Googleは、Chromeブラウザにおいて、マルウェアが企業向け拡張機能ポリシーを悪用し、新しいタブページ（New Tab）や既定の検索エンジンを勝手に書き換える「ポリシーハイジャック」を、未管理の一般消費者向けWindows・macOS PCで標準ブロックする新機能を準備していることが、BleepingComputerの報道で明らかになった。ChromiumのGerritコードレビューで進行中の変更として見つかったもので、審査が通り次第デフォルトで有効化される見通しだ。
「管理ポリシー」を悪用したなりすましの手口
Chromeには、ドメイン参加PCやMDM（モバイルデバイス管理）配下の企業端末向けに、管理者が拡張機能を強制インストールしたりブラウザ設定をロックしたりできる「エンタープライズポリシー」機能がある。正規の管理下にある端末では有用な仕組みだが、Chromeはこのポリシーを、信頼できる権威（ドメインやMDMサービス）による確認なしに、ローカルに保存された設定値としてそのまま読み込んでしまう。
マルウェアはこの盲点を突く。一般消費者のPCにローカルのChromeポリシーキーを勝手に書き込み、New Tabページの書き換えや検索エンジンの変更を行う拡張機能を「管理者インストール」を偽装して強制導入する。Chrome側はこれを正規の管理者操作と誤認するため、ユーザーは該当の拡張機能を無効化・削除できなくなる。加えて、実際には組織管理下にない個人PCにもかかわらず、「このPCは組織によって管理されています」という紛らわしいメッセージが表示されるケースもあるという。Googleはこうした一般消費者PCを、信頼できる確認元を持たない「低信頼環境」と位置づけている。
Chromeが追加する新しい防御策
今回準備されている機能フラグ「kBlockDseNtpOverrideExtensionsOnUnmanagedDevices」は、未管理のWindows・macOS端末で以下の防御を有効にする。
- New Tabページや既定検索エンジンを上書きしようとするポリシー強制インストールの拡張機能を、インストールの段階でブロックする
- ブロックした拡張機能IDを記録し、以降のポリシーチェックで同じ拡張機能への再ダウンロード試行を止め、不要な通信も抑制する
- ユーザーが自分の意思で手動インストールした拡張機能は、ポリシー管理下の「ロック状態」へ自動的に格上げされなくなり、引き続き自分で無効化・削除できる
- かつて正規に管理されていた端末が管理状態を失った後も、古いローカルポリシーキーが端末に残っている場合、該当のNew Tab／検索エンジン上書き拡張機能をChromeが自動的にアンインストールする
- ハイジャック拡張機能の出現頻度やブロック実績を把握するための計測機能も追加される
- 業務上どうしてもNew Tabや検索エンジンをポリシーで上書きする必要がある正規の管理者向けに、保護を無効化できるエスケープハッチポリシーも用意される
なお、この変更はまだChromiumのGerritでレビュー中であり、安定版（Stable）Chromeには未搭載である。
実務への影響
ドメイン参加やIntune等のMDMで正しく管理されている企業端末は、今回の保護の対象外（「未管理端末」向けの機能）であるため、通常運用に影響はない見込みだ。ただし、BYOD端末や個人所有だが業務利用している端末など、管理状態があいまいな機器を抱える組織は、安定版への展開時に動作検証をしておく価値がある。
もし社内ポータルを既定ページにするなど、正規の目的でポリシーによるNew Tab／検索エンジンの上書きを行っている場合は、今回追加されるエスケープハッチポリシーの適用を忘れないよう、デスクトップ管理チームに早めに周知しておきたい。
ヘルプデスクの観点でも意味がある。「身に覚えのない検索エンジンへの変更」「知らないうちに『組織によって管理されています』と表示される」という相談は、まさに今回Googleが対処しようとしている攻撃パターンそのものだ。原因の説明や利用者への案内が、ベンダー自身の説明に基づいて行いやすくなる。
より広い視点で見ると、今回の問題は「外部の信頼できる権威による検証を経ないまま、ローカルの設定値を暗黙に信頼してしまう」設計が突かれた事例といえる。ゼロトラストの基本である「常時・無条件の信頼を置かない」という考え方は、こうしたブラウザのローカルポリシー読み込みのような足元の設定にも当てはまる。
出典: この記事は Google Chrome may soon block New Tab hijacker extensions by default の内容をもとに、筆者の見解を加えて独自に執筆したものです。