Chrome拡張機能の「権限の組み合わせ」を悪用、キー入力をすべて記録する偽Perplexityツールが発見される

Microsoftのセキュリティ研究チームは、AI検索エンジン「Perplexity」を騙る偽のChrome拡張機能が、ユーザーがアドレスバーに入力したすべての文字をリアルタイムで盗み出していたことを明らかにしました。この拡張機能は、Chromeが提供する2つの正当な権限を組み合わせることで、公式ストアの審査をすり抜けていたと報告されています。現在はすでにストアから削除されていますが、拡張機能の権限モデルに潜む構造的な課題が浮き彫りになっています。

■検索前の「1文字ずつの入力」まで盗み出す仕組み

MicrosoftのDefenderセキュリティ研究チームが2026年6月29日に公開した分析によると、「Search for perplexity ai」という名前のChrome拡張機能が、Chromeウェブストア上で本物のPerplexityを装って配信されていた。この拡張機能は、ユーザーが検索を実行する前、つまりアドレスバーに文字を入力している段階から、そのすべての文字を密かに記録していたという。

この拡張機能は、本物の「perplexity.ai」に酷似したタイポスクワッティング（打ち間違いを狙った）ドメイン「perplexity-ai[.]online」を使用し、ブラウザのデフォルト検索エンジンとして自身を設定していた。これはChromeが拡張機能に対して公式に提供しているカスタマイズ機能である。Microsoftからの責任ある開示（脆弱性報告）を受け、Googleはすでにこの拡張機能をChromeウェブストアから削除した。ただし、削除されるまでに何人がインストールしたか、また開発・運営者が誰であるかは公表されていない。

Microsoftの分析によると、この拡張機能はマニフェストファイル（設定ファイル）で自身をデフォルトの検索プロバイダーに設定し、2つのデータストリームを「perplexity-ai[.]online」に送信していた。1つはアドレスバー（オムニボックス）から送信された最終的な検索クエリ、もう1つはChromeが予測結果を表示するために使用するリアルタイムの「検索候補（サジェスト）」フィードである。

特に深刻なのは後者のフィードである。これにより、ユーザーがアドレスバーに入力したすべての文字（途中で消去した文字や、Enterキーを押して送信しなかった未完成の検索ワードを含む）が、Enterキーを押す前に攻撃者の管理するサーバーへ送信されていた。データが攻撃者のサーバーに到達すると、ユーザーのIPアドレス、ブラウザのヘッダー情報、ユーザーエージェント文字列とともに記録され、その後初めて本物のPerplexity、Google、Bingなどの検索結果ページにリダイレクトされる。ユーザー側からは検索結果が正常に表示されるため、この不正な挙動に気づくことは極めて困難だった。

■なぜChromeの審査をすり抜けられたのか

この拡張機能は、ネットワークトラフィックの書き換えやリダイレクトを行うための「declarativeNetRequest」という権限を要求していた。この権限は、任意のコードを実行するのではなく、監査可能なルールベースのロジックで処理を行うため、本来は不正な傍受を防ぎやすくするために設計されたものである。

しかし、この拡張機能は、ブラウザのデフォルト検索エンジンを変更できる「chrome_settings_overrides」という別の権限とこれを組み合わせていた。どちらの権限も単体では珍しいものではない。しかし、これらを組み合わせることで、「クエリを自社サーバーに記録した後に、正常な検索結果へリダイレクトする」という処理が可能になり、ユーザーやChromeウェブストアの審査プロセスに検知されることなく、カスタマイズ機能を監視パイプラインへと変貌させていた。

さらに、この拡張機能はサーバー側にNode.jsプロキシを配備し、受信したすべてのリクエストを明示的にログに記録していた。また、クロスオリジンアクセスを攻撃者のインフラに関連する特定のドメインのみに制限する設定も施されていた。Microsoftは、これらの設計から、ログの記録が偶発的なものではなく意図的なものであると指摘している。マニフェスト内には、GoogleやBingでの検索にも同様の傍受を拡大できる無効化されたルールセットや、将来的にマニフェストを変更することなくWebAssemblyコードを実行可能にする設定も含まれていた。

■拡大する「AIブランド」を悪用した攻撃トレンド

Microsoftは、今回の事例を「AIツールのブランドを悪用したソーシャルエンジニアリング」という広範なトレンドの一部であると位置づけている。ユーザーがAI製品に対して信頼を抱きやすく、AIブランドを冠したブラウザツールを疑いにくい心理を突いた手口である。

同様の信頼を悪用したキャンペーンは他にも確認されている。例えば、偽のAIアシスタント拡張機能が約30万回インストールされ資格情報が窃取された事例や、別のAIサイドバーツールを騙る拡張機能が2万以上の企業ネットワークで約90万回インストールされ、ChatGPTやDeepSeekなどのチャット履歴を収集しようとした事例がMicrosoftの研究で明らかになっている。セキュリティ研究者によると、これらの拡張機能の多くは、Chromeの静的審査が検査するコード内ではなく、リモートから悪意あるロジックをロードするため、申請時にはクリーンに見えるという共通の課題がある。

今回のPerplexityを騙る拡張機能が他と異なるのは、AIのチャットログではなく、ウェブ検索やアドレスバーへの入力という「ブラウザが扱う最も機微で継続的なデータストリーム」を標的にしていた点である。

■デフォルト検索エンジンの確認と対策

「Search for perplexity ai」をインストールした覚えのあるユーザーは、直ちに削除し、デフォルトの検索エンジン設定を確認する必要がある。Chromeウェブストアから拡張機能が削除されても、すでにインストールされているブラウザからは自動的に削除されないためである。Chromeのアドレスバーに「chrome://extensions」と入力して拡張機能の一覧を確認し、さらに「設定 > 検索エンジン」からデフォルトのプロバイダーが意図したものになっているか確認する必要がある。

企業や組織に対して、Microsoftは、ブラウザやデバイスのポリシーを用いて許可された拡張機能のみをインストールできるように制限すること、検索エンジンの設定変更や不審な権限要求を監視すること、そしてAIブランドを冠したツールを導入する際はパブリッシャーやドメインを厳格に検証することを推奨している。

Googleの開発者向けガイドラインでは、検索プロバイダーの変更と強力な追加権限を組み合わせる拡張機能は、Chromeウェブストアの「単一目的（single-purpose）ポリシー」に抵触する可能性があるとされているが、今回の拡張機能はこのルールの隙間を突いた形となる。今回の件は、正当なカスタマイズ用の権限であっても、ネットワーク書き換え権限と組み合わされることで、ユーザーに気づかれずに監視ツールへと悪用され得るという、ブラウザセキュリティにおける根深い課題を改めて示している。

■注目ポイントQ&A

●Chrome拡張機能は、検索を実行する前にアドレスバーに入力した内容を見ることができるのですか？

はい、可能です。今回の拡張機能のように、デフォルト検索エンジンの変更権限の一部として、検索候補（suggest_url）機能が許可されている場合、リアルタイムの予測検索候補を表示するために、入力中のすべての文字がリアルタイムで拡張機能側に送信される仕組みになっています。

●Chrome拡張機能が検索履歴を記録しているかどうかを判断する方法はありますか？

一目で判別できる組み込みのインジケーターはありません。最も確実な方法は、ブラウザの設定でデフォルトの検索エンジンが意図通りに設定されているか確認すること、インストール済み拡張機能の一覧に見覚えのないものがないか確認すること、そしてデフォルト検索エンジンの変更と「declarativeNetRequest」のような広範なネットワーク権限の両方を要求する拡張機能に警戒することです。

●この種の攻撃はPerplexityやAIブランドのツール特有のものですか？

いいえ、技術自体は特有のものではありません。Microsoftの分析によると、検索エンジンの変更権限と「declarativeNetRequest」権限を組み合わせてリダイレクト前にクエリを記録する手法は、ブランドに関係なく、どのChrome拡張機能でも実行可能です。今回はAIブランドを騙ることでインストールを促す社会的信頼が悪用されましたが、仕組み自体は汎用的なものです。

●GoogleのChromeウェブストアの審査では、ユーザーがインストールする前にこれを検知できなかったのですか？

検知できませんでした。この拡張機能は、Microsoftが責任ある開示プロセスを通じて報告し、Googleが削除するまで、Chromeウェブストア上で公開されていました。Microsoftは、削除されるまでに何人のユーザーがインストールしたかについては公表していません。

元記事: Fake Perplexity Chrome Extension: How One Permission Combo Logged Every Keystroke