Jul 29, 2026

セキュリティの選び方

危険なChrome拡張機能の見分け方｜入れる前の7チェック

※本サイトの記事にはアフィリエイト広告（PR）を含む場合があります

※本記事にはアフィリエイト広告（PR）を含みます。仕様・機能・料金は変更される場合があるため「最終確認日」を記載しています。お申し込み前に必ず公式サイトで最新情報をご確認ください。

最終確認日：2026-07-29

広告ブロック、翻訳、スクリーンショット、パスワードの自動入力。ブラウザの拡張機能は、入れるだけで作業が一段軽くなる便利な道具です。ただ、この便利さには**「ブラウザで見ているもの・入力しているものを、その拡張機能も見られる」**という代償が付いています。

先に結論を書きます。

一番怖いのは「最初から怪しい拡張機能」ではありません。 入れた時点では真っ当だったものが、開発者アカウントの乗っ取りや権利の売却をきっかけに、自動更新で中身が入れ替わるパターンです。
そのため「入れる前の見極め」だけでは足りません。入れる数を減らし、権限を絞り、定期的に棚卸しするの3つをセットにする必要があります。
Chromeウェブストアの審査やバッジは役に立ちますが、安全の保証ではありません。過信すると判断を誤ります。

この記事は、恐怖であおって何かを契約させるためのものではありません。まず無料でできることを順番に並べ、そのうえで「お金を払う価値があるのはどこか」を最後に整理します。セキュリティに「絶対」はない前提でお読みください。

拡張機能が「危険なもの」に変わる3つのパターン

拡張機能のリスクを、性格の違う3つに分けて考えると判断しやすくなります。

パターン1：最初から情報を抜く目的で作られている

カラーピッカー、広告ブロッカー、翻訳ツールといった一見無害な小さな道具の姿を借りているケースが報告されています。使い勝手は普通に良く、動作も期待どおりなので、使っているだけでは気づけません。

パターン2：後から乗っ取られる・売られる（もっとも厄介）

こちらが本命の警戒対象です。2024年12月には、データ保護を手がける企業のChrome拡張機能が標的型のフィッシングで開発者アカウントを乗っ取られ、悪意のあるバージョンがそのまま公式のChromeウェブストアで配信されるという出来事がありました。同時期に十数個の拡張機能が同様に改ざんされ、影響を受けた利用者は数十万人規模と報じられています（セキュリティ事業者・報道各社の公開情報／最終確認日：2026-07-29）。

ここで押さえたいのは、拡張機能は原則として自動更新されるという点です。つまり利用者は、何もしていないのに、ある日ログイン情報を送信する版に差し替わっている可能性があります。「入れるとき慎重に選んだから大丈夫」が通用しないのはこのためです。

同じ理屈で、個人開発者が拡張機能の権利を第三者に売り、買った側が広告の差し込みやデータ収集を追加するという流れもあります。悪意の有無に関わらず、持ち主が変われば方針も変わります。

パターン3：悪意はないが、権限が広すぎる

3つ目は、開発者にやましさがなくても起きるものです。**「すべてのサイトのデータの読み取りと変更」**という強い権限を持った拡張機能は、仮に開発元のサーバーが破られただけでも、被害の範囲が一気に広がります。悪人がいなくても、事故で漏れる余地が大きいということです。

ブラウザ拡張機能｜リスクの性格

拡張機能が危険になる3つのパターン

「入れる前の見極め」だけでは足りない理由がここにあります

	入れる前に気づけるか	ストアの審査で止まるか	自分の設定で影響を減らせるか
最初から悪意がある無害な小道具を装う	△ レビューや権限に違和感が出ることも	△ 審査はあるが、すり抜けの報告もある	○ 入れないという選択ができる
後から乗っ取られる・売られる自動更新で中身が変わる	× 入れる時点では判断材料がない	△ 公開後の改ざんは即座には止めにくい	△ 権限を絞れば被害範囲は狭められる
悪意はないが権限が広い事故で漏れる余地が大きい	○ 追加時の権限表示で分かる	× 規約違反ではないため止まらない	○ アクセス範囲を後から制限できる

※審査やバッジは目安です。通過したものが安全だと保証されるわけではありません。
※表はリスクの性格を整理したもので、特定の製品や開発者を評価するものではありません。

セキュリティくらべ

入れる前の7つのチェック

ここからは具体的な手順です。ひとつでも引っかかったら見送る、くらいの温度感で構いません。代わりの拡張機能はたいてい存在します。

チェック1：Chromeウェブストア以外から入れない

配布サイトやメールのリンクから入れる形式（いわゆるサイドロード）は、ストアの審査を一切通っていません。ここは無条件で避けてください。ChromeやEdgeには、信頼できない拡張機能を入れようとしたときに警告する仕組みも用意されています（Google公式ヘルプ／最終確認日：2026-07-29）。

チェック2：求められる権限が、機能に対して過剰でないか

追加時に出る許可の画面は、読み飛ばさずに見てください。判断の軸はひとつです。「その機能を実現するのに、本当にその権限が必要か」。

特定のサイトでしか使わない道具なのに「すべてのサイトのデータの読み取りと変更」を求める
表示を整えるだけの道具なのに、閲覧履歴やタブの操作まで求める

こうしたちぐはぐさが、いちばん分かりやすい危険信号です。

チェック3：開発元が誰なのかを確認する

ストアの掲載ページには開発者名・サイト・連絡先が載っています。会社名やサイトが実在するか、連絡先がまともかを見てください。開発者情報がほぼ空欄の拡張機能は、何かあったときに問い合わせ先すらありません。

チェック4：バッジは「目安」として扱う（過信しない）

Chromeウェブストアには2種類のバッジがあります（2022年4月導入／最終確認日：2026-07-29）。

「注目の拡張機能（Featured）」……ストアのベストプラクティスに沿っていて、掲載ページが分かりやすいものに手動で付与されるもの
「定評のあるパブリッシャー（Established Publisher）」……開発者の身元が確認済みで、ポリシーを守った実績が継続しているもの

どちらも金銭では買えず、無いよりはある方が安心材料になります。ただし導入当初から、更新が何年も止まっている拡張機能に「定評のあるパブリッシャー」バッジが付き、活発に更新されている後継版には付かないといった逆転が指摘されてきました（IT系メディアの報道／最終確認日：2026-07-29）。

バッジは「開発者が誰か」の目安であって、「いま安全に保守されているか」の証明ではありません。 ここを取り違えないでください。

チェック5：最終更新日を見る

掲載ページの更新日が1〜2年以上前で止まっているものは、ブラウザ側の仕様変更に追随できていない可能性があります。放置された拡張機能は、パターン2（売却・乗っ取り）の入口にもなりやすいところです。

チェック6：レビューの「中身」を読む

星の数ではなく本文を読みます。日付が一点に固まった短い絶賛レビューが並んでいたら不自然です。逆に**「最近のアップデートから広告が出るようになった」「勝手に検索エンジンが変わった」**という書き込みは、中身が入れ替わったサインとして非常に重要です。

チェック7：同じことがブラウザの標準機能でできないか

これが実は最も効きます。翻訳、PDF閲覧、パスワード保存、タブのグループ化などは、すでにブラウザ本体が持っている機能です。入れない拡張機能は、乗っ取られようがありません。 数を減らすことが、そのまま最大の対策になります。

権限は「あとから絞れる」——3段階の設定を使う

入れた後でも、拡張機能がサイトを見られる範囲は変更できます。Chromeでは3段階から選べます（Google公式ヘルプ／最終確認日：2026-07-29）。

Chrome ｜サイトへのアクセス設定

拡張機能に与えるアクセス範囲の3段階

「クリックした場合のみ」を既定にすると、事故のときの影響が小さくなります

	ふだんの使い勝手	読み取られる範囲	乗っ取られた時の影響
クリックした場合のみ推奨の既定値	△ 使うたびにアイコンを押す手間	○ 押した時の、そのタブだけ	○ 限定されやすい
特定のサイト使う場所が決まっている道具向け	○ 指定したサイトでは自動で動く	○ 指定したサイトのみ	△ そのサイトの入力内容は届きうる
すべてのサイト必要な場合だけに留める	○ 常に自動で動いて手間がない	× 閲覧中のすべてのサイトのデータ	× 広範囲に及びやすい

※アドレスバー右の拡張機能アイコンを右クリック、または chrome://extensions の「詳細」から変更できます。
※広告ブロックのように、仕組み上どうしても全サイトの権限が必要な種類もあります。用途に納得できるかで判断してください。

セキュリティくらべ

ネットバンキングや会社の業務システムなど、入力内容が重いサイトを使う人ほど、この設定の効果が大きいです。手間は増えますが、パターン2の事故が起きたときに被害の範囲を狭めてくれます。

今入っている拡張機能を棚卸しする手順

入れる時の話より、今すでに入っているもののほうが差し迫った問題です。10分あれば終わります。

アドレスバーに chrome://extensions と入力して開きます（Edgeは edge://extensions、Firefoxは「アドオンとテーマ」）。
見覚えのないもの、半年以上使っていないものを削除します。迷ったら、まず「無効」にして数日様子を見る方法もあります。
残したものは「詳細」を開き、サイトへのアクセスを「クリックした場合のみ」または「特定のサイト」に変更します。
Chromeの設定にある**「安全確認」**を実行します。危険と判断された拡張機能や、ストアから削除された拡張機能について注意が表示されます。
年に2回程度、同じ作業を繰り返すと決めておきます（自動更新で中身が変わるため、一度きりでは意味が薄いです）。

削除しても設定は失われることが多いので、業務で使っているものは、消す前に必要な設定を控えておいてください。

もし「勝手に検索エンジンが変わった」「知らない広告が挿入される」といった変化が起きていたなら、原因の拡張機能を削除したうえで、その端末で使った重要なサービスのパスワード変更と、ログイン履歴の確認を行ってください。順番としては、スキャンより先にパスワード側の手当てが優先です。

それでも残るリスクと、お金をかける価値があるところ

正直に書きます。ウイルス対策ソフトを入れれば拡張機能の問題が解決する、というものではありません。 拡張機能は「ブラウザが正規に許可した動作」をしているだけなので、ソフト側から見ると異常な動きに見えないことが多いからです。ここを「対策ソフトで防げます」と書く記事があれば、それは正確ではありません。

そのうえで、有料のセキュリティソフトが補える部分もあります。

改ざんされた拡張機能が情報を送る先が、危険なサイトとして既知であれば通信を遮断できることがある
拡張機能をきっかけに別のマルウェアが入ってきた場合は、本来の守備範囲として検知できる
家族の端末を含めてまとめて面倒を見たい、日本語で相談窓口がほしい、という運用面の価値

つまり「拡張機能対策として買う」のではなく、棚卸しを済ませたうえで、なお残る部分を埋める保険として考えるのが妥当です。家族のパソコンまで見ている人や、日本語サポートを重視する人には向いています。

広告 / PR
巧妙な詐欺も、ESETなら見抜く軽くて強い、家族を守るセキュリティ

もうひとつ、拡張機能の話と直結するのがパスワードの置き場所です。ブラウザに保存したパスワードは、強い権限を持つ拡張機能から見て「同じブラウザの中にあるもの」です。専用のパスワード管理アプリやパスキーに移すことは、拡張機能経由の事故に対しても意味があります（詳しくはブラウザのパスワード保存はやめるべき？専用アプリとの違いを冷静比較）。

よくある質問

Q. 拡張機能を全部消したほうがいいですか？ A. そこまでする必要はありません。数を絞り、権限を絞るだけで、リスクの大部分は下がります。3〜5個に収まっていれば、棚卸しも苦になりません。

Q. 有名で利用者が多い拡張機能なら安全ですか？ A. 利用者が多いことは品質の目安にはなりますが、利用者が多いほど攻撃側にとって価値が高いという面もあります。2024年12月の事例も、企業向けに広く使われていた拡張機能が狙われました。

Q. スマホのブラウザも対象ですか？ A. iPhoneのSafariやAndroidのChromeは拡張機能の扱いが異なり、パソコンほど自由度がありません。まずはパソコン側を見直すのが優先です。

Q. 会社から指定された拡張機能はどうすれば？ A. 勝手に削除せず、情報システム担当に確認してください。管理された環境では、権限の設定も会社側で決められている場合があります。

Q. Edgeやその他のブラウザでも同じですか？ A. 基本的な考え方は同じです。EdgeはChromeウェブストアの拡張機能も導入できるため、同じチェックがそのまま当てはまります。

こんな人におすすめ

便利そうな拡張機能をその都度入れてきて、いま何が入っているか把握できていない人
在宅ワークで、業務システムや取引先のサイトを同じブラウザで開いている人
「勝手に広告が出る」「検索エンジンが変わった」といった変化に心当たりがある人
パスワードをブラウザに保存したままにしている人

まとめると、拡張機能のリスクは**「怪しいものを避ける」だけでは終わりません。** 自動更新で中身が変わりうる以上、数を減らす → 権限を絞る → 定期的に棚卸しするという運用にしてしまうのが、いちばん確実で、しかも無料です。今日は chrome://extensions を開いて、使っていないものを消すところまでで十分です。

そのうえで、家族の端末もまとめて守りたい、詐欺サイトの遮断や日本語サポートも含めて備えたいという人は、有料製品を検討する価値があります。

広告 / PR
【ウイルスバスタークラウド】

※仕様・機能・料金・ストアの表示は執筆時点のものです。最新は各公式でご確認ください（最終確認日：2026-07-29）。「これをやれば100%防げる」方法は存在しない前提で、影響を小さくする設計を心がけてください。