その結果、約2年間の調査期間中のうち、延べ約3億4600万人のユーザーがChrome ウェブストアからセキュリティ面で問題がある拡張機能をダウンロードしたことが分かった。その内訳はマルウェア（延べ2億8000万人）、Googleのポリシー違反（同6300万人）、脆弱性を含んだもの（同300万人）だった＊1。

＊1　ソースコードを解析できた10万8859個の拡張機能のうち、9万2482個が良性だった。6587個がマルウェアを含み、9638個がポリシー違反、152個が脆弱性を含んでいた。これらにダウンロードされた数を掛け合わせることで人数を割り出した。

　これはGoogleの公式の主張とは大きく異なる。GoogleはChrome ウェブストアからダウンロードされた拡張機能のうち、マルウェアが検出されたものは、1％にも満たないと主張しているからだ＊2。

＊2　Staying Safe with Chrome Extensions（Google）

　研究チームは12万4094個の拡張機能のうち、約60％が1年以内にChrome ウェブストアから削除されたことを突き止めた。なお、1日当たりの登録数は200～600の範囲にある。その一方で、一部の問題のある拡張機能が長年にわたってChrome ウェブストアに残っており、ユーザーにセキュリティリスクを与え続けていたことも分かった。研究チームは「ユーザーがこれらの問題のある拡張機能を報告することがめったにないため」削除されないと指摘した。

　分析の対象となった拡張機能の多くは、パブリックリポジトリやフォーラムから提供されたソースコードを共有している。そのため古くなって脆弱性が残ったままのソースコードが複数の拡張機能に広がっていき、セキュリティリスクが悪化したという。

　研究チームはソースコードに類似性がある拡張機能のクラスターを何千も発見した。ソースコードを解析できた10万8859個の拡張機能のうち、2万822個の拡張機能が他の拡張機能と同様のコンテンツスクリプトまたはバックグラウンドスクリプトを含んでいた。これらの拡張機能は3270個のクラスターを形成していることも分かった。3270個のクラスターのうち、2296個は良性のみ、321個はセキュリティに課題があるもののみ、653個は両方を含んでいた。

　逆に言えば、拡張機能のソースコードの類似性を調査することで、セキュリティに問題のある未知の拡張機能を特定できる可能性があるという。

悪意のない開発者にも課題あり

　悪意以外の課題もある。開発者の行動と開発ツールだ。

　拡張機能のうち約60％はリリース後一度も更新されていないことが今回の研究で分かった。登録されてから1年後の更新回数の中央値は0回で、平均値は0.16回だった。

　セキュリティリスクはもちろん、不具合がないソースコードは存在しないため、これは危険だ。研究チームは2021年に発見された脆弱な拡張機能の半分は、2023年になってもまだChrome ウェブストアに残っているという先行研究を挙げた。

　開発者が使用している開発ツールの選択にも問題がある。より安全な代替手段が利用可能にもかかわらず、開発者が非推奨のツールを使い続けている。例えば、拡張機能の3分の1が既知の脆弱性を持つJavaScriptライブラリを使用しており、5億人近いユーザーに影響を与えている。

　拡張機能の内部からChromeの機能を利用するにはAPIをたたく必要があり、そのためには「Manifest」で利用する機能のパーミッションを宣言する必要がある。Manifestには3つのバージョンがある。V1は2012年以降非推奨だ。V2は非推奨だが、2023年7月現在、約62％の拡張機能がこれを利用している。ChromeがV2のサポートをいつ終了するかは、期限が何度か延長されているため、現在のところはっきりしない。V3は拡張機能のセキュリティやプライバシー、パフォーマンスを改善するために2020年11月にリリースされた。例えば、V3は拡張機能による外部リソースのダウンロードを防止し、代わりに全てのリソースを拡張機能パッケージ内にバンドルする必要がある。つまり、V3を使えばセキュリティを強化できる。ただし、V2からV3への移行は苦痛を伴う。なぜなら幾つかのChrome APIの機能がV3では利用できなくなり、開発者は代替案を探さなければならず、代替案がない場合も少なくないからだ。

　研究チームは「Chrome ウェブストアをより安全にするためには、拡張機能のメンテナンス方法を改善して、ユーザーとプラットフォームの両方が警戒を強める必要がある」とまとめた。