最新の報道、解説、関連するテクノロジーストーリーを確認できます。
攻撃者は .gh、.sl、.as ドメインを掌握してDNSレコードを変更し、自動検証プロセスを通過した後、Googleの傘下ドメインやその他の世界的ブランド向けに未承認のTLS証明書を取得した。ChromeはGoogleが特定した証明書をブロックしたが、同社はブラウザー側の介入ではすべてのユーザーを保護できず、すべての証明書の検出を保証するものでもないと警告した。
セキュリティ研究者のGal Weizman氏は、BragJackという概念実証（PoC）手法を明らかにした。この手法は悪意あるブラウザー拡張機能を利用して、5種類のブラウザーおよびサービスにおけるAIアシスタントを制御し、ファイルや閲覧データの読み取り、ユーザーに代わる操作の実行を可能にする可能性がある。研究では2万ドルを超える脆弱性報奨金を獲得し、CVE識別番号の発行にも至った。
2025年半ばから活動しているバンキングマルウェアのキャンペーンが、KREMLINツールを使用して、ユーザーの同意なしにChromeとEdgeへ悪意ある拡張機能をインストールし、パスワード、トークン、セッション、機密データを窃取している。Elastic Security Labsは約1,515台の感染システムを確認しており、その大半はブラジルに存在する。また、解析対策の検査メカニズムを悪用することで、現在のキャンペーンを無効化することに成功した。
Googleは、Chromeのリリース周期を4週間から2週間へ短縮し、デスクトップ、iOS、Android向けにChrome 153をリリースした。同社はこの措置について、脆弱性の発見から修正をユーザーに届けるまでの間隔を短縮する必要性と、脅威の加速、人工知能ツールの進化に関連していると説明している。
Socketは、Google ChromeとMicrosoft Edge向けの19個の拡張機能を利用して、暗号資産、アカウントデータ、閲覧履歴を窃取できる悪意あるソフトウェアフレームワークを配布し、ClickFix型の詐欺ページを注入するキャンペーンを明らかにした。調査結果によると、この活動は2024年初頭に始まった可能性があり、一部の拡張機能は攻撃者に買収された後、自動更新によって悪意あるツールへと変化した。