ブラウザ拡張機能を標的とした最近の攻撃キャンペーンは、悪意のあるブラウザ拡張機能がID攻撃の次のフロンティアであることを示している。
世界中の何千もの組織にまたがる260万人以上のユーザーが、ブラウザ拡張機能を悪用した攻撃キャンペーンの一環としてクッキーとIDデータが流出したことを知ったのは、新年を迎える直前のことでした。
この攻撃は当初、データ・セキュリティ企業のCyberhavenが、攻撃者が同社のブラウザ拡張機能を侵害し、悪質なコードを注入してユーザーのフェイスブック・クッキーと認証トークンを盗んだと公表したことで明るみに出た。
しかし、Cyberhavenの暴露に関するニュースが公になると、さらに侵害された拡張機能がすぐに発見された。現在、35以上のブラウザ拡張機能が危険にさらされていることが確認されており、現在もさらなる拡張機能が発見されています。
ほとんどの侵害された拡張機能は、悪意のあるコードを削除するための更新バージョンを公開するか、Chromeストアから完全に削除されています。
そのため、（少なくともほとんどの拡張機能による）直接的な脅威は封じ込められたように見えますが、ブラウザ拡張機能がもたらすアイデンティティリスクと、このリスクに対する多くの組織の認識不足にスポットライトが当てられています。(LayerXは現在、組織の暴露を監査して修復する無料サービスを提供しています。）
内部からのアイデンティティの脅威
ブラウザ拡張機能の使用は、ほとんどの組織でユビキタスです。LayerXのデータによると、企業ユーザーの約60%がブラウザにブラウザ拡張機能をインストールしています。
多くのブラウザ拡張機能は、スペルを修正したり、割引クーポンを見つけたり、メモを書き留めたりといった正当な用途がある一方で、クッキー、認証トークン、パスワード、閲覧データなど、機密性の高いユーザーデータへの広範なアクセス許可が頻繁に付与されています。
ブラウザ拡張機能のアクセス許可は、Google、Microsoft、Mozillaなどのブラウザプロバイダが提供するAPIによって管理されます。ブラウザ拡張機能が最初にインストールされると、通常、要求しているパーミッションが一覧表示され、ユーザーに承認を求めます（ただし、デフォルトで提供され、ユーザーによる明示的な許可を必要としないパーミッションもあります）。
このようなAPIを通して拡張機能がアクセスできる主な情報は以下の通りです：
-
クッキー(Cookies):ウェブ・サイトの認証に使用できるユーザのクッキーの読み書き/変更へのアクセス。このインシデントでは、クッキーは侵害されたブラウザ拡張機能の主な目的であったようです。
-
アイデンティティ:ユーザのアイデンティティとプロファイルへのアクセス
-
閲覧履歴:ユーザーの閲覧履歴を閲覧し、ユーザーがどこに行ったかを確認できます。
-
閲覧データ:ユーザーが閲覧しているURLを確認し、すべての閲覧メタデータを見ることができます。
-
パスワード:多くの拡張機能には、Webセッションが暗号化する前に、Webリクエストの一部としてWebサイトに送信される平文のパスワードを表示するのに十分なパーミッションがあります。
-
ウェブページのコンテンツ:開いているすべてのタブのすべてのウェブページのデータを見ることができるため、オンラインではアクセスできない内部システムのデータをコピーできる可能性がある。
-
テキスト入力：キーロガーのように、ウェブページ上のすべてのキー入力を追跡します。
-
音声/ビデオキャプチャ：コンピュータのマイクやカメラにアクセスします。
ほとんどのブラウザ拡張機能はこれらの権限すべてにアクセスできるわけではありませんが、多くの拡張機能はこれらの権限の一部（または多く）にアクセスできます。
実際、LayerXのデータによると、ブラウザ拡張機能の66%に「高」または「重要」レベルのパーミッションが付与されており、ユーザーの40%が高/重要レベルのパーミッションスコープを持つ拡張機能をコンピュータにインストールしています。
このような広範な権限を持つブラウザ拡張機能が侵害されたり、悪用されたりすると、無数の脆弱性と攻撃ベクトルが発生する可能性があります：
-
クレデンシャルの盗難：拡張機能によって記録された ID やパスワードの盗難。
-
アカウントの乗っ取り:盗まれたクッキーや認証情報を使用し、認証されたユーザとしてログインする。
-
セッションの乗っ取り:盗まれたクッキーやアクセストークンをセッション認証に使用する。
-
データの窃盗：ウェブページに送信されたデータをキャプチャする、またはユーザのキーボード、マイク、カメラを介して直接キャプチャする。
なぜなら、侵害された拡張機能を通じて企業の認証情報を盗む攻撃者は、ユーザの個人アカウントだけでなく、組織のシステムを侵害し、機密性の高い企業データにアクセスする可能性があるためです。
このリスクは、より多くの従業員が認証されていない拡張機能をインストールすることで、組織全体にわたって増幅されます。
CISOが拡張機能のリスクを軽減するための戦略的フレームワーク
拡張機能を標的とした最近の攻撃を考慮すると、セキュリティ・リーダーは、この見過ごされがちな脅威のベクトルに対処するための包括的な戦略を実施する必要があります。ここでは、組織全体でブラウザ拡張機能のリスクを管理するための体系的なアプローチを開発する方法を紹介します：
-
すべての拡張機能を監査する：ブラウザ拡張機能のセキュリティプログラムの基本は、包括的な可視化から始まります。セキュリティチームは、企業環境全体に存在するすべての拡張機能を特定するために、徹底的な監査を実施する必要があります。これは、ブラウザと拡張機能のインストールポリシーが寛容な組織では特に困難ですが、潜在的な暴露の全範囲を把握するためには不可欠です。
-
リスクの高いカテゴリの特定：拡張機能の分類は、特に特定のタイプの拡張機能を標的とする最近の攻撃パターンを考慮すると、次の重要なステップとして浮上します。最新のキャンペーンでは、生産性向上ツール、VPNソリューション、AI関連の拡張機能に明確な重点が置かれていることが示されている。攻撃者は、大規模なユーザベース（生産性向上ツールのような）、または広範なシステム権限（ネットワークアクセス権限を必要とするVPN拡張機能のような）を持つ拡張機能のカテゴリを戦略的に選択しています。
-
権限の範囲を列挙する：各拡張機能に付与されている正確な権限を理解することは、セキュリティチームにとって極めて重要なコンテキストを提供します。この詳細な権限マッピングによって、各拡張機能がどのような企業データやシステムにアクセスできる可能性があるかが明らかになる。例えば、一見良さそうに見える生産性向上のための拡張機能が、機密性の高い企業データやブラウジング・アクティビティに関わるレベルのアクセス権を持っている可能性があります。
-
リスクの評価：拡張機能の存在とアクセス許可の両方をマッピングすれば、リスク評価が可能になります。効果的な評価フレームワークは、技術的リスク（権限の範囲と潜在的なアクセスに基づく）と信頼要素（発行者の評判、ユーザベースのサイズ、配布方法を含む）の2つの主要な側面を評価する必要があります。これらの要素に重み付けを行い、各拡張機能に対して実行可能なリスクスコアを作成する必要があります。
-
コントロールを適用する： このフレームワークの集大成は、コンテキストに応じたセキュリティ管理策の導入にある。組織は、リスク選好度と運用要件に基づいて、微妙なポリシーを策定できる。例えば、セキュリティチームは、Cookieアクセスを要求する拡張機能をブロックしたり、リスクの高いAIやVPN拡張機能を制限する一方で信頼できる拡張機能を許可するなど、より高度なルールを実装することができます。
ブラウザの拡張機能が職場の生産性を高めることは否定できないが、最近の攻撃キャンペーンは、強固なセキュリティ対策の緊急の必要性を浮き彫りにしている。セキュリティリーダーは、管理されていないブラウザ拡張機能が、重要かつ拡大しつつある攻撃対象であることを認識する必要があります。
LayerXは、組織がブラウザ拡張機能を保護するための戦略を実施するのを支援するために、拡張機能のリスクと悪意のある拡張機能からのリスクを修正するための実用的な対策に関する包括的なガイドを提供しています。
拡張機能のリスクを評価する無料監査
さらに、LayerXは組織の拡張機能リスクの監査を無料で提供しています。
この監査には、組織のエンドポイントにインストールされているブラウザ拡張機能の検出、侵害された拡張機能の検出、および悪意のある拡張機能の積極的な修正が含まれます。
ブラウザ拡張機能を暴露した最近の攻撃キャンペーンの影響を受けていることが判明した組織に対しては、暴露された可能性のあるユーザークッキーとパスワードのローテーションなどの修復作業も提供しています。
無料監査に申し込むにはここをクリックしてください。
LayerXがスポンサーとなり、執筆しました。
Comments