Chrome拡張機能はパスワードを抜き取れる？

質問

Chrome拡張機能をインストールする時の権限に
「拡張機能にサイトのデータの読み取りと変更を許可する」
が存在する場合、
銀行サイトなどのログイン画面でIDやパスワードを抜き取ることは可能なのでしょうか？
Chromeのパスワード管理機能をONにするとログイン画面で自動入力されますが
拡張機能が抜き取れるならば拡張機能の利用を控えようかと思っています。

ご存知でしたらご教授ください。

回答No.1

narashingo · ベストアンサー

次の記事「ブラウザ拡張の権限でどこまで（悪いことを）できるのか？とその対策」には、
(h)ttps://qiita.com/tksugimoto/items/0e9ada7efc3b6570e10c

可能なこととして「取得可能なページ情報」の中に、「読み取り」や「ログインフォームの入力文字」（パスはこの中に含まれますね）あると書かれています。

Chromeでは、ver71から拡張機能ごとにサイトアクセスを制限する機能が実装されたらしいので、
（Chrome 71以降で拡張機能のサイトアクセスを制限する）
(h)ttps://00.bulog.jp/archives/6024

当該パスを入力を要するサイトでは、Google Chromeに導入したすべての拡張機能に制限を次のサポート記事の「特定のサイトへのアクセス権を付与または取り消す」などを参考に対処するしかないと思われます。
（拡張機能をインストールして管理する）
(h)ttps://support.google.com/chrome_webstore/answer/2664769?p=enable_extensions&visit_id=636859681425937729-2167193691&rd=1#extensionpermissions
（「Google Chrome」拡張機能をより安全に ～アクセスできるWebサイトを制限してみよう）
(h)ttps://forest.watch.impress.co.jp/docs/serial/yajiuma/1158878.html

初期設定では、「すべてのサイト」が許可選択になっているようですが、制限には、「拡張機能をクリックしたとき」の選択肢しか該当しないような気がします。

基本的には、Webストアに登録を許可された拡張機能は、Googleの審査を通過したものと思いますから、悪さをすることはないと思いたいですが、何となく嫌ですね。

お礼

ありがとうございます。
やっぱり危ないみたいですね。
Googleはパスワード項目の読み取りを制限してほしいものです。