ブラウザ拡張機能はどのようにしてあなたの取引口座を閲覧できるのでしょうか？あなたが付与する権限は、思っている以上に広範囲に及ぶ可能性があります

プロジェクトのドキュメントを読むために翻訳拡張機能をインストールし、市場の動向を監視するために価格アラートツールを追加しました。インストール中に、ブラウザが「すべてのウェブサイト上のすべてのデータを読み取り、変更する」権限を要求し、あなたは深く考えずに許可しました。

 

しかし、その権限は記事の翻訳や価格の表示を超えて広がる可能性があります。拡張機能のアクセス権が取引所のウェブサイトを含む場合、ログイン後に開く口座ページの内容を読み取るだけでなく、変更することさえ可能です。そのためには、必ずしもあなたの口座パスワードやAPIキーが必要というわけではありません。

 

取引口座を保護するということは、「誰が私のパスワードを知っているか？」を超えて考えることです。さらに、見落とされがちな質問も問う必要があります：「誰が私の目の前のウェブページを読み取り、変更できる権限を持っているか？」

ブラウザ拡張機能は、ツールバー上のアイコン以上のものです。適切な権限を付与されれば、許可された範囲内のウェブサイト上でコードを実行し、ページのコンテンツを読み取り、レイアウトを調整し、読み取った情報を拡張機能の他のコンポーネントに渡すことができます。翻訳や自動入力などの機能は、これらの機能に依存しています。

 

問題は、ウェブサイトへのアクセス権限が拡張機能の動作場所を定義するだけで、各アクションが意図する目的と一致するかどうかを決定しないことです。「このプロジェクトの概要を翻訳してほしい」という要請は、「このプロジェクトの概要を読み取るだけ」と自動的に意味するわけではありません。すべてのウェブサイトへのアクセスを拡張機能に許可すると、そのアクセスはあなたの取引所やウェブメールも含む可能性があります。

 

Chromeを例に挙げると、以下の権限と機能に特に注目してください。これらの機能は、付与された具体的な権限に依存します。すべてのウェブサイトへのアクセス権は、クリップボードへのアクセスやCookies APIを通じたアクセスを自動的に付与しません。

 

許可または機能	拡張機能がアクセスできる内容	口座の潜在的なリスク
アクセスする権限のあるウェブページを読み取り、変更します	アカウントページにすでに読み込まれているテキスト、フォーム、ボタン、および情報	悪意のある拡張機能は、残高、保有資産、または注文詳細を読み取る可能性があり、ページの表示内容や入力フィールドの内容を変更する可能性があります。
クリップボードを読み取るか書き込む	コピーされたテキスト（受信者アドレスなど）；正確な機能は、拡張機能が読み取り権限、書き込み権限、またはその両方を持っているかによって異なります	クリップボード読み取りアクセスを持つ悪意のある拡張機能は、コピーした機密情報を読み取る可能性があります。クリップボード書き込みアクセスを持つ場合、貼り付ける前にコピーした出金アドレスを置き換える可能性があります。
クッキーAPIを通じてウェブサイトのクッキーにアクセスする	ログイン状態を維持するための情報が含まれる可能性のある、認可されたウェブサイト用のクッキー	盗まれたクッキーに有効なセッション認証情報が含まれている場合、攻撃者があなたのセッションを乗っ取ろうとする可能性があります。Chromeでは、このAPIを通じてアクセスするには、cookies権限と対応するウェブサイトの権限の両方が必要です。

以下はリスクを示すための仮想的なシナリオであり、特定の公開された事例の記録ではありません。

 

英語の記事を読むため、リンは翻訳拡張機能をインストールし、すべてのウェブサイトへのアクセスを許可した。数日後、彼はブックマークから取引所を開き、普段通りにログインして、資産を確認し引き出しを準備した。

 

拡張機能に悪意のあるコードが含まれており、すでに取引所のウェブサイトへのアクセス権が付与されていると仮定します。リスクは次のように展開する可能性があります：

 

まず、ページを読み込んで機会を探します。Linが資産ページや注文ページを開くと、拡張機能はすでに表示されているまたは読み込まれている情報を読み取ります。これにより、取引所のAPIに別途アクセスしたり、Linにパスワードを再度入力してもらうことなく、このコンテンツを確認できる可能性があります。

 

次に、ユーザーが見ている内容または送信しようとしている内容を変更します。たとえば、ページに表示されている受信者アドレスを変更したり、引き出しフォームを改変したり、プラットフォームから来たように見せかける「セキュリティ確認」ウィンドウを挿入したりすることが可能です。これらはWebページの読み取り・書き込みアクセスを悪用する可能性のある方法です。拡張機能がその後、センシティブな操作を完了できるかどうかは、プラットフォームの認証プロセスやリスク管理次第です。

 

最も誤解を招く点は、アドレスバーのドメインがまだ正しいままである可能性があることです。

 

HTTPSは、ブラウザとウェブサイト間の送信中のデータを保護します。ただし、認可された拡張機能がローカルでウェブページを読み取ったり変更したりすることを自動的に防ぐものではありません。したがって、公式ドメインを確認することは依然として必要ですが、ブラウザの拡張機能を確認することの代わりにはなりません。

 

訪問したウェブサイトは正当な場合がありますが、表示されているページは悪意のあるブラウザ拡張機能によって改ざんされている可能性があります。

サインイン後、ウェブサイトは通常、セッション認証情報を使用してその後のリクエストを認識します。攻撃者が有効なセッション認証情報を入手した場合、パスワードや認証コードからやり直すのではなく、既存の認証済みセッションを利用しようとする可能性があります。その成功の可否は、セッションの有効期限、デバイスチェック、その他のセキュリティ制御にも依存します。

 

正規にログインした後、悪意のある拡張機能は、セッション資格情報を盗むことなく、あなたの口座ページを読み取ることができる可能性があります。二要素認証を有効にしても、ウェブページへのアクセス権限を持つ拡張機能から、あなたの残高、注文、出金フォームを自動的に隠すことはできません。ログイン認証とウェブページへのアクセス権限は、異なる目的を持っています。

4.1 「すべてのウェブサイト」へのアクセスを実際に必要な範囲に制限する

Chromeでは、拡張機能→拡張機能の管理→詳細に移動して、拡張機能のサイトアクセス権限を確認してください。ウェブページへの継続的なアクセスを必要としないツールについては、利用可能な場合、拡張機能をクリックしたときにのみアクセスを許可するオプションを選択してください。いくつかのウェブサイトでのみ使用されるツールについては、その特定のサイトへのアクセスを制限してください。オプションの名前はバージョンや言語によって異なる場合があります。

 

利便性のために、記事を読むためのツールが取引所やメールに継続的にアクセスする必要はありません。必要に応じてアクセスを許可し、すべてのウェブサイトで常に有効にしたままにしないでください。

4.2 取引とメールのための清潔な環境を維持する

取引活動は、新しい拡張機能のテスト、不慣れなツールのダウンロード、および類似の活動とは分けてください。不要な拡張機能のない別ブラウザの使用を検討してください。高額な取引の場合は、専用デバイスの使用を検討してください。

 

あなたの取引所のページだけを保護し、多数の拡張機能がリンクされたメールアカウントにアクセスできるようにしないでください。受信トレイにはパスワードリセットリンク、セキュリティアラート、認証メッセージが届き、これらはアカウント復旧プロセスの一部となります。

 

インクognitoモードでは、拡張機能が無効になるとは限りません。Chromeでは、明示的に許可した場合、個々の拡張機能がインクognitoモードで実行されるため、それらの設定も確認してください。

4.3 インストールまたは更新時に信頼性を再評価する

拡張機能をインストールする前に、開発者の身元を確認し、公式のソースからダウンロードしていることを確認し、その機能説明を確認してください。名前、アイコン、または評価だけで判断しないでください。使用していない拡張機能は削除してください。

 

更新により追加の権限が要求された場合、機能を復元するために単に承認しないでください。拡張機能が警告を引き起こす権限を追加した場合、Chromeは再有効化する前にユーザーが新しい権限を承認することを要求します。このプロンプトを通常の確認と見なすのではなく、拡張機能を見直す機会と捉えてください。

 

自分に聞いてください：以前は市場価格のみを表示していたツールが、なぜ他のウェブサイトへのアクセスやクリップボードの読み取り権限を必要とするようになったのでしょうか？

4.4 口座レベルのセーフガードを維持してください

プラットフォームの二要素認証、取引パスワード、および利用可能な出金アドレスの制限を有効にしてください。出金を行う前に、受信者アドレス、ネットワーク、数量を独立した信頼できるソースと照合してください。単一のウェブページ上に同じ情報が二度表示されていることを、二つの独立した確認として扱わないでください。

 

アドレス、ボタン、または認証プロセスが突然不審に見える場合は、すぐに作業を停止し、信頼できるデバイスで公式チャネルを通じて確認してください。不審なページの指示に従って「口座を修復」しようとしないでください。

拡張機能が悪意のあるものであると疑われる場合は、そのブラウザでパスワードや認証コードの入力を停止してください。以下の手順を順に実行してください：

1. 敏感な操作を停止し、疑わしい環境を隔離してください。ログイン、APIキーの作成、引き出しを継続しないでください。疑わしい拡張機能の名前、バージョン、配信元を記録した後、無効化または削除してください。開いている口座ページをすべて閉じ、ブラウザを終了してください。また、デバイスに他の疑わしいソフトウェアがないかも確認してください。

2. 別の信頼できるデバイスを使用して、口座を確認し、損失の可能性を最小限に抑えましょう。公式アプリを使用するか、公式ウェブサイトに直接アクセスして、注文履歴、出金履歴、セキュリティ設定を確認してください。不正な活動を発見した場合は、直ちに公式カスタマーサポートに連絡し、利用可能な口座凍結または制限機能を使用してください。

3. アドレスの認証情報および権限が compromis された可能性があります。信頼できる環境で、漏洩した可能性のあるパスワードを変更し、不審なログインセッションを無効にし、 compromis された可能性のある API キーを削除または交換し、不慣れな出金アドレスやセキュリティ設定の変動幅を確認してください。ご自身のデバイス上のクッキーを削除しても、攻撃者が保持しているセッションは無効化されません。サーバー側でもセッションを無効化する必要があります。

4. リンクされたメールアカウントも確認してください。最近のログイン、復旧方法、転送ルール、およびサードパーティのアクセス権限を確認してください。取引所口座を安全にした後は、リンクされたメールアカウントを他の人にアクセスさせないでください。

疑わしい拡張機能にウォレットのシードフレーズまたはプライベートキーを入力した場合、その認証情報は侵害されたものと扱ってください。拡張機能を削除したり、ウォレットアプリの解除パスワードを変更しても、漏洩したシードフレーズやプライベートキーは無効になりません。信頼できるデバイス上で新しく生成されたシードフレーズで新しいウォレットを作成し、関連する資産を慎重に振替してください。

拡張機能は翻訳、アラート、または自動入力の機能しか提供しない場合がありますが、それによりすべてのウェブサイトへのアクセスを許可する必要はありません。

 

インストール前に、どのアクセス権を必要としているか確認してください。使用中は、アクセスできるサイトを制限してください。何か異常を感じたら、まず疑わしい環境から離れ、その後口座のセキュリティを対応してください。

 

覚えてください： 

機能の説明は、拡張機能が何を目的としているかを示します。権限は、その拡張機能が何を許可されているかを決定します。取引口座を守るには、すべての権限リクエストを真剣に受け止めることが重要です。