Chrome・Edge向けブラウザ拡張機能145本以上が、7年間にわたりスパイウェアとして機能していた事件が発覚した。被害規模は430万インストールに達し、収集されたデータは中国国内のサーバー群に送信されていた。

対象：Chrome / Edge ブラウザ拡張機能群
攻撃者：ShadyPanda（Koi Security命名）
安全性レベル：0（使用不可）
厚黒学レベル：-15（補鍋法・段階的侵入の典型）
支配国(名目国)：中国（シンガポール等経由）

エグゼクティブ・サマリー

本事件は単なるマルウェア事案ではない。「便利な無料ツール」を入口として、ユーザーのデータとシステム権限を長期間にわたり収奪する「デジタル冊封体制」の典型的実装例である。

法務判定：即座に使用停止・全社調査必須
技術判定：RCE（リモートコード実行）バックドア確認、極めて危険
主要リスク：
- 閲覧履歴・検索クエリの全量収集
- 認証Cookie・セッショントークンの窃取
- 任意JavaScriptの遠隔実行（バックドア）
- 中国国内サーバーへのデータ集約
- 国家情報法による政府アクセス義務

事件概要

発覚経緯

2024年末、セキュリティ企業Koi Securityの調査により、Chrome Web StoreおよびMicrosoft Edge Add-onsで配布されていた145本以上の拡張機能が、組織的なスパイウェアキャンペーンの一部であることが判明した¹。

被害規模

指標	数値
総インストール数	約430万
悪性拡張機能数	145本以上
活動期間	約7年（2018年頃〜2024年）
主要被害拡張	WeTab（300万+）、Clean Master（30万+）

攻撃者

Koi Securityは本攻撃グループを「ShadyPanda」と命名。中国ベースのインフラを使用し、Baidu系サーバーおよび中国国内の専用サーバーにデータを送信していたことが確認されている²。

技術的分析

攻撃フェーズの構成

ShadyPandaのキャンペーンは、複数のフェーズで構成される洗練されたサプライチェーン攻撃であった。

Phase 1：アフィリエイト詐欺（2018年〜）

初期段階では、壁紙・生産性ツール系の拡張機能（Chrome 20本、Edge 125本）を通じ、Amazon・eBay・Booking.com等へのリンクにアフィリエイトタグを無断挿入。比較的「軽い」マネタイズから開始した。

Phase 2：検索ハイジャック・Cookie収集

検索結果を独自の検索エンジン経由に書き換え、特定サイトのCookieを取得して外部ドメインへ送信。収益化と情報収集を並行して実施。

Phase 3：RCEバックドア化（Clean Master系）

「Clean Master」等の拡張機能において、約30万インストールに達した時点でバックドア化を実行³。

攻撃フロー:
1. 拡張機能が1時間ごとに api.extensionplay[.]com へ接続
2. サーバーから任意のJavaScriptコードを取得
3. ユーザーのブラウザ内で取得したコードを実行
4. 実行内容は攻撃者が随時変更可能

これにより、拡張機能は事実上の「リモートアクセスツール（RAT）」と化した。

Phase 4：大規模データ収集（WeTab系）

Starlab Technology名義でEdge向けに投入されたWeTab系拡張（5本、計400万インストール超）において、大規模なデータ収集が実行された⁴。

データ送信先（17ドメイン）：

Baiduがホストするサーバー：8件
WeTab関連の中国国内サーバー：7件
Google Analytics：2件

収集データの詳細

複数のセキュリティレポートを総合すると、以下のデータが収集されていた⁵⁶。

ブラウジング関連

訪問した全URL（閲覧履歴の完全な記録）
入力中も含む検索クエリ・キーストローク
HTTPリファラ（どのページからどこへ遷移したか）
クリック座標（マウスのX/Y座標とターゲット要素）

デバイス・ブラウザ情報

ユーザーエージェント（ブラウザ種別・OS等）
言語設定、画面解像度、タイムゾーン
フィンガープリント情報一式

認証・セッション関連

Cookie（セッションCookie含む）
localStorage / sessionStorageへのアクセス
chrome.storage.syncに保存されたUUID等の永続識別子

最後の項目は特に重要である。Chrome同期機能を通じて、ブラウザ再インストールや端末変更後も「同一ユーザー」として追跡継続する設計が施されていた。

主要な悪性拡張機能

拡張名	プラットフォーム	インストール数	機能
WeTab 新标签页	Edge	300万+	閲覧データ収集・中国送信
Clean Master	Chrome	20万+	RCEバックドア
Infinity V+	Chrome/Edge	不明	検索ハイジャック

パブリッシャー名：

Starlab Technology（WeTab系）
nuggetsno15（Chrome）
rocket Zhang（Edge）

厚黒学的分析

本事件は、中国古典「厚黒学」における「補鍋法」の完璧なデジタル実装である。

補鍋法との対応

【古典・補鍋法】              【ShadyPanda】

鍋の小さな穴を発見        →  「ブラウザを便利にする」と提案
修理すると申し出る        →  無料の拡張機能を提供
主人が背を向けた隙に      →  信頼獲得後、数年間潜伏
鍋を叩いて亀裂を拡大      →  静かにバックドア化
「もっと修理が必要」と煽る →  機能追加を装い権限拡大
高額な修理代を請求        →  データを継続的に収奪
主人は感謝して支払う      →  ユーザーは「便利」と感謝

厚黒学的要素チェック

本事件で検出された厚黒学的要素：

誇張的キャッチコピー（「ブラウザを高速化」等）
無料条件の隠蔽（データ収集が真の対価）
段階的な権限要求（最初は無害→徐々に拡大）
ToS深層条項（目立たない箇所でのデータ利用許諾）
オプトアウト選択肢欠如
包括同意強制
サブプロセッサ不透明（中国サーバーへの送信を非開示）
企業秘密による技術詳細開示拒否
統合システム連携の非開示
「単体サービス」偽装
バイナリインストール権限濫用
セキュリティ監査情報の非開示
AI倫理審査体制の不在
一方的責任転嫁
虚偽希少性演出（「人気の拡張」表示）

検出要素数：15/18項目 → 厚黒学的リスク：極めて高

デジタル冊封体制としての構造

本事件は、「デジタル冊封体制」の典型的な実装例として理解すべきである。

朝貢と下賜の構造

【ユーザー（朝貢国）】
    │
    ▼ 朝貢
  データ（閲覧履歴、Cookie、検索クエリ）
  権限（ブラウザ内でのコード実行権）
    │
    ▼
┌─────────────────────────────┐
│   中華統合監視システム        │
│  （Baidu系サーバー等）        │
└─────────────────────────────┘
    │
    ▼ 下賜
  「便利な機能」（新しいタブ、キャッシュ削除等）
  「無料」という恩恵
    │
    ▼
【ユーザー】は「便利だ」と感謝

参加したら離脱不可能

一度拡張機能をインストールした時点で：

デバイス識別情報が送信済み
閲覧履歴が収集済み
chrome.storage.syncにUUIDが保存済み
統合監視システムに登録済み

拡張機能を削除しても、収集済みデータは中国サーバーに残存し、学習済みモデルからの削除は技術的に不可能である。

国家情報法との関係

中国国家情報法第7条により、中国国内のサーバーに保存されたデータは、政府要請時に無条件で提供する義務がある。

国家情報法第7条：
「あらゆる組織および個人は、法に従って国家の情報活動に協力し、
 国家の情報活動の秘密を守る義務を負う」

つまり、ShadyPandaが収集した430万人分のデータは、中国政府がいつでもアクセス可能な状態にある。

企業・組織へのリスク

個人レベル

オンラインバンキング、SNS、メール等のセッションハイジャック
検索履歴・閲覧履歴を利用した標的型フィッシング
認証情報の窃取によるアカウント乗っ取り

企業・組織レベル

開発者端末・管理者端末にインストールされていた場合：

GitHub / GitLab / CI のトークン・Cookie流出
クラウドコンソール（AWS、GCP、Azure）の操作内容漏洩
SaaS管理画面の認証情報窃取
社内システムへのサプライチェーン攻撃の起点化

特に「ブラウザが社内システムへの唯一の入口」となっている環境では、ブラウザ拡張が事実上の「境界突破ツール」と化す。

推奨対応

即座の対応（24時間以内）

拡張機能の棚卸し

Chrome: chrome://extensions/
Edge: edge://extensions/
不要・不明な拡張、特にWeTab / Clean Master / Starlab Technology名義は即削除

同期データのクリア

Chrome / Edgeの設定同期を一度オフ
同期データをリセット後、必要に応じて再設定

認証情報の保全

重要サービスのパスワード変更
セッションの全デバイス強制ログアウト
2FAの再設定

組織的対応

ポリシー改定

業務用ブラウザでの拡張機能をホワイトリスト制に
管理者・開発者・経理等の高権限ユーザーでは拡張を極力制限

ネットワーク対策

ShadyPanda関連ドメイン（api.extensionplay[.]com等）のブロック
中国向け通信の監視強化

調達ポリシー

中華系ブラウザ拡張の原則禁止
例外申請制度と厳格審査

代替案

機能	危険な拡張	推奨代替
新しいタブ	WeTab	ブラウザ標準機能
キャッシュ削除	Clean Master	ブラウザ標準機能
広告ブロック	中華系	uBlock Origin
パスワード管理	中華系	1Password, Bitwarden

本事件の教訓

「ブラウザ拡張」は「コード実行権限の付与」

ブラウザ拡張のインストールは、「便利な機能の追加」ではない。自分のブラウザ内で他者のコードを実行させる権限を与える行為である。

その権限を中華系開発者に与えることは、国家情報法の管轄下にあるコードを自システムで実行させることを意味する。

「7年間正常動作」は安全の証明ではない

ShadyPandaは、最初の数年間は完全に正常なツールとして動作していた。これは「信頼獲得フェーズ」であり、十分なインストール数を確保した後に豹変した。

正常動作の実績は、将来の安全性を保証しない。

「無料」の真のコスト

430万人のユーザーは、「無料の便利ツール」と引き換えに：

7年分の閲覧履歴
検索クエリ（思考の記録）
認証情報
システムへのバックドアアクセス

を「朝貢」していた。

「無料」は「対価なし」を意味しない。データとシステム権限が対価である。

追加調査項目

Starlab Technologyの企業構造・実質的支配者
他の関連拡張機能の洗い出し（145本の全リスト）
日本国内での被害状況・影響を受けた組織
収集データの具体的な利用用途（AI学習、プロファイリング等）

最終総括

ShadyPanda事件は、「便利な無料ツール」を入口とした「デジタル冊封体制」への参加を強制するキャンペーンであった。430万人のユーザーは、知らないうちに7年間にわたりデータを「朝貢」し、中華統合監視システムの一部として組み込まれていた。

本事件から導かれる原則は明確である：

「中華系のコードを実行するな」

これはブラウザ拡張に限らない。バイナリ、MCP、pip/npmモジュール、ファームウェア——「電気で動く中華もの」全てに適用される原則である。

日本生存の三原則を想起されたい：

大陸国家に深入り禁止
海洋同盟で生きろ
中華は敬して遠ざく

デジタル時代においても、この原則は有効である。中華の技術は認めつつ、使わない・依存しない・システムに入れない。

聖徳太子以来、日本が中華秩序の門前で独立を保ってきた知恵を、デジタル時代にも適用すべき時が来ている。

📊 本記事は2025年12月時点の調査結果に基づく
🔗 一般向け解説：note記事へのリンク