大手ブランドを偽装した737個のChrome向けVPN拡張機能が判明、単一インフラ経由で通信を傍受

要点

• 有名VPNやプライバシー保護ブランドを偽装した737個の悪質なGoogle Chrome拡張機能が確認された。

• 少なくとも40の開発者アカウントから配布され、累計で7万5,000回以上インストールされていた。

• 拡張機能はブラウザ全体の通信を単一のSOCKS5プロキシサーバーへ転送し、中間者攻撃が可能な状態を作り出していた。

• 調査時点で221件がChromeウェブストアから削除された一方、516件が依然として公開状態にある。

• セキュリティ企業Socketは2026年8月12日、有名VPNブランドなどを偽装した737個のGoogle Chrome向け拡張機能が、ユーザーのブラウザトラフィックを特定のプロキシサーバーへ転送して傍受していたとする調査結果を公表した。これらの拡張機能は主にブロックされたウェブサービスへのアクセスを試みるロシア語圏のユーザーを標的としており、少なくとも40のChromeウェブストア開発者アカウントを通じて合計7万5,486回のインストールを記録していたことが明らかになった。

66の著名VPNブランドを偽装した手口

公表された調査結果によると、特定された737個の無料VPNおよびプロキシ拡張機能のうち、274個が実在する66の著名VPNおよびプライバシー保護ブランドを騙っていた。

偽装の対象となったのは、Proton VPN、NordVPN、Surfshark、AdGuard VPN、Browsec、ExpressVPN、CyberGhost、Windscribe、TunnelBearをはじめ、Cloudflareの「1.1.1.1」やGoogleの「Outline」など多岐にわたる。本来の提供元とは無関係であるにもかかわらず、知名度の高いブランド名を冠することでユーザーの信頼を得ていたという。

単一のSOCKS5インフラを介した通信の傍受

これらの検閲回避を謳う拡張機能は、ユーザーのブラウザセッション全体を単一の事業者が運用するSOCKS5プロキシ（アプリケーションの通信を中継するプロトコル）へ強制的にルーティングする構造を持っていた。詳細な調査が行われた522件のうち、520件が同一のSOCKS5インフラを利用していたことが確認されている。

大半の拡張機能は、ブラウザのプロキシ設定（chrome.proxy.settings）をポート1082で稼働する固定のSOCKS5サーバーに設定していた。これにより、攻撃者は中間者攻撃（AitM：通信を行う二者の間に割り込んで情報を盗聴・改ざんする手法）の位置に入り込み、ユーザーのアクセス先ドメイン、接続元IPアドレス、暗号化通信の接続先情報を示すTLS SNI（Server Name Indication）値、さらには平文のHTTP通信で送信されるリクエスト本文全体を監視できる状態になっていた。

さらに、プロキシ設定に含まれる除外リスト（バイパスリスト）にはローカルホスト（127.0.0.1）などのループバックアドレスのみが指定されていた。そのため、ユーザーがVPNサービスに接続すると、端末内部の通信を除くほぼすべてのブラウザリクエストがポート1082の中継サーバーを経由させられる仕組みだったと報告されている。

審査回避の手法と攻撃者に関する痕跡

これらの拡張機能には、Chromeウェブストアの審査をすり抜けるための巧妙な工作や、不審な挙動が複数確認されている。

具体的な特徴として以下の点が挙げられている。

• 実際には存在しない有料プランやプレミアム接続先を宣伝する
• DNS通信を暗号化するDNS-over-HTTPS（DoH）のブロックリストを回避する
• 接続中のアニメーションやステータス表示を正常に動かしながら、実際には接続試行をすべて失敗させる
• 「従業員向けプロンプト（Промт для сотрудников）」と題された内部マニュアルが同梱されており、ドメインを直接プロキシ設定に記述せず解決済みIPアドレスのみを指定することや、指示なしに他拡張機能のドメインを流用しないことなどが指示されていた
• ストアの規約回避を意図したコメントがコード内に残されている
• ストアの承認を得た後に外部からリモートで設定を書き換える仕組みを導入する
• 「外部サーバーへのデータ送信なし」「ユーザー追跡やログ記録なし」といった同一の弁明文を提出してストアの審査プロセスを欺く

Socketの研究者Kush Pandya氏は、影響を受けるユーザーが拡張機能を接続している間、すべての通信が攻撃者の管理下にあるサーバーを経由することになると指摘している。攻撃者がそれらのプロキシサーバーを直接所有しているのか、上位事業者から転売された枠を利用しているのかはコードからは判別できないものの、転売を利用している場合は第三者も同様に通信を把握できる立場に置かれると述べている。

なお、コード内に含まれていた12桁の納税者番号や、漏洩したWindowsの開発パス（C:\Users\ollob\OneDrive\Документы\...）の記述から、攻撃者はロシア国内でサブスクリプション型のVPN事業を運営している主体であるとみられている。

削除状況と拡張機能をめぐる動向

調査の公表時点で、対象となった拡張機能のうち221件はすでにChromeウェブストアから削除されたものの、残る516件は依然としてストア上に公開された状態であることが報告されている。

また、本件と並行して、拡張機能の更新配信を悪用した事例も報告されている。Netskope Threat Labsによると、過去にプロンプト盗取の不正行為でストアから削除された「AI Sidebar with Deepseek, ChatGPT, Claude, and more.」という拡張機能が、2026年7月31日にGoogleのCRX配信ネットワークを通じてアップデートを行い、再び収益化コードを組み込んで配信されていたことが確認されたという。