※購入先、ダウンロードへのリンクにはアフィリエイトタグが含まれており、それらの購入や会員の成約、ダウンロードなどからの収益化を行う場合があります。

ChatGPTの会話を盗む悪質Chrome拡張機能に注意！今すぐ確認できる削除手順と再発防止策

PCソフト・サイト

「ChatGPTの会話を盗む悪質Chrome拡張機能がある」と聞いても、最初に浮かぶのは――自分のPCにも入っているのではないか、そしてもう漏れてしまったのではないかという不安ではないでしょうか。
AI関連の拡張は便利な反面、権限やサイトアクセスの範囲が広いと、会話内容だけでなく閲覧URLや入力情報まで外部に送られるリスクが高まります。しかも厄介なのは、見た目が“普通に便利そう”で、評価やバッジが付いていても油断できない点です。

本記事では、まず**chrome://extensionsでの確認手順から始め、疑わしい拡張の削除・無効化**、さらに被害拡大を防ぐためのパスワード変更やAPIキー再発行など後処理の優先順位までを、「今すぐ（15分）／今日中（24時間）／今週中（7日）」のチェックリストで整理します。読み終えたときには、「何をすればよいか分からない」状態から抜け出し、自分で状況をコントロールできる安心感を持って対策を終えられるはずです。

※本コンテンツは「記事制作ポリシー」に基づき、正確かつ信頼性の高い情報提供を心がけております。万が一、内容に誤りや誤解を招く表現がございましたら、お手数ですが「お問い合わせ」よりご一報ください。速やかに確認・修正いたします。

目次

ChatGPTの会話を盗む悪質Chrome拡張機能とは

悪質Chrome拡張がAIチャットの会話や閲覧情報を外部送信する恐れがあります。
chrome://extensionsで不審なAI系拡張を確認し削除、残す場合もサイトアクセスを最小化。
さらに重要アカウントから順に後処理すれば被害拡大を防げます。

なぜ今この話題が増えているのか

ここ最近、「ChatGPTの会話を盗む」「AIチャットの内容が外部送信される恐れがある」といった内容の報道や調査が目立つようになりました。背景には、AIが仕事や学習に深く入り込み、ブラウザ上で扱う情報の“密度”が急激に増えたことがあります。

従来のブラウザ拡張は、広告ブロックや翻訳、パスワード管理などが中心でした。しかしAI系拡張は、次のように“ユーザーの入力や表示内容そのもの”に触れる機会が多くなります。

  • AIチャット画面の会話ログを読み取って、要約・検索・分類を行う

  • 入力欄の文章を補完・添削する

  • 表示中のページ本文を読み取り、AIで要約する

  • タブや閲覧URLを参照して「関連情報」を提案する

これらは便利な一方、拡張が悪意ある動作をした場合、会話テキスト・入力内容・閲覧先URLなどが外部へ送られる“入口”になり得ます。重要なのは、怖がることではなく、確認の仕方と最小限の対処手順を知っておくことです。

盗まれ得る情報の具体例

「会話が盗まれる」と聞くと、個人的な悩み相談が漏れるイメージが先に立ちます。ところが実際に問題になりやすいのは、日常の作業の中で無自覚に貼り付けてしまう情報です。

貼ってしまいがちな情報の例

  • 仕事：提案書のドラフト、見積・請求の文面、議事録、要件定義、障害報告、社内向け説明資料

  • 顧客情報：氏名、住所、電話番号、メール、注文番号、契約内容、サポート履歴

  • 社内情報：社内URL、社内システム名、プロジェクト名、チケット番号、組織図が推測できる文脈

  • 認証関連：パスワードそのもの、リセット用の質問と回答、ワンタイムコード、APIキー、トークン、シークレット

  • その他：本人確認書類の写し、スクリーンショットに写った情報（メール、カレンダー、管理画面）

AIに相談しているつもりが、実は「そのまま転記」しているケースが少なくありません。だからこそ、拡張が疑わしいと分かった瞬間に、まず止血（削除・無効化）し、次に後処理（アカウント保護）へ進むのが合理的です。

悪質Chrome拡張機能が入っていないか確認する方法

まず最短で確認する入口

最短の入口は次の2つです。どちらでも構いません。

  1. アドレスバーに chrome://extensions と入力して開く

  2. 右上のパズル形アイコン（拡張機能）→ 拡張機能を管理

ここで、AI関連の拡張（ChatGPT、AI、Assistant、Sidebar、Copilot、Summarizeなどの語が入るもの）を中心に、最近入れたものから順に確認します。

迷ったらここ

  • 「覚えがない」「急に増えた」「似た名前が複数ある」ものは、いったん要注意としてメモしておきます。

“提供元”と“更新”の見方で違和感を拾う

拡張の詳細画面に入ると、開発者名（提供元）や更新履歴、権限などが確認できます。ここでチェックしたいのは次の観点です。

  • 提供元が検索しても実体が出ない（公式サイトや問い合わせ先が不明）

  • 説明文が不自然（機械翻訳のよう、具体的機能が曖昧）

  • 直近の更新で権限が増えている（更新後に挙動が変わったというレビューが増える）

  • レビューに「広告が出る」「勝手に検索が変わる」「怪しい通信」などの指摘がある

※レビューは万能ではありませんが、複数人が同様の不満を述べている場合は重要なサインです。

権限とサイトアクセスで危険度を見抜く

“危険”になりやすいのは権限そのものより「過剰な範囲」

拡張の権限にはいろいろありますが、初心者が一番迷うのは「結局どれが危ないのか」です。結論から言うと、危険になりやすいのは次の条件が重なったときです。

  • 全サイトでデータの読み取り・変更ができる

  • タブや履歴など、行動の範囲まで触れられる

  • 機能説明に比べて権限が過剰（要約だけなのに全サイトアクセス等）

この“範囲の広さ”が大きいほど、会話・入力・閲覧情報が集まりやすくなります。

危険状態の判断表（まずここだけ押さえる）

表示・状態（例） 危険になりやすい理由 まずやる対処
すべてのサイトでデータの読み取りと変更が可能 どのサイトの入力や表示にも触れられる可能性が増える 特定サイトまたはクリック時へ変更
権限が多い（タブ・履歴関連など） 閲覧行動の情報まで広がる可能性がある “その機能に本当に必要か”再確認し不要なら削除
「何をする拡張か」が説明から読み取れない 目的が曖昧な拡張は過剰権限を隠しやすい 即削除を含め再評価
AIの便利機能をうたうが、提供元の実体が不明 なりすまし・使い捨ての可能性が上がる まず停止（無効化）→必要なら削除

サイトアクセスを最小化する具体手順

「削除するほどではないが不安」「仕事で必要」という場合でも、まずサイトアクセスを最小化してください。手順は次の通りです。

  1. chrome://extensions を開く

  2. 対象拡張の「詳細」を開く

  3. 「サイトアクセス」または「この拡張機能は…のサイト上のデータの読み取りと変更を行えます」を探す

  4. 可能なら以下の順で狭める

    • クリック時（必要な時だけ動く）

    • 特定のサイト（ChatGPTを使うサイトだけ）

    • 全サイト（可能な限り避ける）

ポイント

  • AI要約や入力補助の拡張で、全サイトアクセスが“必須”であるケースは多くありません。

  • どうしても必要という説明がない限り、全サイトのまま放置しないことが最大の防御です。

悪質Chrome拡張機能を削除して被害を止める手順

まずは止血：削除か無効化か

原則は削除を推奨します。迷う場合でも、いったん無効化して挙動を止めるのが先です。

  • すぐ削除できる：削除

  • 仕事で使っていて検証が必要：無効化 → 影響確認 → 削除（または安全な代替へ移行）

削除手順（迷わない最短ルート）

  1. chrome://extensions を開く

  2. 対象拡張のカードを見つける

  3. 「削除」を押す

  4. 確認ダイアログで削除を確定

「拡張機能アイコンから削除」でも良いですが、一覧で見落としが出るため、基本は chrome://extensions が確実です。

削除後にやるべき後処理の優先順位

ここが本番：後処理は“時系列”でやると迷いません

削除は「これ以上抜かれないようにする」だけで、すでに送られた可能性がある情報を戻すことはできません。そこで重要なのが、被害拡大の芽を摘む後処理です。焦りを減らすため、時系列で整理いたします。

時系列チェックリスト（今すぐ／今日中／今週中）

いつやる やること 目的
今すぐ（15分） 不審拡張の削除または無効化、サイトアクセス最小化、直近のAI会話に機微情報がないか思い出す 追加流出の停止＋影響範囲の当たりを付ける
今日中（24時間） 重要アカウントのパスワード変更（優先順位あり）、2段階認証の確認、見覚えのないログイン確認 乗っ取りの起点を潰す
今週中（7日） 仕事の管理者/情シスへ相談（業務利用時）、APIキー等の再発行・無効化、端末の拡張棚卸し、再発防止ルール化 再発と横展開を防ぐ

パスワード変更の優先順位（迷ったらこの順）

後処理で一番迷うのが「何から変えるか」です。基本は“芋づる式に支配されやすい順”です。

  1. メール（パスワードリセットの起点）

  2. Googleアカウント（Chrome同期・各種連携の要）

  3. 仕事のSSO/ID基盤（Microsoft/Okta等、会社により異なる）

  4. 重要SaaS（ストレージ、チャット、CRM、会計、開発基盤など）

  5. AIサービスのアカウント（利用状況に応じて）

追加の注意

  • 会話中に「パスワードそのもの」「リセット用の回答」「ワンタイムコード」を貼った覚えがある場合、そのサービスは最優先です。

  • APIキーを貼ってしまった可能性がある場合は、パスワード変更より先にキーを無効化・再発行したほうが安全なケースもあります（鍵の種類によります）。

「盗まれたか確実に分かる？」への現実的な答え

個人環境で「盗まれた/盗まれていない」を完全に証明するのは難しい場合があります。だからこそ、
“盗まれたかどうか”の確証探しに時間を使いすぎず、止血と後処理を先に終えるのが合理的です。

二度と入れないための悪質Chrome拡張機能の見分け方

バッジや高評価は参考にしても、最後は「権限と範囲」

拡張ストアには、注目バッジや評価、ランキングがあります。ただし、バッジや星の数は“判断材料の一部”であって、将来にわたる安全を保証するものではありません。更新で権限が変わることもあれば、運営方針が変わることもあります。

そこで実務的に効くのが、権限とサイトアクセスの範囲を必ず確認し、用途と整合しているかで判断する方法です。

インストール前チェックリスト（再発防止の基本）

  • その拡張は本当に必要か（Web版で代替できないか）

  • 機能説明が具体的か（何をするのかが明確か）

  • 提供元に実体があるか（公式サイト、問い合わせ先、継続更新の痕跡）

  • 全サイトアクセスが必要な理由が説明されているか（曖昧なら避ける）

  • レビューの低評価に「広告」「検索改変」「怪しい通信」などがないか

  • インストール後、サイトアクセスを「特定サイト」または「クリック時」にできるか

拡張審査ルーブリック（採点表）

拡張を感覚で選ぶと、忙しいときに負けます。そこで、短時間で判断できる採点表を用意します（0〜2点、合計16点）。

項目 0点（危険寄り） 1点（要注意） 2点（安全寄り）
提供元の実体 不明・追えない 断片的 公式情報が整備
機能説明の具体性 曖昧 まあまあ 具体例が明確
更新履歴 ほぼ不明 たまに更新 継続更新・透明性
権限の妥当性 過剰 判断に迷う 用途と一致
サイトアクセス範囲 全サイト必須 変更できるが微妙 特定/クリック時で十分
レビュー傾向 苦情多数 賛否あり 問題報告が少ない
代替手段 代替あり 一部代替 代替困難
仕事利用適性 不向き 条件付き 統制下なら可

判定目安

  • 13〜16点：導入可（ただし最小権限化）

  • 9〜12点：要注意（検証環境で試す、業務端末は避ける）

  • 0〜8点：非推奨（削除・代替推奨）

仕事でChatGPTを使う人ほど守るべき入力ルール

“入れない”のが最強だが、現実は混ざる

理想は「機密や個人情報を入れない」ですが、現実は混ざります。だから、ルールは精神論ではなく、入力前に判断できる型にします。

入力前チェック（30秒）

  • これは社外に出ても問題ない文章か

  • 顧客名・住所・電話・メール・契約内容が入っていないか

  • 社内URL、認証情報、APIキー、トークンが入っていないか

  • そのまま原文を貼る必要があるか（要点に落とせないか）

おすすめの運用

  • 原文貼り付けではなく、必要箇所だけ要点化して入力する

  • 顧客・個人情報は伏字（A社、B担当など）に置き換える

  • APIキー等は、そもそもAIチャットへ貼らない（社内ルール化）

企業やチームでのChrome拡張機能の統制ポイント

個人任せは限界：最小の統制テンプレ

AI系拡張は、便利であるほど勝手に増えがちです。チームで事故を減らすなら、まず“最小の統制”から始めるのが現実的です。

統制テンプレ（最小構成）

フェーズ 誰が 何を確認 記録先
申請 利用者 目的、必要性、代替、対象サイト チケット/フォーム
審査 情シス/責任者 権限、サイトアクセス範囲、提供元、レビュー 審査メモ
許可 管理者 許可リスト登録、対象端末/部署範囲 管理台帳
棚卸し 情シス 月次で新規/変更、権限増加の有無 台帳更新
例外 責任者 期限付き許可、検証環境限定 例外リスト

ポイント

  • ブラックリストで追いかけるより、許可リスト中心のほうが運用が安定します。

  • 例外は“期限付き”にすると形骸化しにくいです。

社内周知で効く「短いメッセージ」

現場は長文を読みません。配布文は短く、行動が一つに絞られているほど効きます。

  • 「AI系拡張は原則禁止。必要な場合は申請し、サイトアクセスは特定サイトに限定してください。」

  • 「不審な拡張を見つけたら削除し、情シスに連絡してください。」

よくある質問

AI拡張は全部危険なのですか

すべてが危険とは限りません。ただし拡張はブラウザの表示や入力に触れやすいため、権限が過剰だと事故の影響が大きくなります。安全に寄せるなら、(1)必要最小限、(2)サイトアクセスを狭める、(3)提供元の実体確認、が基本です。

スマホでも同じように気をつけるべきですか

スマホ版とPC版では拡張の仕組みが異なりますが、今回問題になりやすいのは主にPCブラウザ拡張です。まずPC側の拡張一覧を確認してください。そのうえで、スマホでもアプリ連携や不審アプリのインストールには同様の注意が必要です。

会社で使ってしまっていた場合、まず誰に言うべきですか

社内ルールがある場合はそれに従うのが前提ですが、一般的には情シス/セキュリティ窓口が最初です。自分だけで抱えると調査や対処が遅れ、被害が広がる可能性があります。事実ベース（いつ導入し、何に使い、何を入力した可能性があるか）で伝えるとスムーズです。

どんな人が特に危ないですか

  • AIにそのまま文章を貼りがちな人（議事録、提案、顧客対応文など）

  • 仕事のアカウントでChrome同期している人

  • “便利そう”で拡張を増やしがちな人
    このタイプの方ほど、拡張の棚卸しとサイトアクセス最小化が効きます。

まとめ

悪質Chrome拡張によって、AIチャットの会話や閲覧情報が外部送信される恐れがあるという報道・調査が出ています。大切なのは、必要以上に恐れることではなく、「確認」「止血」「後処理」「再発防止」を順番に終えることです。

  • まず chrome://extensions でAI系拡張を点検

  • 不審なものは削除、残す場合もサイトアクセスを最小化

  • 後処理は「今すぐ／今日中／今週中」で分ける

  • 以後は採点表（ルーブリック）で拡張を選び、仕事では許可リスト運用へ

この一連を押さえておけば、「何をすべきか分からない」という不安は大きく減らせます。最初の一歩として、いま開いているChromeで chrome://extensions を確認してみてください。

参考情報源

PCソフト・サイトの最新記事4件