ブラウザ拡張機能とアプリ権限の見直し方｜情報を抜き取られないための点検手順

Webブラウザに便利な拡張機能を追加したり、スマートフォンに新しいアプリをインストールしたりすると、日々の作業効率が大幅に向上します。画面のキャプチャ、英単語の即時翻訳、広告ブロック、パスワードの自動入力など、手放せない拡張機能を日常的に愛用している方も多いのではないでしょうか。

しかし、その便利さの裏側で、拡張機能やアプリに対してどのようなアクセス権限を与えているかを意識したことはあるでしょうか。

実は、多くの拡張機能が要求するアクセスしたすべてのウェブサイト上のすべてのデータの読み取りと変更という権限は、オンラインバンキングの口座残高、クレジットカード番号の入力画面、社内チャットやメールの文面、ログイン中のCookie（セッション情報）まで、ブラウザ上で表示・入力されるあらゆる情報にアクセスできる極めて強大な権限です。

さらに近年では、長年安全に提供されていた人気の拡張機能が突然悪質な第三者に買収されたり、開発者アカウントが乗っ取られたりして、自動アップデート経由でマルウェア化するブラウザ版サプライチェーン攻撃が国内外で頻発しています。

この記事では、Google ChromeやMicrosoft Edgeの拡張機能が抱えるリスク構造を分かりやすく解説した上で、不要な拡張機能の削除手順、権限をクリックされた場合のみや特定のウェブサイトに絞り込む設定手順、さらにはスマートフォンやPCアプリの権限見直し手順までを体系的にガイドします。

この記事で行うこと
前提条件・対象読者
注意点
1. なぜ危険？ブラウザ拡張機能が抱える3大セキュリティリスク
2. 【Google Chrome】拡張機能の点検と権限制限の具体的な手順
3. 【Microsoft Edge】拡張機能のサイトアクセス権限を制限する手順
1. 手順1：拡張機能の管理画面を開く
2. 手順2：サイトアクセスの許可範囲を最小化する
4. スマートフォン・PCアプリの過剰な権限を見直す手順
5. 新規導入時に失敗しない！拡張機能の安全度判定チェックリスト
うまくいかない場合の確認ポイント
よくある質問（FAQ）
まとめ
次に読むおすすめ記事
参考情報

この記事で行うこと

ブラウザ拡張機能が持つ強大な権限の実態と、買収・乗っ取りによる情報漏洩リスクを理解する
Google ChromeおよびMicrosoft Edgeでインストール済み拡張機能を棚卸しする
拡張機能のサイトアクセス権限をすべてのサイトからクリックされた場合のみや特定のサイトへ制限する
Chromeの安全確認（セーフティチェック）を活用して危険な拡張機能を早期発見する
スマートフォン（Android / iPhone）やWindows PCのアプリ権限（位置情報・カメラ・マイク・ユーザー補助等）を点検する
新しく拡張機能を導入する際に安全性を判断するためのチェックリストを身につける

前提条件・対象読者

Google ChromeまたはMicrosoft Edgeを日常的に利用している方
ブラウザ拡張機能を複数インストールしているが、過去に一度も権限を確認したことがない方
スマートフォンやPCのプライバシー設定を見直し、不正な情報送信を防ぎたい方
対応バージョン：Google Chrome 130以降、Microsoft Edge 130以降、Android 14/15、iOS 17/18、Windows 11
最終確認日：2026年11月

注意点

権限を制限すると一部の拡張機能が正常に動かなくなる場合がある

ページを開いた瞬間に自動で広告を非表示にする拡張機能や、常時Webページを監視してダークモード化する拡張機能は、権限を クリックされた場合のみ に変更すると、アイコンをクリックするまで機能しなくなります。用途に応じて、常時動作が必要な信頼できるツールと、必要な時だけ動けばよいツールの権限設定を分けて管理してください。

拡張機能の無効化と削除は異なる

拡張機能を一時的にオフ（無効化）にしても、ブラウザ内にはファイルが残ります。今後使う予定のない拡張機能は、無効化にとどめず完全に 削除（アンインストール）することをおすすめします。

組織の管理デバイスでは設定が制限されている場合がある

会社の業務用PCや学校指定の端末では、管理ポリシーによって拡張機能の追加・削除や権限変更が管理者に固定されている場合があります。その場合は所属組織のIT管理部門のセキュリティガイドラインに従ってください。

1. なぜ危険？ブラウザ拡張機能が抱える3大セキュリティリスク

ブラウザ拡張機能は、ブラウザの内部深くに常駐してWebページの構造（DOM）を直接読み書きできる仕組みになっています。その利便性と引き換えに、以下のような重大なリスクが潜んでいます。

【ブラウザ拡張機能のリスク構造】

Webブラウザ（Chrome / Edge）
  │
  ├─ 閲覧中のWebサイト（銀行、SNS、EC、社内SaaS）
  │    └─ 画面に表示される機密情報、入力フォーム、Cookie
  │
  └─ 拡張機能（強力な権限を保持）
       ├─ リスク1: 「すべてのデータ」の読み取りと改ざん
       ├─ リスク2: 開発者の買収・アカウント乗っ取り（悪意ある自動更新）
       └─ リスク3: 開発停止・放置によるセキュリティ脆弱性の放置

1-1. 「すべてのデータの読み取りと変更」という強大な権限

拡張機能をインストールする際、確認ダイアログに以下のような警告メッセージが表示された経験はないでしょうか。

「アクセスしたすべてのウェブサイト上のすべてのデータの読み取りと変更」

この警告文は、単なる定型句ではありません。Google Chromeの公式ヘルプでも危険度：中〜高に位置付けられている権限であり、許可するとその拡張機能は以下の操作が可能になります。

閲覧しているすべてのWebページに表示されるテキスト、画像、リンクの取得
入力フォームに打ち込んだID、パスワード、クレジットカード番号、個人情報の傍受
ログイン状態を維持するためのCookie（セッション情報）の読み取り
Webページの内容を勝手に書き換える（偽のバナーや送金先アドレスの差し替え）

例えば、画面の色味を変えるだけのシンプルなカラーピッカー拡張機能や、Webページの単語を検索するだけのツールであっても、この権限を持っている場合は、裏であなたがアクセスした銀行の明細やメールの内容をすべて読み取ることが技術的に可能になってしまいます。

1-2. 開発者の買収・乗っ取りによる悪意あるアップデート

拡張機能の最も厄介な点は、「インストールした当初は無害で非常に便利だったツールが、後から危険なマルウェアへと変貌する」というケースが存在することです。

代表的な手口は以下の通りです。

開発者アカウントの買収

多くのユーザーを獲得して評価が高まった拡張機能の開発者に対し、悪質なマーケティング会社や攻撃組織が「数百万円で拡張機能の権利を買い取りたい」と持ちかけます。権利が渡った後、情報窃取コードを仕込んだ更新版が配信されます。

開発者の認証情報乗っ取り

フィッシング詐欺などを通じて開発者のGoogleアカウントが不正アクセスされ、正規の開発者に成り代わって悪意あるアップデート版がChromeウェブストアにアップロードされます。

ブラウザの拡張機能は、初期状態で自動アップデートが有効になっています。そのため、ユーザーが何も操作していなくても、ある日突然ブラウザ内の拡張機能がマルウェア化し、Cookieや暗号資産（仮想通貨）ウォレットの情報を外部サーバーへ送信し始めるというブラウザ版サプライチェーン攻撃が成立してしまいます。

1-3. 長期間更新が止まっている拡張機能の放置リスク

公開当初は問題がなくても、開発者がメンテナンスを放棄して何年も放置されている拡張機能には別のリスクがあります。

Webブラウザは日々セキュリティ脆弱性の修正や仕様変更（Manifest V3への移行など）を行っていますが、放置された拡張機能は古い規格や脆弱なライブラリを使い続けることになります。また、拡張機能が利用している外部APIサーバーのドメインが期限切れになり、そのドメインを攻撃者が取得して不正なスクリプトを配信するドメインハイジャック被害も報告されています。

2. 【Google Chrome】拡張機能の点検と権限制限の具体的な手順

それでは、実際にGoogle Chromeでインストール済みの拡張機能を点検し、安全に運用するための設定手順を見ていきましょう。

手順1：インストール済み拡張機能の一覧を開いて棚卸しする

まずは、現在ブラウザにどれだけの拡張機能が入っているかを確認し、使っていないものを削除します。

Google Chromeのアドレスバーに chrome://extensions/ と入力して Enter キーを押します（または画面右上のメニューアイコン ︙ > 拡張機能 > 拡張機能を管理 を選択します）。
インストールされている拡張機能がカード形式で一覧表示されます。
一覧を見渡し、以下の基準に当てはまるものがないか確認します。

過去3ヶ月以上使っていない拡張機能
インストールした記憶のない拡張機能
すでにサービス自体が終了している拡張機能

不要な拡張機能が見つかったら、カード内の 削除 ボタンをクリックし、確認ダイアログでもう一度 削除 を選択して完全にアンインストールします。

一時的に使わないだけの場合はスイッチをオフにして無効化することも可能ですが、不要なものは削除しておくのが最も安全です。

手順2：サイトへのアクセス権限を「クリックされた場合のみ」に変更する

残した拡張機能のうち、常時全サイトを監視する必要がないツールについては、アクセス権限を絞り込みます。

chrome://extensions/ の画面で、権限を変更したい拡張機能のカードにある 詳細 ボタンをクリックします。
画面を少し下にスクロールし、サイトへのアクセス というセクションを探します。
デフォルトで すべてのサイト にチェックが入っている場合、以下のいずれかを選択します。

クリックされた場合のみ：ツールバーのアイコンをクリックしたときだけ、そのページでのデータ読み取りを許可します。辞書ツール、スクリーンショット保存ツール、ページ解析ツールなど、自分が使いたいタイミングが決まっている拡張機能に最適です。
特定のサイト：指定したWebサイトのURLでのみ動作を許可します。例えば、GitHub専用の支援ツールなら https://github.com/* だけを登録し、金融機関やプライベートなWebサイトへのアクセスを遮断します。

設定を変更すると即座に反映されます。

また、Webサイトを閲覧中にツールバーの拡張機能アイコン（パズルのピース型アイコン）をクリックし、該当する拡張機能の横にある三点リーダー ︙ をクリックして、サイトデータへのアクセス から直接変更することも可能です。

手順3：Chromeの「安全確認（セーフティチェック）」を活用する

Google Chromeには、危険な拡張機能や問題のある拡張機能を自動検知してユーザーに通知する機能が備わっています。

アドレスバーに chrome://settings/safetyCheck と入力して設定画面を開きます（またはメニュー ︙ > 設定 > プライバシーとセキュリティ > 安全確認）。
安全確認 の画面で、拡張機能に問題がないか自動的に診断されます。
もし「悪意のある拡張機能」や「Chromeウェブストアから削除された拡張機能」、「サポートが終了した拡張機能（旧Manifest V2仕様）」が検出された場合は、警告リストが表示されます。
警告が表示された拡張機能は、迷わず 削除 を選択してブラウザから取り除いてください。

3. 【Microsoft Edge】拡張機能のサイトアクセス権限を制限する手順

Microsoft EdgeもChromiumベースのブラウザであるため、Google Chromeと同様に強力な権限管理機能を備えています。

【Microsoft Edgeの権限管理画面へのアクセス】

アドレスバーに「edge://extensions/」と入力
  │
  ├─ インストール済み拡張機能の一覧表示・不要ツールの削除
  │
  └─ 対象ツールの「詳細」をクリック
       └─ 「サイト アクセス」セクションで許可範囲を変更
            ├─ 拡張機能をクリックしたとき（推奨）
            ├─ 特定のサイト
            └─ すべてのサイト

手順1：拡張機能の管理画面を開く

Microsoft Edgeのアドレスバーに edge://extensions/ と入力して Enter キーを押します（または右上の ... > 拡張機能 > 拡張機能の管理 をクリックします）。
インストールされている拡張機能の一覧が表示されます。
長期間使用していないツールや身に覚えのないツールがあれば、カード内の 削除 をクリックしてアンインストールします。

手順2：サイトアクセスの許可範囲を最小化する

保持する拡張機能のカード内にある 詳細 をクリックします。
サイトアクセス の項目を確認します。
選択肢の中から 拡張機能をクリックしたとき または 特定のサイト を選択します。

拡張機能をクリックしたとき：アドレスバー右側の拡張機能アイコンをクリックした瞬間だけ、現在開いているタブのページデータへのアクセスが許可されます。タブを閉じるとアクセス権は自動的に終了します。
特定のサイト：サイトの追加 をクリックし、動作を許可したいドメイン（例: https://snowsystem.net/）を個別に入力します。

これにより、ネットサーフィン中やWebメール、オンラインバンキング利用時に、拡張機能がバックグラウンドで勝手にデータへアクセスするリスクを大幅に低減できます。

4. スマートフォン・PCアプリの過剰な権限を見直す手順

情報漏洩のリスクはブラウザの拡張機能だけに留まりません。スマートフォン（Android / iPhone）やパソコン（Windows）にインストールされた各種アプリも、カメラ、マイク、位置情報、連絡先などの重要データへのアクセス権を求めてきます。あわせて点検しておきましょう。

プラットフォーム	点検すべき主要画面	特に注意すべき強大な権限	推奨される設定値
Android	`設定` > `プライバシー` > `権限マネージャ`	`ユーザー補助`、`位置情報`、`連絡先`、`SMS`	位置情報は `アプリの使用中のみ許可`、不要なユーザー補助はオフ
iPhone (iOS)	`設定` > `プライバシーとセキュリティ`	`位置情報サービス`、`トラッキング`、`写真`	正確な位置情報をオフ、トラッキング要求は原則オフ
Windows 11	`設定` > `プライバシーとセキュリティ` > `アプリのアクセス許可`	`位置情報`、`カメラ`、`マイク`、`ファイルシステム`	業務・日常で使わないアプリのトグルをオフにする

4-1. Android：権限マネージャと「ユーザー補助」の厳格管理

Androidスマートフォンでは、機能ごとにどのアプリに権限を与えているかを一括確認できる権限マネージャが便利です。

設定 アプリを開き、セキュリティとプライバシー（または プライバシー）> 権限マネージャ をタップします。
位置情報、カメラ、マイク、連絡先 などの一覧を順番に確認します。
例えば 位置情報 をタップし、常に許可 になっているアプリを点検します。地図アプリや配車アプリなどを除き、原則として アプリの使用中のみ許可 または 毎回確認 に変更します。

Androidで最も警戒すべき権限は、ユーザー補助（アクセシビリティ）です。本来は身体的なハンディキャップをサポートするための機能ですが、画面上の文字の読み取りや画面タップの自動操作が可能になるため、不正アプリがパスワードやワンタイムコードを盗み取る手段として悪用されます。

設定 > ユーザー補助 を開き、ダウンロードしたアプリの一覧を確認してください。自身が明確な目的を持って設定したアプリ以外でユーザー補助がオンになっているものがあれば、直ちにオフにしてください。

なお、Android 13以降では、Webサイト等から直接ダウンロードした外部アプリ（いわゆる野良アプリ）がユーザー補助を勝手に要求しても、システムが自動的に制限付き設定としてブロックする防御策が標準搭載されています。

4-2. iPhone（iOS）：プライバシー見直しとアプリプライバシーレポート

iPhoneでは、アプリごとの細かな権限制御に加えて、直近でアプリがどのようなデータにアクセスしたかを追跡する機能が用意されています。

設定 アプリを開き、プライバシーとセキュリティ をタップします。
位置情報サービス を開きます。アプリ一覧から個別のアプリを開き、常時ピンポイントな位置を教える必要がないアプリ（フリマアプリやSNSなど）は、正確な位置情報 のトグルスイッチをオフにします。これでおおよその市町村レベルの位置情報のみが共有されるようになります。
トラッキング を開き、アプリからのトラッキング要求を許可 をオフにしておくと、異なる企業間であなたの行動データを追跡・売買されるのを防ぐことができます。
画面最下部にある アプリプライバシーレポート をタップします。この機能をオンにしておくと、過去7日間に各アプリが何回カメラや位置情報、ネットワーク通信を利用したかがタイムラインで可視化されます。怪しい挙動をしているアプリを特定する強力な手がかりになります。

4-3. Windows 11：アプリのアクセス許可の整理

Windows 11パソコンでも、アプリごとにカメラやマイク、ストレージへのアクセス権を管理できます。

スタート ボタンから 設定（歯車アイコン）を開きます。
左メニューの プライバシーとセキュリティ をクリックします。
画面をスクロールして アプリのアクセス許可 セクションを確認します。
位置情報、カメラ、マイク などの項目を順に開き、使用していないアプリのスイッチをオフにします。

ただし、Windowsのこの設定画面で制御できるのは、主にMicrosoft Storeからダウンロードしたストアアプリです。Webサイトから直接インストーラー（.exe や .msi）をダウンロードして導入したデスクトップアプリは、この設定の対象外となる場合があるため、アプリ自体の設定画面を確認するか、信頼できないデスクトップアプリは速やかにアンインストールしてください。

5. 新規導入時に失敗しない！拡張機能の安全度判定チェックリスト

今後新しい拡張機能を導入する際は、「便利そうだから」と安易にインストールせず、事前に以下のチェックリストで安全性を点検する習慣をつけてください。

【拡張機能の安全度判定フロー】

[導入を検討している拡張機能]
  │
  ├─ 1. バッジの有無を確認
  │    ├─ 「おすすめ」バッジあり ──> 安全性・品質の信頼度高
  │    └─ 「定評のあるパブリッシャー」あり ──> 身元確認済み
  │
  ├─ 2. 開発元・更新日の確認
  │    ├─ 最終更新が1年以上前 ──> 【要注意】放置リスクあり
  │    └─ 開発元の公式Webサイトやプライバシーポリシーが存在するか
  │
  ├─ 3. ユーザー数とレビューの確認
  │    ├─ ユーザー数が極端に少ない（数人〜数十人） ──> 【慎重に】
  │    └─ 直近のレビューに「急に挙動が変わった」「広告が出る」等の苦情がないか
  │
  └─ 4. 要求される権限の確認
       ├─ 機能に対して過剰な権限を要求していないか
       └─ インストール後、直ちに「クリックされた場合のみ」へ権限を制限する

チェック1：Chromeウェブストアの認定バッジを確認する

Google Chromeウェブストアでは、信頼性の高い拡張機能を見分けるために以下の公式バッジが付与されています。

定評のあるパブリッシャー（Established Publisher）バッジ

開発元（パブリッシャー）の身元がGoogleによって確認されており、長期間にわたってポリシーを遵守し、良好な運営実績を維持している開発者に自動付与されます（チェックマーク）。

これらのバッジはお金を払って購入できるものではないため、拡張機能を選ぶ際の有力な判断基準になります。ただし、過去にはバッジ付きの拡張機能が買収されて悪用された事例もゼロではないため、バッジがあるからといって過剰な権限を無条件に放置するのは禁物です。

チェック2：最終更新日とレビュー欄の「直近の書き込み」を見る

拡張機能の詳細ページで、最終更新日 を必ず確認してください。1年以上更新が止まっている拡張機能は、セキュリティ上の不具合が放置されている可能性が高いため導入を避けるのが無難です。

また、総合評価の星の数だけでなく、評価 タブを開いて直近のレビューを新しい順に並べ替えて確認してください。以前は星5つだった拡張機能が買収された直後、ユーザーから「急に変なポップアップが出るようになった」「無関係なサイトへ飛ばされる」「ログインが勝手に外れた」といった警告レビューが投稿されているケースがよくあります。

チェック3：要求権限と機能の妥当性を比較する

インストール時に表示される権限が、そのツールの提供機能と見合っているかを冷静に判断してください。

妥当な例：広告ブロック拡張機能が アクセスしたすべてのウェブサイト上のすべてのデータ を要求する（ページ内の広告要素を検知・削除するために全ページの解析が必要なため）。
疑わしい例：電卓ツール、カラーピッカー、メモ帳アプリなどの単機能ツールが すべてのウェブサイト上のすべてのデータ を要求する。

機能に対して明らかに過剰な権限を要求してくる拡張機能は、データ収集やトラッキングが主目的である可能性を疑い、別の代替ツールを探すことをおすすめします。

うまくいかない場合の確認ポイント

拡張機能の権限設定や見直しを行う中で、問題が発生した場合は以下のポイントを確認してください。

権限を「クリックされた場合のみ」にしたら拡張機能が動かなくなった

一部の拡張機能は、ページ読み込み時に自動実行されることを前提に設計されています。そのツールをどうしても使いたい場合は、権限を 特定のサイト に変更して利用する対象ドメインだけを許可するか、使用する時だけツールバーのアイコンをクリックして実行してください。

拡張機能の削除ボタンがグレーアウトして押せない

会社のPCなどで管理者によって強制インストールされている拡張機能（エンタープライズポリシーによる管理）は、ユーザー自身で削除することができません。業務に支障がある場合や不審な点がある場合は、組織のシステム管理者へ問い合わせてください。

拡張機能管理画面で「この拡張機能はまもなくサポートされなくなります」と警告が出る

Chromeにおける旧仕様「Manifest V2」のサポート終了に伴う警告です。開発者が最新のManifest V3に対応した更新版を公開していない場合、近い将来自動的に無効化されます。Chromeウェブストアで同等の機能を持つ別の最新拡張機能を探し、移行を進めてください。

よくある質問（FAQ）

Q1. 有名な大手の拡張機能なら、権限をすべて許可したままでも安全ですか？

大手企業や著名なオープンソースプロジェクトが開発している拡張機能であっても、100%安全とは言い切れません。開発者のログイン情報が漏洩して不正な更新版が配信された事例や、ライブラリの脆弱性を突かれた事例が過去に存在します。「常に全サイトへのアクセスが必要なもの」以外は、念のため クリックされた場合のみ や 特定のサイト に絞り込んでおくことがセキュリティの基本原則（最小権限の原則）です。

Q2. 拡張機能を一度削除すると、設定や保存データは消えてしまいますか？

はい、拡張機能をアンインストールすると、ブラウザローカルに保存されていたその拡張機能の設定やデータは通常削除されます。クラウド連携（Googleアカウント同期や専用アカウントログイン）しているサービスであれば再ログインで設定が復旧しますが、ローカル保存のみのツールの場合は、削除前に設定のエクスポート機能等を利用してバックアップを取っておくことをおすすめします。

Q3. 「クリックされた場合のみ」に設定した場合、クリックするたびに許可が必要ですか？

はい、そのタブでページを開いている間、アイコンをクリックしたタイミングでアクセスが一時的に許可されます。同じタブ内で別のページへ移動したり、タブを閉じたりすると許可はリセットされるため、常に安全な状態を維持できます。

Q4. シークレットモード（プライベートブラウズ）なら拡張機能のリスクはありませんか？

ChromeやEdgeの初期設定では、シークレットモード時に拡張機能はすべて自動で無効化されるため安全です。ただし、ユーザーが手動で シークレットモードでの実行を許可する 設定をオンにしている場合は、通常モードと同様にデータ読み取りが行われるため注意してください。

まとめ

Webブラウザの拡張機能や各種アプリは、私たちのデジタル作業を劇的に効率化してくれる頼もしい味方です。しかし、一度インストールした拡張機能は自動アップデートによって背後で姿を変える可能性があり、過剰な権限を与えたまま放置することは、見知らぬ他人に自分の画面を常時のぞき見させているのと変わりません。

安全にデジタル環境を使いこなすために、以下の3つの習慣を身につけましょう。

半年に一度は chrome://extensions/ や edge://extensions/ を開き、不要な拡張機能を削除する
常時監視が不要なツールは、サイトアクセス権限を クリックされた場合のみ に変更する
新しく追加する際は、Chromeの認定バッジ、最終更新日、直近のレビューを必ず確認する

大切な個人情報やログイン認証、資産データを自ら守るために、ぜひ今日10分の時間を作って、お使いのブラウザとスマートフォンの権限を総点検してみてください。

次に読むおすすめ記事

ブラウザ拡張機能の権限を見直した後は、ブラウザに保存されたパスワードの防御や、スマートフォン全体のセキュリティ設定も合わせて確認しておくことで、個人情報の漏洩リスクを最小限に抑えることができます。

参考情報

この記事で解説した手順および仕様は、以下の公式情報およびセキュリティ機関の公開資料に基づいています。

Google Chrome ウェブストアヘルプ：アプリや拡張機能によりリクエストされる権限 / 拡張機能をインストール、管理する
Google Chrome ヘルプ：Chrome で安全確認を使用する
Chrome for Developers：Chrome ウェブストアのバッジ（Discovery on the Chrome Web Store）
Microsoft Edge サポート：Microsoft Edge で拡張機能を追加、オフにする、または削除する
Microsoft サポート：アプリが使用する Windows のプライバシー設定
独立行政法人情報処理推進機構（IPA）：情報セキュリティ10大脅威 2026