1767112661
2025-12-30 15:19:00
新たなマルウェア キャンペーンは、2 つの悪意のある Chrome 拡張機能を介して ChatGPT と DeepSeek の会話をこっそり盗み出し、90 万人を超える Chrome ユーザーのプライバシーを侵害しました。
OX Security によって発見されたこのマルウェアは、疑惑を回避するために正規の AI アシスタント プラグインを模倣しており、拡張機能の 1 つは Chrome ウェブ ストアの「注目」拡張機能として Google によっても承認されています。
このキャンペーンは、OX Research チームによる定期的な脅威分析中に発見されました。調査の結果、悪意のある拡張機能は、一般的な大規模言語モデルと対話するためのサイドバーを追加する正規の AITOPIA Chrome 拡張機能になりすましていることが判明しました。この機能を単に複製するのではなく、クローンは機密チャット データと閲覧アクティビティを密かに収集し、攻撃者が制御するサーバーに 30 分間隔で送信しました。
OX Security は、2025 年 12 月 29 日にこの問題を Google に報告しました。12 月 30 日現在、どちらの拡張機能も Chrome ウェブストアで一般公開されており、最も人気のある亜種には依然として Google の「注目」バッジが付けられています。これは、ベスト プラクティスへの準拠を示すことを目的とした指定です。
このキャンペーンで明らかになった 2 つの悪意のある拡張機能は次のとおりです。
- 「GPT-5、Claude Sonnet、DeepSeek AI を使用して Chrome 用 GPT をチャットする” – 600k インストール
- 「Deepseek、ChatGPT、Claude などを備えた AI サイドバー” – 300k インストール
サイバーインサイダー
さらに、拡張機能はすべてのアクティブなタブ URL を収集し、ユーザーの閲覧習慣、リサーチキーワード、および機密性の高いクエリパラメータを公開します。このデータは Base64 でエンコードされ、deepaichat などのコマンド アンド コントロール (C2) サーバーに送信されます。[.]com と chatsaigpt[.]コム。
なりすまし者はプライバシー ポリシーで AITOPIA にまで言及し、正当性を求めるユーザーを混乱させました。このマルウェアのインフラストラクチャは Lovable でホストされているため、追跡と帰属がさらに複雑になります。
マルウェアがインストールされると、一意のユーザー ID が割り当てられ、ブラウザー タブの監視が開始されます。ユーザーが ChatGPT または DeepSeek にアクセスすると、マルウェアはチャット コンテンツを DOM から直接スクレイピングします。この拡張機能は、Chrome の tabs.onUpdated API を使用して URL を収集し、このデータをローカルにキャッシュしてから、30 分ごとに C2 にバッチアップロードします。
1 つの悪意のある拡張機能をアンインストールすると、自動的にタブが開き、ユーザーにもう 1 つの拡張機能のインストールを提案します。これは、永続性を重視した他のマルウェア キャンペーンで以前に見られた戦術です。
このインシデントは、今月初めの同様の発見に続くもので、同じく「注目」としてマークされているいくつかの「無料 VPN」Chrome および Edge 拡張機能が 2025 年 7 月以来 AI チャットの会話をキャプチャしていたことがコイ セキュリティによって明らかにされました。800 万回以上ダウンロードされたこれらの拡張機能には、Gemini、Copilot、Grok を含むプラットフォーム全体でプロンプトと応答を傍受するための JavaScript ペイロードが埋め込まれていました。
#90万人のユーザーを抱える悪意のあるChrome拡張機能がAIチャットを盗む