拡張機能がきっかけで起きた大事件
Kyohei さんの動画を見ました。
この動画では、Vercel で発生した情報漏洩事件を例に、ブラウザ拡張機能がいかに危険な「サプライチェーン攻撃」の経路になり得るかを解説されています。
⬛ 事件の背景とメカニズム
☑️ 攻撃の連鎖
Vercelの従業員が「Context AI」というサービスを利用しており、そのContext AI がハッキングを受けたことが発端で起きた。
☑️ 真の侵入口
実は Context AI の従業員が、ゲーム（Robloxなど）のチートツール用ブラウザ拡張機能をインストールしており、それがマルウェアだったことが原因だった。
☑️ 被害の拡大
マルウェアによって Context AI のデータベースから Vercel の OAuth トークンが盗まれ、結果として Vercel の顧客データにまでアクセスが可能になってしまった。
⬛ ブラウザ拡張機能が危険な理由
☑️ 審査プロセスの甘さ
初回の審査で広範囲な権限を取得してしまえば、「その後のアップデートはほぼノーチェック」で通るという構造的な問題がある。
☑️ 所有者の交代
人気のある拡張機能は、悪意のある業者が個人開発者から買い取ることがある。
その為、ユーザーが気づかないうちに、中身がマルウェアに差し替えられる「サイレント・オートアップデート」が行われる。
☑️ 強力な権限
拡張機能は DOM（ブラウザに表示されている情報）へのアクセス、キーボード入力の監視、画面レコーディングなど、「極めて強い権限」を持つことができる。
動画内で具体的な対策手順が紹介されているので、ぜひ見てほしいと思います。
「Vercel ユーザーが具体的に取るべき対処法」についても、別動画で解説されています。
私も Kyohei さんの動画を見て、Vercel で公開しているアプリがあったので対処しました。
今入れている拡張機能を確認して、使ってないものは削除したり、信頼できる開発元以外が提供するツールを、安易にインストールしないようにしたいですね！