ダウンロードされている人気のブラウザ拡張機能「ModHeader（モッドヘッダー）」を、それぞれの公式ウェブストアから削除したことが明らかになった。セキュリティ研究者が、ストアで公式配布されていたバージョンに、ユーザーのブラウジング履歴を隠密に収集する機能が組み込まれているのを発見したためである。現時点ではこの収集機能は休止状態にあり、実際の被害は報告されていないが、アップデートによっていつでも有効化できる極めて危険な状態だったという。

ストア公式版に埋め込まれていた「閲覧履歴収集システム」

今回の問題は、イギリスのセキュリティ企業Stripe OLTが実施したコード分析によって発覚した。同社がGoogle Web Storeの正規の電子署名と照合した結果、偽物のプログラムではなく、開発元から配布された本物の拡張機能の中に履歴収集コードが埋め込まれていることが確認された。

ModHeaderのユーザー数は、Chrome版が約90万人、Edge版が約70万人に達する。Microsoftは2026年7月3日にEdge向けストアから、Googleは同年7月10日にChromeウェブストアから、それぞれ本拡張機能を削除した。

問題が指摘されたバージョン7.0.18は、本来の機能であるHTTPヘッダー（Webブラウザとサーバー間でデータをやり取りする際に追加される制御情報）の編集を正常に行う一方で、難読化（プログラムコードを人間に解読しづらくする処理）されたバックグラウンドのコード内に、別のデータ収集システムを隠し持っていた。

このシステムは、初回起動時に「デバイスの指紋（ブラウザの設定や端末の情報から個体を特定する識別情報）」を作成し、暗号化キーをロードする。その後、ユーザーが閲覧したページのドメインを取得して暗号化し、ローカル環境に最大1000個まで保存する。

こうして蓄積されたデータは、1日に1回、スケジュールに沿って「api.stanfordstudies[.]com」という外部サーバーに送信された後、ローカルから消去される仕様となっていた。さらに、すべてのブラウザが一斉にデータを送信して異常な通信として検知されるのを避けるため、送信のタイミングを端末ごとにずらす処理まで施されていたという。

検知をすり抜けた巧妙な設計

幸いにも、この収集システムは「許可リスト」が空の状態で出荷されていたため、実行時のチェック処理で必ずエラーとなり、実際には機能していなかった。Stripe OLTや他の研究者による解析でも、ドメイン情報が外部へ送信された証拠は見つかっていない。

しかし、このリストの更新はユーザーの同意や追加の権限要求を必要とせず、通常のアップデートを通じていつでも実行可能だった。ハードコードされた暗号化キーや接続先URL、送信スケジュールといった土台はすでにユーザーのPC上に配置されていたため、開発者側の操作一つでいつでもスパイ活動を開始できる状態にあったのである。

また、完全に停止していたわけではない機能もある。拡張機能のインストール時や更新時、アンインストール時には、「extensions-hub[.]com」という別のドメインに対して、製品名やバージョン、ブラウザ情報を含む信号が送信されていた。さらに、すべてのページで実行されるスクリプトが、通信のメタデータをプレーンテキストでローカルストレージにログ記録する処理も稼働していたことが確認されている。

ModHeaderは、各種自動セキュリティチェッカーにおいて「低リスク（安全度95％以上）」と評価されていた。コードの難読化、暗号化による通信内容の隠蔽、送信機能の休止によるサンドボックス（隔離された安全な仮想検証環境）の回避、悪評のないクリーンなドメインの使用など、スキャナーの目を欺く要素が何重にも組み合わされていたためである。

背景に潜む「拡張機能の買収」スキーム

Stripe OLTの調査によると、データの送信先となっていたドメイン「stanfordstudies[.]com」は、米スタンフォード大学とは一切無関係で、古いドメインを再利用して構築されたサーバーだった。また、もう一つの「extensions-hub[.]com」は広告配信用にセットアップされていた。

これら2つの宛先は、分析時点で同じAmazonのサーバーを指しており、同一の運営者によるものであることが分かっている。さらに、コード内に簡体字中国語のロケール設定が存在することや、暗号化のデータに「塩」という漢字が使用されていること、中国発のメールプロバイダーが登録されていることなどから、中国語圏の人物が関与している可能性が浮上している。

ModHeaderを巡っては、2023年頃から「検索結果に不要な広告を挿入される」といった苦情がユーザーから寄せられており、その頃から広告支援モデルへと移行していた。本拡張機能を現在誰が所有しているのかは確認されておらず、元の開発者の関与も明らかになっていない。

公式サイト上には「ユーザーデータを収集しない」とするポリシーが現在も掲載されているが、今回の解析結果とは矛盾する形となっている。開発元は現時点でこの問題について公式な回答を行っていない。

セキュリティ業界では、人気を得たブラウザ拡張機能が開発者から第三者へと静かに買収され、後にデータ収集やスパム広告の配信ツールへと変貌する手法が以前から警告されている。今回のModHeaderの事例は、まさにその古典的な手口でありつつ、セキュリティ監査を回避するための技術がさらに高度化している実態を浮き彫りにした。