要点
- 「PDF 変換」「安全な検索」「AI 検索」などをうたう Chrome 拡張319個が、検索した言葉を運営者のサーバーに通していたと、セキュリティ企業 Socket が報告した。
- 利用者は合わせて約1,340万人で、多くの拡張は Chrome ウェブストアの検索に出ない「非公開」の状態で、広告から入れさせられていた。
- 行き先はサーバー側でいつでも変えられるので、今は広告収入目当てでも、将来は偽サイトに誘う道に変わりうる。
何が起きたか
Socket の研究者 John Tuckner は2026年10月29日（米国時間）、調査報告「Searchjacked」を出した。ブラウザの検索を横取りする Chrome 拡張を、合わせて319個見つけたという。利用者の数は合計で約1,340万人になる。今回新しく見つけたのは264個で、約870万人ぶんにあたる。残りは以前の調査で報告されたものだ。
仕組みは単純である。拡張を入れると、Chrome がふだん使う検索エンジンが、拡張の指定したものに入れ替わる。アドレスバーで検索すると、言葉はまず運営者のサーバーに送られる。そこから Bing や Yahoo の検索結果に回される。Socket によると、運営者はこのとき自分の「紹介 ID」を付けて、検索広告の紹介料を得ていた。検索した言葉は運営者のサーバーに残る。利用者ごとの識別番号と結びついていることも多かったという。
Socket が特に強く警告しているのは、行き先を運営者のサーバーが一回ごとに決めている点だ。「Predator Search」という拡張では、同じ検索を6回しても、Yahoo や知らない検索サイトなど4か所に振り分けられた。拡張そのものは更新されていない。Socket は、同じ道を使えば、拡張を変えずに偽のログイン画面や不正なダウンロードへ利用者を送れると指摘している。
拡張の多くは、検索の入れ替え以外に何もしない。特別な権限（拡張がブラウザで何をしてよいかの許可）もほとんど求めない。そのため、入れるときの確認画面では危なく見えにくい。
Socket は、拡張を出していた会社ごとにまとめている。名前の分からない運営者のグループで大きいものは次のとおり。
- 「SecuryBrowse」: 58個、約490万人。「Fire Shield」「Wise Ghost」「Securify」「Protecto」「WatchTower」など、守ってくれそうな名前のもの
- 「Bing-Search」: 37個、約221万人。2025年4月から公開が始まった。広告で広められていた
報告によると、報告が出た時点で、拡張の大半はすでにウェブストアから消されていた。ただ、新しいものが次々に加わっているという。Google の見解は、Socket の報告にも BleepingComputer の報道にも載っていない。
日本の利用者への影響
Socket の報告は、日本の利用者や組織について触れていない。国別の利用者数も出ていない。ただ、Chrome は日本でも広く使われている。拡張はウェブストアから世界中で入れられるし、広告からも入れさせられていた。そのため、日本の利用者が入れている可能性は十分にある。
Socket は、当たる拡張の一覧を報告の末尾に載せている。ただ、新しいものが次々に出てくるので、「一覧に無ければ安全」とは言い切れない。下の手順で、自分の Chrome の状態をじかに確かめてほしい。
今すぐやること
- 検索エンジンを見る。 Chrome の設定で「検索エンジン」を開く。自分で選んだ覚えのない検索エンジンになっていれば、入れた拡張を疑う。
- 拡張の一覧を見る。 アドレスバーに
chrome://extensionsと入れる。入れた覚えのないもの、使っていないもの、「検索」「PDF」「マニュアル」「安全」「AI 検索」をうたうものは、思い切って「削除」する。上に挙げた名前があれば必ず消す。 - 消したあと、検索エンジンを戻す。 設定の「検索エンジン」で、Google など自分で選んだものに戻っているか確かめる。BleepingComputer は、あわせてウイルス対策ソフトで全体を調べることを勧めている。
- これから入れるときに見る点。 ウェブストアで自分で探して見つかるものか（広告や見知らぬサイトから直接入れさせる拡張は避ける）。出している会社が実在して、名前の知られたところか。「検索エンジンを変更します」と出たら入れない。本当に要る機能かも考える。
- 会社の端末なら。 情報システムの担当者に、拡張を許可したものだけに絞れるか相談する。
背景
検索の横取りは古い手口である。ブラウザの検索広告では、検索を紹介した側にお金が入る。このため、検索を自分経由にするだけで稼げる。Socket の報告では、2016年ごろから同じような拡張が繰り返し出ており、319個は約10年分にあたる。
今回目立つのは「非公開」での配り方だ。ウェブストアの検索には出ないが、リンクを知っていれば入れられる。運営者は質の低いサイトの広告やポップアップでそのリンクを見せていた。ストアの中だけを見回っても見つけにくい。Socket は、権限が少ないことを安全のしるしと受け取ってはいけないと書いている。
2025年4月には、Tuckner が Secure Annex の研究者として、追跡用のコードを隠した拡張57個（約600万人）を報告していた。今回の調査はその続きにあたる。
技術者向けの詳細
- 手口: manifest の
chrome_settings_overrides（search_provider）で既定の検索エンジンを書き換える。報告の例では background、content scripts、permissions が無く、manifest とアイコンだけだった。 - 収益化: Yahoo の
hspart=/hsimp=、Bing のPC=/PTAG=の紹介 ID が付く。グループの目印として、SecuryBrowse はPC=3QCV/PC=3CGP、Bing-Search はPC=3FPX/PC=3VSS、ARPL はPC=ARPLが報告されている。 - 報告で ID が出ている拡張: Predator Search
odkcfoohjiicbelloepgcomekdknchjh（約5万人）。 - 報告に出てくるドメインの例:
searchlio.net,searchtosearch.com,mcftink.com,extension-search.online,newtabsearch.net,newtabhub.net,getsimplepdfsearch.com,safesearchgame.com（search./suggest.を含む）,axt.iadispatcher.com,*.system1.partners,*.s1search.co。プロキシやログで、これらへの通信がないかを見る。 - 端末の拡張 ID の確かめ方（Windows の例。プロファイルの場所は環境で違う）:
dir "%LOCALAPPDATA%\Google\Chrome\User Data\Default\Extensions"
- 一覧: 当たる拡張の一覧は、Socket の報告の末尾にある。運営者ごとの数と調べ方（Censys、urlscan のクエリ）も一次情報を参照。