文章を翻訳する。
画面を保存する。
PDFを編集する。
広告を非表示にする。
生成AIをブラウザの横に表示する。
ChromeやMicrosoft Edgeの拡張機能は、日々の作業を便利にしてくれます。一方で、従業員が「便利そうだから」という理由だけで自由に追加していると、会社が把握していないプログラムが、業務で閲覧するウェブページや入力内容へアクセスできる状態になることがあります。
拡張機能は、単なる小さなボタンではありません。
拡張機能が要求する権限によっては、閲覧中のウェブサイトへのアクセス、スクリプトの挿入、通信内容の監視、Cookieの利用、クリップボードにコピーした内容の読み取りなどが可能になります。すべての拡張機能がこれらの権限を持つわけではありませんが、導入前に権限と業務目的が釣り合っているかを確認する必要があります。
会社がブラウザの管理ポリシーを設定していない場合、利用者が任意の拡張機能をインストールできる状態になることがあります。Google ChromeとMicrosoft Edgeは、いずれも企業向けポリシーによって拡張機能の許可・禁止を制御できる仕組みを提供しています。
本記事では、ChromeとMicrosoft Edgeの拡張機能を会社の許可制にするための手順を、中小企業向けに整理します。
一度確認した拡張機能でも、安全とは限らない
2026年6月29日、Socketの調査チームは、無料VPNを装ったChrome・Firefox向け拡張機能について報告しました。
調査対象となったChrome拡張機能は、最初に分析されたバージョンではVPN・プロキシとして動作し、クリップボードからの情報送信は確認されていませんでした。ところが、2026年5月31日に公開された後続バージョンでは、クリップボードにコピーされた文字列を継続的に読み取り、外部のインフラへ送信する処理が追加されていました。
クリップボードには、パスワード、多要素認証コード、APIキー、アクセストークン、復旧コードなどが一時的に置かれることがあります。Socketは、対象拡張機能が導入されていた期間にコピーした秘密情報について、漏えいしたものとして扱うよう推奨しています。
この事案から分かるのは、「インストールした時点では問題が見つからなかった」という確認だけでは不十分だということです。
拡張機能は更新されます。機能や必要権限が変更される場合があるため、導入時の確認に加えて、更新後や権限変更時の再確認が必要です。
なお、これは特定の調査で確認された事案であり、すべてのVPN拡張機能やブラウザ拡張機能が危険だという意味ではありません。問題は、会社として何が導入され、どの権限を持ち、現在も必要なのかを把握できていないことです。
AI関連の拡張機能も例外ではない
Microsoft Defenderの調査チームは2026年3月、正規のAIアシスタントを装った悪意あるChromium系ブラウザ拡張機能について公表しました。
Microsoftの報告では、関連する拡張機能は約90万件のインストールに達したとの情報があり、Microsoft Defenderの観測でも2万を超える企業テナントで活動が確認されました。拡張機能は、利用者が閲覧した完全なURLや、ChatGPT、DeepSeekなどで交わされたAIチャットの一部を収集していたとされています。
生成AIへ入力される内容には、社内手順、ソースコード、顧客対応案、企画、契約条件、障害情報などが含まれることがあります。
生成AIサービスそのものについて利用規約や入力ルールを整えていても、ブラウザ側に別の拡張機能が入っていれば、そちらから情報が取得される可能性があります。
生成AIの利用ルールを作る際は、「どの生成AIを使ってよいか」だけでなく、「どのブラウザ拡張機能を使ってよいか」も確認対象に含める必要があります。
「公式ストアにあるから許可」は危険な判断
ChromeウェブストアやMicrosoft Edgeアドオンに掲載されていることは、確認材料の一つです。
しかし、ストアへの掲載は、次の事項まで会社に代わって判断してくれるものではありません。
- 自社の業務で本当に必要か
- 自社が扱う情報の重要度に適しているか
- 要求している権限が過剰ではないか
- 自社の契約や秘密保持義務に反しないか
- 自社の個人情報・営業秘密管理方針に合っているか
- 導入後も継続して確認する責任者がいるか
インストール数、評価点、利用者のコメントだけで許可を決めることも避けるべきです。
インストール数が多いことは、会社が安全性を保証したことにはなりません。評価点が高くても、後の更新で動作が変わる可能性があります。
ストアの審査は重要な安全対策ですが、それとは別に、利用企業としての業務上の審査が必要です。
拡張機能の「許可制」とは何か
拡張機能の許可制とは、従業員が自由にインストールした後で問題を探すのではなく、会社が事前に承認した拡張機能だけを業務利用できるようにする運用です。
厳格な方法では、原則としてすべての拡張機能を禁止し、承認した拡張機能のIDだけを許可リストへ登録します。
ただし、現在多くの拡張機能を自由に利用している会社が、いきなりすべてを禁止すると、業務に必要な機能まで停止する可能性があります。
実務上は、次の順番で進めるのが安全です。
- 現在導入されている拡張機能を調べる
- 業務上の必要性と権限を確認する
- 許可・条件付き許可・禁止に分類する
- 一部の端末でポリシーを試す
- 全社へ適用する
- 定期的に差分を確認する
以下の確認頻度や分類方法は、すべての企業に一律に課される法的義務ではありません。本稿で提案する中小企業向けの実務上の運用例です。
手順1 管理対象を決める
最初に、どこまでを会社の管理対象にするかを決めます。
少なくとも、次の環境は対象に含めます。
- 会社が貸与したパソコン
- 業務で使用するChrome
- 業務で使用するMicrosoft Edge
- 会社アカウントで利用するブラウザプロファイル
- 在宅勤務や外出先で使う会社端末
- 共有パソコンや受付用パソコン
- クラウドや管理画面へアクセスする端末
ブラウザごとに別々の拡張機能が入っていることがあります。
「会社ではEdgeを標準にしているからChromeは確認しない」という対応ではなく、実際に導入されているブラウザを確認してください。
業務で個人のブラウザプロファイルを使わせている場合は、会社が設定や拡張機能を把握しにくくなります。業務では会社が指定したプロファイルを使うというルールも併せて検討します。
手順2 現在の拡張機能を一覧にする
Chromeではアドレス欄に次の文字列を入力すると、拡張機能の管理画面を表示できます。
chrome://extensions
Microsoft Edgeでは、次の管理画面を使用します。
edge://extensions
小規模な会社であれば、まず各端末でこの画面を開き、導入済みの拡張機能を表計算ソフトへ転記する方法でも構いません。
一覧には、名称だけでなく「拡張機能ID」を記録します。
名称が似た拡張機能や、名称が変更された拡張機能を区別するためです。また、Chrome・Edgeの企業向けポリシーも、基本的には拡張機能IDを使って許可・禁止を指定します。
拡張機能台帳の記載例
| 項目 | 記載内容 |
|---|---|
| ブラウザ | Chrome、Microsoft Edge |
| 拡張機能名 | ストアに表示される名称 |
| 拡張機能ID | 管理画面やストアで確認したID |
| 提供者 | 開発者名、企業名 |
| 利用者・部署 | 誰が、どの部署で使用しているか |
| 業務目的 | 何の作業に必要か |
| 主な権限 | 全サイト、クリップボード、Cookieなど |
| 対象データ | 顧客情報、社内情報、公開情報など |
| 判定 | 許可、条件付き許可、禁止、確認中 |
| 承認者 | 業務責任者、管理者 |
| 承認日 | 最後に承認した日 |
| 次回確認日 | 再確認する予定日 |
| 備考 | 代替手段、例外条件、削除日など |
「誰が使っているか分からない」「何のために入れたか分からない」という拡張機能は、必要性が確認できるまで無効化することを検討します。
ただし、業務システムや認証サービスが拡張機能を必要としている場合もあります。確認せずに一斉削除すると業務を停止させる可能性があるため、利用部署とIT事業者の双方へ確認してください。
手順3 権限を確認する
拡張機能の安全性は、要求している権限の数だけでは判断できません。
翻訳ツールが閲覧中の文章を読む、パスワード管理ツールがログイン画面に入力するなど、提供する機能によっては一定の権限が必要です。
確認すべきなのは、「その機能を提供するために、本当にその権限が必要なのか」です。
Chromeの公式資料では、拡張機能が使用する権限として、特定のAPIを利用する権限、ウェブサイトへアクセスするホスト権限、実行時に利用者が許可する任意権限などが整理されています。ホスト権限によっては、ページへのスクリプト挿入、URL等の取得、通信要求の監視、Cookieへのアクセスが可能になります。
特に確認したい権限
| 権限・表示例 | 確認する理由 |
|---|---|
| すべてのウェブサイト上のデータの読み取り・変更 | 業務システムを含む広い範囲へアクセスできる可能性がある |
| クリップボードの読み取り | コピーしたパスワード、コード、文章等へアクセスできる |
| Cookieへのアクセス | ウェブサービスのCookieを扱う機能を持つ |
| 閲覧履歴・タブへのアクセス | 閲覧先や開いているページに関する情報を扱う |
| プロキシ設定の変更 | ブラウザ通信の経路へ影響を与える |
| ウェブ通信要求の監視 | 通信内容や接続先を監視・制御する機能を持つ |
| 外部プログラムとの通信 | ブラウザ外のアプリケーションと連携する可能性がある |
例えば、単純な時計表示の拡張機能が「すべてのウェブサイトのデータを読み取り、変更する」権限を要求している場合は、業務目的に対して権限が過剰ではないか確認する必要があります。
一方、ページ翻訳やアクセシビリティ支援など、機能上広いページアクセスが必要な場合もあります。
権限が広いことだけを理由に、直ちに悪意ある拡張機能と断定することはできません。目的、提供者、データの取扱い、代替手段と併せて判断します。
手順4 許可基準を決める
承認者の感覚だけで判断すると、同じ拡張機能でも部署によって結論が変わります。
次の基準を会社として決めておくと、判断しやすくなります。
拡張機能の確認基準
| 確認項目 | 主な確認内容 |
|---|---|
| 業務上の必要性 | 具体的な業務目的があるか |
| 代替手段 | ブラウザ標準機能や契約済みサービスで代替できないか |
| 提供者 | 開発者・企業・連絡先を確認できるか |
| 配布元 | 公式ストアまたは会社指定の方法か |
| 権限 | 業務目的に対して過剰ではないか |
| データの取扱い | 何を収集し、どこへ送信し、どれだけ保存するか |
| 対象情報 | 顧客情報、個人情報、営業秘密を扱う画面で動作するか |
| 更新・保守 | 継続して更新され、問い合わせ先があるか |
| 利用範囲 | 全員に必要か、特定部署だけでよいか |
| 事故時対応 | 問題発生時に停止・削除・調査できるか |
「無料だから」「有名だから」「同業他社も使っているから」だけでは、承認理由として不十分です。
無料サービスであっても安全なものはあります。有料サービスであっても、要求権限やデータ処理が自社に合わないことはあります。
費用ではなく、自社の業務と情報に適しているかで判断します。
手順5 四段階で判定する
棚卸し結果は、次の四段階に分けると管理しやすくなります。
| 判定 | 状態 | 対応 |
|---|---|---|
| 許可 | 業務目的、提供者、権限、利用者を確認できる | 許可リストへ登録 |
| 条件付き許可 | 必要だが、利用者や対象サイトを限定すべき | 部署、端末、期間、サイトを限定 |
| 確認中 | 所有者、目的、権限などが不明 | 確認完了まで無効化を検討 |
| 禁止 | 不要、目的不明、権限過剰、配布元不明など | 無効化・削除し、再導入を防止 |
条件付き許可では、例えば次の制限を設定します。
- 特定部署だけに許可する
- 特定の端末だけに許可する
- 一定期間だけ許可する
- 顧客情報を扱うシステムでは動作させない
- ファイルURLへのアクセスを許可しない
- シークレットモードでは利用させない
- 個人アカウントでは利用させない
Microsoft Edgeでは、拡張機能のインストール可否だけでなく、要求する権限に基づくブロックや、指定したウェブサイトで拡張機能がデータを読み取ったり変更したりすることを制限するポリシーも提供されています。
手順6 申請・承認の流れを作る
許可リストを作っても、新しい拡張機能を追加する手順がなければ、現場が不便になり、ルールを回避し始めます。
申請書は複雑にする必要はありません。
最低限、次の項目を記載します。
拡張機能利用申請書の項目
- 申請者・所属部署
- 拡張機能名
- 拡張機能ID
- ストア上の提供者
- 利用目的
- 利用する業務
- 利用するウェブサービス
- 扱う情報の種類
- 要求される主な権限
- 他の手段で代替できない理由
- 利用予定者
- 利用予定期間
- 業務責任者の承認
- システム管理者の確認
- 次回確認日
承認者は一人に集中させない方がよいでしょう。
業務上必要かどうかは業務責任者が判断し、技術的な権限や管理方法はシステム管理者またはIT事業者が確認します。
専任担当者がいない会社では、総務責任者、利用部署の責任者、契約しているIT事業者の三者で確認する方法があります。
Chromeで許可リストを設定する考え方
Google Chromeでは、企業向けポリシーとして次の設定が提供されています。
ExtensionInstallBlocklistExtensionInstallAllowlist
ExtensionInstallBlocklistへ「*」を設定すると、原則としてすべての拡張機能がブロックされます。そのうえで、承認した拡張機能のIDをExtensionInstallAllowlistへ登録すると、登録した拡張機能だけを利用できる構成にできます。Googleの公式資料では、ポリシーを設定していない場合、利用者が任意の拡張機能をインストールできると説明されています。
Windows環境では、グループポリシーやレジストリ、端末管理サービスなどを使って設定できます。Google WorkspaceやChrome Enterpriseの管理環境を利用している場合は、管理コンソール側の機能も確認してください。
ただし、既存の拡張機能を把握しないまま「すべて禁止」を適用すると、現在利用している業務機能まで停止する可能性があります。
最初は管理部門などの少数端末へ適用し、業務影響と例外申請の流れを確認してから、対象を広げます。
Microsoft Edgeで許可リストを設定する考え方
Microsoft Edgeでも、次のポリシーを利用できます。
ExtensionInstallBlocklistExtensionInstallAllowlistExtensionSettingsExtensionInstallForcelist
Edgeでも、ブロックリストへ「*」を設定し、承認した拡張機能IDを許可リストへ登録することで、許可した拡張機能だけを利用する構成にできます。
ExtensionSettingsでは、拡張機能ごとのインストール方法、許可・禁止する権限、アクセスを制限するウェブサイトなど、より細かな管理ができます。
ExtensionInstallForcelistを使うと、利用者の操作なしで指定した拡張機能を導入できます。強制導入された拡張機能は、利用者が自由に無効化・削除できないため、全社員が確実に必要とするものだけに限定すべきです。
Microsoft 365やIntuneを利用している場合は、現在の契約で利用できる管理方法をIT事業者へ確認してください。
集中管理が難しい会社は一枚ルールから始める
端末管理サービスやグループポリシーを使えない会社でも、何もしないより、簡単な申請ルールと台帳を作る方が効果があります。
最初は、次の内容を一枚にまとめます。
ブラウザ拡張機能利用ルールの例
- 業務で使用する拡張機能は、会社が承認したものに限る
- 新たに利用する場合は、事前に名称、ID、目的、権限を申請する
- 開発者モードや非公式サイトから拡張機能を導入しない
- 確認中の拡張機能へ顧客情報や社内機密情報を入力しない
- 権限が追加・変更された場合は、再承認を受ける
- 業務が終了した拡張機能は削除する
- 退職、異動、端末返却時に拡張機能も確認する
- 不審な動作を確認した場合は、利用を止めて管理者へ連絡する
利用者へ「危険だから全部禁止する」とだけ説明すると、必要な機能まで使えなくなり、個人端末や別ブラウザで回避される可能性があります。
なぜ管理が必要なのか、申請すれば利用できること、判断に必要な日数ではなく判断基準を明確にすることが大切です。
許可後も月次で差分を確認する
許可リストは、一度作って終わりではありません。
本稿では、毎月は「差分確認」、四半期または半年ごとに「全体確認」を行う方法を提案します。会社の規模や扱う情報の重要度に応じて調整してください。
毎月確認する項目
- 新たにインストールされた拡張機能
- 新たに申請された拡張機能
- 削除・無効化した拡張機能
- 権限が変更された拡張機能
- 利用目的が終了した拡張機能
- 利用者や部署が変わった拡張機能
- 不審な通信や警告が発生した拡張機能
- セキュリティ事業者等から注意喚起された拡張機能
Chromeでは、警告対象となる新しい権限が更新で追加された場合、利用者が新しい権限を承認するまで拡張機能が無効になることがあります。ただし、警告表示だけに依存せず、会社として権限変更時の再承認ルールを設けてください。
確認結果として、少なくとも次の記録を残します。
- 確認日
- 確認者
- 対象端末・利用者
- 追加された拡張機能
- 削除した拡張機能
- 権限変更の有無
- 判断結果
- 実施した処置
- 次回確認日
この記録は、取引先から「許可されていないソフトウェアをどのように管理していますか」と聞かれた場合の説明資料にもなります。
不審な拡張機能が見つかった場合
不審な拡張機能を見つけたときは、単に削除して終わらせないでください。
まず、調査に必要な次の情報を記録します。
- 拡張機能名
- 拡張機能ID
- バージョン
- 提供者
- 要求権限
- 導入されていた利用者・端末
- 導入時期
- 最後に利用した時期
- アクセスした可能性があるサービス
- 表示された警告や不審な動作
外部への情報送信など、被害が進行している可能性がある場合は、記録よりも端末のネットワーク隔離や拡張機能の無効化を優先します。
その後、次の対応を検討します。
- 対象拡張機能を無効化または削除する
- 同じ拡張機能が他の端末にもないか調べる
- 閲覧・入力・コピーした可能性のある情報を確認する
- パスワードやアクセストークン等を失効・変更する
- クラウドサービスのログインセッションを失効させる
- 不審なログインや操作履歴を確認する
- 個人情報や取引先情報への影響を確認する
- 対応内容と時系列を記録する
特にクリップボードを読み取る拡張機能の場合、パスワードだけでなく、APIキー、認証コード、復旧コード、クラウド認証情報などをコピーしていなかったか確認してください。
影響範囲が判断できない場合や、個人情報・営業秘密が関係する場合は、自社だけで結論を出さず、情報処理安全確保支援士、IT事業者、弁護士などへ相談します。
30日で許可制へ移行する例
専任担当者がいない会社では、次のように四週間へ分けると進めやすくなります。
| 期間 | 実施内容 | 完成させるもの |
|---|---|---|
| 第1週 | 利用しているブラウザと拡張機能を調査する | 拡張機能台帳の初版 |
| 第2週 | 業務目的、提供者、権限を確認する | 許可・条件付き許可・禁止の一覧 |
| 第3週 | 申請書と利用ルールを作り、一部端末で試す | 利用申請書、利用ルール |
| 第4週 | 全社へ展開し、例外と確認記録を整理する | 許可リスト、例外台帳、確認記録 |
最初から完璧な技術審査を行う必要はありません。
まず「何が入っているか分からない」という状態を解消し、目的不明なものを減らし、会社が承認したものを説明できるようにします。
経営者が確認したい五つの質問
経営者が拡張機能の細かなプログラムを確認する必要はありません。
担当者へ、次の五つを質問してください。
- 社内で利用しているChrome・Edge拡張機能を一覧にできるか
- 誰が新しい拡張機能を承認するのか決まっているか
- すべてのウェブサイトやクリップボードへアクセスする拡張機能を把握しているか
- 更新や権限変更があったときに再確認する仕組みがあるか
- 最後に棚卸しした日と、その記録を提示できるか
五つの質問へ答えられないからといって、直ちに情報漏えいが起きているとは限りません。
しかし、会社がブラウザ上のプログラムを管理できていない可能性があります。
まとめ
ブラウザ拡張機能は、便利な業務ツールです。
一方で、業務システム、メール、クラウドストレージ、生成AI、顧客管理画面などと同じブラウザ内で動作します。
そのため、会社として確認すべきなのは、単に「有名な拡張機能か」「公式ストアに掲載されているか」だけではありません。
- 何の業務に必要なのか
- 誰が利用しているのか
- どの権限を持っているのか
- どの情報へアクセスするのか
- 誰が承認したのか
- 最後に確認したのはいつか
この六つを説明できる状態にすることが重要です。
許可リストは、安全性を永久に保証する認証制度ではありません。
会社が業務上の必要性とリスクを確認し、継続して見直すための管理手段です。最初は全端末を自動管理できなくても、拡張機能台帳と一枚の申請ルールを作るところから始めてください。
ライトハウスコンサルタントでは、専任の情報システム担当者がいない中小企業を対象に、端末、アカウント、クラウドサービス、ブラウザ拡張機能を含む情報セキュリティの現状整理を支援しています。
「何が入っているか分からない」「IT事業者へ何を確認すればよいか分からない」という場合は、中小企業セキュリティ現状診断をご活用ください。
- 投稿タグ
- Chrome, Microsoft Edge, アプリケーション管理, ソフトウェア台帳, ブラウザ拡張機能, 中小企業セキュリティ, 情報漏えい対策, 許可リスト
