サイバーセキュリティの研究者であるSam Jadali氏は7月20日(米国時間)、「DataSpii: The catastrophic data leak via browser extensions」において、Google ChromeやFirefoxの8つのエクステンションにおいて個人情報や機密情報が漏洩する問題を発見したと報告した。同氏は、Fortune 500企業の従業員数百万人に影響を及ぼすとして注意を呼び掛けている。
問題があるとされるエクステンションは次のとおり。
| エクステンション | ブラウザ |
|---|---|
| Hover Zoom | Chrome |
| SpeakIt! | Chrome |
| SuperZoom | ChromeおよびFirefox |
| SaveFrom.net Helper† | Firefox |
| FairShare Unlock | ChromeおよびFirefox |
| PanelMeasurement | Chrome |
| Branded Surveys | Chrome |
| Panel Community Surveys | Chrome |
-
What is DataSpii? - What extensions were identified?
Jadali氏はこのインシデントに「DataSpii」という名称をつけている。DataSpiiで漏洩した個人情報には次のようなものが含まれていたとされている。
- 個人的な関心事
- 税還付金
- GPS位置情報
- クラウドサービスとデータ
- 添付ファイル
- クレジットカード情報
- 遺伝情報
- 旅程
- 家系図
- オンラインショッピング履歴
漏洩のおそれがある企業情報は次のとおり。
- 従業員の活動情報
- プライベートLANネットワーク構造
- ページコンテンツの一部(LANのWebサイトに埋め込まれたリンクも含む)
- 企業メモ
- APIキー
- ソースコード
- ファイアウォールのアクセスコード
- 運用情報
- ゼロデイの脆弱性
Jadali氏は、上記のエクステンションを利用している場合はアンインストールするとともに、必要に応じてパスワードの変更やAPIキーの変更、メタデータの編集などを実施することを呼びかけている。
なお、ChromeやFirefox以外のWebブラウザであっても、同じエクステンションを使っている場合は影響を受けることになる。例えば、Chromeの技術をベースにして開発されたWebブラウザはChromeのエクステンションを利用できることが多く、その場合は上記のChromeのエクステンションを利用している可能性があり注意が必要となる。
8つのエクステンションのユーザー数合計は400万を超えている。Jadali氏はフォーチュン500企業の数百万人に影響を与える前例のないデータ漏洩と指摘しており、利用しているエクステンションを確認し、該当するエクステンションを利用している場合は迅速に対処することが望まれる。
