検索エンジンをすり替え、利用者の検索を広告収益につなげるChrome拡張機能319種が報告されました。インストール数は合計1,340万件です。検索先を仲介するサーバーには検索語が送られ、転送先が後から変わる可能性も指摘されています。
検索を仲介して広告収益を得る仕組み
拡張機能はPDF変換、マニュアル検索、安全な検索、AI検索などをうたいますが、主な動作は既定の検索エンジンを変更し、検索を運営者側のサーバー経由でBingやYahooへ転送することです。検索結果に付くパートナー識別情報を通じて、検索を仲介した運営者に紹介料が支払われます。
検索語はいったん運営者が管理するサーバーを通ります。SocketのJohn Tucknerは、サーバー側で検索ごとに転送先を選べるため、検索履歴が取得され、検索内容などに応じて転送先が変わる可能性があると指摘しました。
Predator Searchでは、同じ検索を6回行った際、Yahooへ直接転送された例、別のサイトを経由した例、応答しないエラーページに至った例など、4種類の転送先が確認されました。拡張機能自体が変わらなくても、転送先はリクエストごとに選ばれていました。
少ない構成で既定の検索先を変更
Chrome拡張機能のマニフェストには、chrome_settings_overridesという設定があり、変更する検索エンジンの名前や検索URLを指定できます。search_providerのis_defaultをtrueにすると、その検索エンジンを既定にする設定になります。
検索URLには検索語を差し込む形式を指定でき、Chromeはその設定に従って検索を処理します。Tucknerが分析した拡張機能の一例は、マニフェストとアイコンだけで構成され、バックグラウンドスクリプトやコンテンツスクリプト、追加の権限を求める設定がありませんでした。
Chromeでは、単一の設定だけを変更し、追加の機能や権限を求めない拡張機能に確認ダイアログは表示されません。SocketとChromeの仕様説明では、検索先の設定変更を伴うインストール時の表示について異なる記述があります。
目立たない掲載と広告経由の導入
これらの拡張機能の多くはChromeウェブストアで非公開設定になっており、ストア内検索では見つかりにくい状態でした。ウェブサイト上の広告から誘導され、インストールに至るケースが報告されています。
Socketによると、調査対象は2016年までさかのぼります。2016年公開の「Yandex search」は、既定の検索先をYandexに変更し、削除されるまでに20万人のインストールがありました。
最近活動が確認された集団の一つ「Bing-Search」は37種、220万件のインストールが報告され、別の「SecuryBrowse」群は58種、490万件でした。報告時点では大半がChromeウェブストアから削除されていましたが、新たな拡張機能が追加され続けているとSocketは述べています。
インストール数と利用者数の違い
Chromeウェブストアの指標でいう「ユーザー数」は、拡張機能のインストールを数えるもので、現在も利用中かどうかを測る指標ではありません。そのため、1,340万件という数字は報告されたインストール規模を示しますが、同じ人数が現在も拡張機能を使っているという意味ではありません。
Chromeウェブストアでは、日ごとのインストール数とアンインストール数を追跡でき、ユーザー統計は国、言語、OS、拡張機能のバージョンごとに確認できます。インストール数には新規利用者と再利用者が含まれます。
Tucknerは、転送先がフィッシングサイトや悪意あるダウンロードに変わる可能性を警告しています。
