>
>
公開日
最終更新日
まず状況を3つに分けて確認します。①広告やポップアップが増えただけの場合は、拡張機能と通知設定を先に確認します。②覚えのないアプリや拡張機能がある場合は、記録してからスキャンへ進みます。③不審なログイン通知や送信履歴もある場合は、端末をネットワークから切り離し、別端末でセッションを失効してから認証情報を変更します。
突然ポップアップが増えた、検索エンジンが勝手に変わった、覚えのない広告がスマートフォンに表示される場合は、アドウェア感染だけでなく、ブラウザ通知や不審な拡張機能、カレンダースパムも疑います。
現在のアドウェアは広告を出すだけとは限りません。ブラウザに保存されたCookieやセッション情報を盗み、メール、社内SaaS、オンラインサービスのアカウント乗っ取りにつなげるものもあります。一方、端末が遅いという症状だけで感染と断定すると、正規アプリを誤って削除するおそれがあります。
この記事では、個人利用者向けのPC・スマホ別削除手順に加え、企業向けの初動対応、ブラウザ拡張機能の許可制運用、EDR・IT資産管理を使ったアドウェア対策まで、症状から対処へ進める順序で整理します。
アドウェアとは？合法な広告と悪質なPUAの違い
アドウェアとは、パソコンやスマートフォンに広告を表示し、その表示やクリックから収益を得るソフトウェアです。
本記事のポイント
広告表示を利用規約に明記した正規アプリまで、すべてマルウェアと判断するのは誤りです。
同意を分かりにくく取得し、設定変更や追跡を行うプログラムはPUAまたはPUPに分類される場合があります。
近年はCookie窃取や暗号資産ウォレットへの干渉を併せ持つアドウェアが確認されています。
削除後も、セッション失効とパスワード変更を行わなければアカウント被害が続く場合があります。
正規の広告モデルと悪質な動作の境界
広告の表示方法、取得する情報、削除のしやすさを比べると、正規アプリと悪質なアドウェアの違いを判断しやすくなります。
無料のゲームやニュースアプリが、運営費を確保するために広告を表示する仕組み自体は違法ではありません。広告表示とデータ利用の目的が利用規約に明記され、利用者が機能を停止またはアンインストールできるなら、一般的な広告モデルに該当します。
比較項目 | 正規の広告表示型アプリ | 悪質なアドウェア・PUA |
|---|---|---|
導入時の説明 | 広告表示とデータ利用を明示 | 別ソフトの設定画面に同意項目を隠す |
広告の出る範囲 | 原則としてアプリ内 | 別アプリやブラウザ、OS上にも表示 |
設定変更 | 利用者が選択 | 検索エンジンやホームページを無断変更 |
収集する情報 | 規約に記載した範囲 | 閲覧履歴、入力内容、Cookieなどを過剰収集 |
削除方法 | OSの標準手順で削除可能 | 削除を妨害し、再起動後に復活する場合がある |
PUA・PUPとマルウェアの関係
PUAとPUPは、利用者が望まない可能性のあるアプリを分類するための用語であり、悪質なアドウェアと完全に同義ではありません。
PUAはPotentially Unwanted Application、PUPはPotentially Unwanted Programの略称です。セキュリティベンダーによって判定基準や呼称が異なり、システムを破壊する明確なマルウェアではなくても、過剰な広告、追跡、設定変更、アンインストール妨害があれば検出対象になります。
利用者がインストール画面や規約で形式上同意していると、セキュリティソフトが通常のアプリとして扱う場合があります。このため、ウイルス対策を導入済みでも、PUAまたは望ましくないアプリのブロック設定が無効なら検知されないことがあります。Microsoftは、望ましくないアプリのブロック方法をMicrosoft DefenderのPUA検出に関する公式文書で案内しています。
情報窃取機能との複合化
アドウェアの一部は、広告収益と情報窃取を同時に狙う複合型へ変化しています。
窃取対象には、閲覧履歴、検索語、フォームへの入力内容、ブラウザに保存されたCookie、暗号資産ウォレットの拡張機能などがあります。Cookieに有効なログインセッションが残っていれば、攻撃者がパスワードを知らなくても利用者になりすますセッションハイジャックにつながります。
Cookieや認証情報の窃取は、広告表示機能に加えてインフォスティーラーの機能を組み合わせた複合型プログラムに見られる動作であり、広告表示のみを目的とする一般的なアドウェアの典型的な機能ではありません。広告以外に不審なログイン通知や送信履歴がある場合は、単純な広告ソフトとして処理せず、情報窃取を伴うインシデントとして対処します。
▲ 正規の広告アプリと悪質アドウェア（PUA）の違い
アドウェア感染による症状と2025〜2026年の被害動向
アドウェア感染による影響は、広告表示や端末の速度低下だけでなく、認証情報の窃取、SaaSへの不正ログイン、広告費の搾取に及びます。
国内検出統計に表れたアドウェアの多さ
キヤノンマーケティングジャパンは「2025年12月 マルウェアレポート」で、JS/Adware.AgentがPUAを除いた国内マルウェア検出数の34.4％を占め、最も多く検出されたマルウェアだったと報告しています。
この数値は、すべての国内端末の34.4％が感染したという意味ではなく、ESETが観測したマルウェア検出件数に占める割合です。それでも、アドウェアが過去の迷惑ソフトではなく、現在も継続的に検出される脅威であることが分かります。英語でadware infectionと表記される感染事象には、Webページ内の広告表示だけでなく、端末に導入されたスクリプトや拡張機能による動作も含まれます。
悪質広告と不正アカウントの規模
広告プラットフォーム側が大量に遮断していても、検索広告やアプリ内広告を利用した誘導は残っています。
GoogleはAds Safety Report（2025年版）で、同年中に83億件の悪質な広告をブロックし、2,490万件の不正な広告主アカウントを停止したと報告しています。なお、この数値はGoogle社内の集計に基づくものです。ブロック数の大きさは、Googleの広告全体が危険という意味ではありません。攻撃者が広告審査の回避、乗っ取ったアカウント、短期間で切り替える誘導先を使い、継続的に侵入を試みていることを示します。
公式アプリを経由したNecroの事例
公式ストアにあるアプリでも、更新プログラムや外部SDKを通じて後から悪質な機能が混入する場合があります。
Kasperskyは2024年、Androidアプリに組み込まれた広告用SDKから悪質なトロイの木馬Necroを確認し、Google Playで配布されたWuta CameraやMax Browserなどを含め、推定1,100万台以上が影響を受けたと同社のSecurelistブログ（2024年9月）で報告しています。この推定値はKaspersky製品の観測データに基づくものです。この事例では、アプリ開発者が利用したサードパーティ製SDKが感染経路となっています。類似する脅威の仕組みは、トロイの木馬の特徴と対策でも確認できます。
広告詐欺と企業への影響
利用者の画面に異常が見えなくても、バックグラウンドで広告表示やクリックが繰り返される場合があります。
株式会社Spider Labsは「アドフラウド調査レポート 通年版2025」で、2024年の国内アドフラウド推定被害額を約1,510億円、Web広告の平均アドフラウド率を5.12％と算出しています。同社の観測データと算出条件に基づく推定値であり、国内広告費の確定損失額ではありません。それでも、不正クリックが企業の広告予算や分析精度に与える影響を把握する材料になります。
セッションハイジャックと社内侵入
業務端末でCookieが盗まれると、アドウェア感染がクラウドサービスへの初期侵入経路になります。
たとえば、端末がメールやファイル共有サービスにログインした状態でセッション情報を窃取されると、攻撃者が多要素認証後のセッションを再利用する場合があります。その後、受信メールから取引先を調べる、クラウド上のファイルを持ち出す、別のマルウェアを送るといった被害へ進みます。
不審な広告と同時に、海外からのログイン通知、覚えのないメール転送設定、SaaS上の不明な操作が見つかった場合は、端末からアドウェアを削除するだけでは終わりません。端末をネットワークから切り離し、正常な別端末でセッションを失効してから認証情報を変更します。
アドウェアの主な種類と最新の感染経路
現在の主な感染経路は、フリーソフトへの同梱に加え、検索広告、後から悪質化する拡張機能、生成AIを装う偽ツールです。
ポップアップ型・リダイレクト型・追跡型
表示される症状と内部の動作は一致しないため、広告の形式だけで危険度を決めることはできません。
ポップアップ型：ブラウザやOS上に広告、警告、購入画面を繰り返し表示します。
リダイレクト型：検索結果やリンクの移動先を別の広告・詐欺サイトへ変更します。ブラウザハイジャッカーと機能が重なる場合があります。
追跡型：閲覧履歴や検索語を収集し、広告配信や外部販売に利用します。
不正クリック型：画面外やバックグラウンドで広告を表示・クリックし、広告収益を発生させます。
スパイウェアやインフォスティーラーは独立した脅威分類であり、常にアドウェアの一種ではありません。ただし、一つのプログラムが広告表示と情報窃取の両機能を備える場合があります。
検索広告を悪用するマルバタイジング
検索結果の最上部にある広告でも、表示URLだけを見て正規サイトと判断すると偽インストーラーを取得する場合があります。
攻撃者はZoom、Microsoft Teams、PDF変換ソフト、リモート接続ツールなど、業務で検索されやすい製品名の広告を出します。広告の見出しやドメインを公式サイトに似せ、移動先でアドウェア入りのインストーラーを配布する手口です。広告ネットワーク側の審査後に転送先を切り替えたり、アクセス地域や端末によって悪質なページだけを表示したりするため、審査時に発見されない場合があります。
業務ソフトは検索広告から直接ダウンロードせず、社内ポータル、登録済みブックマーク、ベンダーの公式文書から配布ページへ移動します。広告しか見つからない場合は、ドメインのつづりとデジタル署名を照合できれば導入し、照合できなければ情シスの配布を待つという判断に分けます。
潜伏型のブラウザ拡張機能
公式ストアの審査を通過した拡張機能でも、更新や開発者の変更をきっかけに悪質化する場合があります。
Koi Securityは2025年12月、ShadyPandaと呼ぶ脅威アクターが145本以上のブラウザ拡張機能を利用し、約430万人に影響を与えたと発表しました。一部は数カ月から数年にわたり通常の便利ツールとして動作し、利用者数と高評価を獲得した後、アップデートによって広告挿入や閲覧情報の収集を始めたと同社は分析しています。
この潜伏型、いわゆるスリーパー型への対策では、インストール時の評価だけでは足りません。拡張機能が要求する「すべてのWebサイト上にあるデータの読み取りと変更」などの権限、最終更新日、開発元の変更を定期的に見直します。業務上の用途を説明できない拡張機能は、問題が見つかる前でも無効化の対象です。
生成AIを装う偽ツール
話題のAIサービス名を含む非公式プラグインは、便利さを入口にブラウザデータへの広い権限を取得します。
「無料のChatGPT連携」「AIで全ページを要約」「無制限の画像生成」などを掲げる拡張機能やデスクトップアプリには、正規サービスと関係のないものがあります。ページ本文を要約する機能には閲覧中のWebページを読む権限が必要ですが、その権限を悪用すればWebメールや社内SaaSの表示内容も取得できます。
AI機能を導入する場合は、開発元、プライバシーポリシー、送信されるデータ、管理者向け制御の有無を一つの審査票で扱います。入力内容や閲覧ページの送信先を特定できれば限定利用とし、特定できなければ機密情報を扱うブラウザでは使用しません。
バンドルウェアと偽警告
無料ソフトの一括インストールと偽の感染警告は、現在も多い侵入経路です。
動画変換、PDF編集、ドライバー更新、壁紙などの無料ソフトでは、追加アプリの同意欄が初期状態で選択されている場合があります。画面を読まずに進めると、検索ツールバーや常駐プログラムも導入されます。
「ウイルスが5件見つかりました」「サポートへ電話してください」というブラウザ上の表示は、OSの検査結果とは限りません。警告内の電話番号、ダウンロードボタン、通知許可を操作せず、タブを閉じてOS標準のセキュリティ画面から検査します。
アドウェア感染を見分ける症状別チェック
感染の有無はチェック項目の数ではなく、広告が出る範囲、直前の変更、不審なアプリや拡張機能の存在を組み合わせて判断します。
症状から確認先を絞る早見表
最初に表示場所を切り分けると、正規の通知設定とアドウェア感染を混同せずに対処できます。
主な症状 | 考えられる原因 | 最初の確認先 | 次の判断 |
|---|---|---|---|
特定サイトだけで広告が出る | サイト広告、偽警告 | 別サイトや別ブラウザで再現するか | 再現しなければタブを閉じ、通知許可を解除 |
ChromeやEdge全体で広告が出る | 拡張機能、通知、検索設定の改変 | 拡張機能一覧とサイト通知 | 不審な項目を無効化して再現性を確認 |
ブラウザを閉じても広告が出る | 常駐アプリ、Androidアプリ | 最近導入したアプリとバックグラウンド動作 | OS全体をスキャン |
iPhoneのカレンダーだけに警告が出る | カレンダースパム | 照会カレンダーと不明なアカウント | 身に覚えのない購読を削除 |
端末が遅い、通信量が増えた | OS更新、同期、故障、常駐ソフト、アドウェア | タスク管理とデータ使用量 | 単独症状なら感染と断定せず原因プロセスを特定 |
不審なログイン通知がある | 認証情報やCookieの窃取 | サービスのログイン履歴 | 別端末でセッション失効と認証情報変更 |
感染の可能性を調べるチェック項目
次の項目は診断結果ではなく、詳しい検査へ進むための観察項目です。
ホームページや既定の検索エンジンが、操作していないのに変わっています。
リンクの移動先が、表示されたURLと異なる広告サイトになります。
インストールした覚えのない拡張機能、ツールバー、アプリがあります。
ブラウザを起動していない時間にも、不明なプロセスがCPUや通信を使っています。
広告を閉じても別の広告が開き、ブラウザ設定の変更後に再発します。
セキュリティ機能や拡張機能管理画面が開けない状態になっています。
該当数が多くても、正規アプリの通知やOS更新が原因の場合があります。反対に、広告が表示されなくてもCookieを盗む拡張機能は存在します。「2つ以上なら感染確実」といった件数基準ではなく、身に覚えのないプログラムと不審な通信が確認できた場合に感染対応へ進みます。
削除前に記録する情報
アプリ名だけで即座に削除せず、発行元と導入時期を記録すると、誤削除と再発原因の見落としを減らせます。
表示された広告、URL、警告文をスクリーンショットで残します。
不審なアプリ名、拡張機能名、発行元、バージョン、インストール日を記録します。
同時期に導入した無料ソフトやアクセスしたダウンロードサイトを整理します。
企業端末なら削除前に情シスへ報告し、記録を保全します。
発行元の公式情報で用途を確認できれば停止して影響を観察し、用途を確認できずデジタル署名もなければ隔離または削除へ進みます。業務アプリの可能性がある場合は、管理者が配布台帳と照合できるまで削除しません。
▲ 広告の表示場所から適切な対処法を特定する切り分けフロー
OS・デバイス別のアドウェア削除手順
アドウェアを削除する順序は、記録、ネットワーク隔離、不審なアプリと拡張機能の停止、セキュリティスキャン、認証情報の保護です。
設定画面の名称や配置は、OSのバージョン、端末メーカー、企業の管理設定によって異なります。画面名が一致しない場合は設定内検索を使い、企業端末で管理プロファイルが表示された場合は勝手に解除せず管理者へ引き継ぎます。
削除作業前の共通準備
情報窃取が疑われるかどうかで、最初に行う操作が変わります。
症状の記録：広告画面、アプリ名、拡張機能名、発生日時を残します。
隔離の判断：不審なログインや情報送信があればWi-Fiと有線LANを切断します。広告表示だけなら、必要な公式文書を開いてから通信を切ります。
バックアップ：業務文書や写真を保存します。ただし、不明な実行ファイルやインストーラーは移しません。
発行元の照合：削除候補の名前と発行元を記録し、OSの配布元や社内台帳と照らします。
端末から削除した後にパスワードを変更しても、端末が未除染なら新しい認証情報を再び盗まれる場合があります。認証情報の変更は、スキャン完了後に正常な別端末から行います。
Windowsでの削除手順
Windowsでは、最近導入されたアプリ、スタートアップ、ブラウザ拡張機能、PUA検出設定の順に調べます。
「設定」から「アプリ」「インストールされているアプリ」を開き、一覧をインストール日順に並べます。
症状が始まった直前に入ったアプリについて、名前、発行元、バージョンを記録します。正規の業務ソフトと確認できれば残し、用途を確認できない項目はアンインストールします。
タスクマネージャーの「スタートアップアプリ」を開き、削除したアプリに関連する自動起動項目を無効化します。
Windows セキュリティの「アプリとブラウザー コントロール」で、望ましくない可能性のあるアプリのブロック状態を調べます。
Microsoft Defenderまたは契約中のセキュリティ製品でフルスキャンを実行し、検出項目を隔離します。
再起動後、広告、検索設定、不審なプロセスが再発しないか確認します。
削除後も復活する場合は、スケジュールタスク、サービス、ブラウザポリシーが残っている可能性があります。業務端末ではレジストリを手作業で削除せず、EDRの記録を保全して再イメージ化の判断へ進みます。一般的な感染時の切り分けは、パソコンがウイルス感染した場合の対応も参照できます。
Chrome・Edgeの拡張機能削除
ブラウザ内だけで広告が出る場合は、拡張機能を一つずつ無効化すると原因を絞れます。
Chromeでは右上のメニューから「拡張機能」「拡張機能を管理」を開きます。Edgeでは右上のメニューから「拡張機能」「拡張機能の管理」を開きます。
各拡張機能の名前、ID、開発元、要求権限を記録します。
不要または不明な拡張機能をまず無効化し、ブラウザを再起動して症状が止まるか調べます。
原因と判断した拡張機能を削除し、サイト通知、起動時ページ、既定の検索エンジンを見直します。
変更が戻る場合は、ブラウザの同期を一時停止し、別端末から同じ拡張機能が再同期されていないか調べます。
最後にブラウザ設定をリセットします。リセット前には必要なブックマークと保存情報の同期状態を確認します。
Googleは、不要な広告や不審なプログラムへの対処をChromeの不要な広告・ポップアップ削除に関する公式案内で説明しています。管理者によって導入された拡張機能は利用者が削除できないため、企業端末で「組織によって管理されています」と表示された場合は、拡張機能IDを添えて管理者へ報告します。
Macでの削除手順
Macではアプリ本体だけでなく、ログイン項目、構成プロファイル、ブラウザ拡張機能も確認します。
Finderの「アプリケーション」を更新日順で確認し、不審なアプリの名前と開発元を記録します。
アプリに公式アンインストーラーがあれば、それを使います。単にゴミ箱へ移すだけでは関連する常駐項目が残る製品があります。
「システム設定」「一般」「ログイン項目と機能拡張」を開き、削除したアプリに関連する項目を停止します。
「システム設定」「一般」「デバイス管理」または「プロファイル」に、不明な構成プロファイルがないか調べます。会社や学校の名称がある場合は管理用プロファイルの可能性があるため、管理者が台帳と照合できるまで削除しません。
Safariの「設定」「拡張機能」と、Chrome・Edgeの拡張機能一覧から不明な項目を削除します。
検索エンジンやホームページがSearch Marquisなど身に覚えのない設定へ戻る場合は、セキュリティ製品でスキャンし、残存する常駐プロセスを調べます。
構成プロファイルの表示場所はmacOSの世代によって異なります。プロファイル名と署名者が組織の配布台帳に一致すれば残し、一致しなければネットワークを切断して管理者による調査へ進みます。
iPhone・iPadでの削除手順
iPhoneやiPadで表示される警告の多くは、Webページ、カレンダー購読、構成プロファイル、不審なアプリに由来します。
警告画面のボタンや電話番号を押さず、ブラウザのタブを閉じます。
設定からSafariの履歴とWebサイトデータを消去します。保存中のログイン状態が解除される影響を把握してから実行します。
ホーム画面と「設定」「一般」「iPhoneストレージ」から、導入した覚えのないアプリを調べて削除します。
「設定」「一般」「VPNとデバイス管理」に不明なプロファイルがあるか確認します。社用端末ではMDM管理に使われるため、組織名が台帳に一致しない場合だけ管理者へ調査を依頼します。
カレンダーだけに警告が出る場合は、身に覚えのない照会カレンダーやアカウントを削除します。
iOSを更新し、再起動後に同じ表示が出るか確認します。
Appleは、身に覚えのない予定への対応をiCloudカレンダーのスパムに関する公式案内で説明しています。カレンダー通知だけなら、一般的な意味で端末全体がアドウェアに感染したとは限りません。
Androidでの削除手順
Androidアドウェアは、無料アプリ、端末管理権限、他のアプリの上に表示する権限を利用する場合があります。
設定のアプリ一覧を最近インストールした順に並べ、広告が始まる直前に導入したアプリを特定します。
不審なアプリについて「他のアプリの上に重ねて表示」「ユーザー補助」「通知へのアクセス」「端末管理アプリ」などの権限を解除します。
通常モードで削除できない場合はセーフモードを使います。起動方法は機種ごとに異なるため、端末メーカーの機種別手順に従います。
不審なアプリをアンインストールし、Chromeのサイト通知とダウンロード履歴を確認します。
Google Play プロテクトでスキャンし、Androidとアプリを更新します。
通信量の画面で、削除後も不明なアプリがバックグラウンド通信を続けていないか調べます。
Googleは、Android端末から不審なソフトウェアを除去する流れをAndroidのマルウェア削除に関する公式案内で公開しています。端末管理権限を解除しても削除できず、不審な通信が続く場合は、必要なデータだけを退避して初期化へ進みます。
▲ 二次被害を防ぐための安全なアドウェア削除の5ステップ
手動削除で失敗しやすいパターンと専用ツールの注意点
アドウェア削除で避けるべき行為は、検索広告から無名の削除ツールを入れることと、発行元を調べず正規アプリを一括削除することです。
偽の削除ツールによる二次被害
「アドウェア削除」「無料ウイルス駆除」などの検索結果には、FakeAVと呼ばれる偽セキュリティソフトが広告として紛れる場合があります。
偽ツールは、実際には存在しない大量の感染を表示し、有料版の購入やサポート窓口への電話を迫ります。さらに、ブラウザ設定の改変や情報窃取を行う場合もあります。検索結果の順位、広告表示、レビュー件数だけを信頼根拠にしてはいけません。
ダウンロード元は、OSベンダーの公式ストア、契約中のセキュリティベンダーが公開する製品ページ、社内ソフトウェア配布環境に限定します。発行元のデジタル署名と公式ドメインを確認できれば実行し、確認できなければインストールせずOS標準スキャンへ戻ります。
正規アプリの誤削除
見慣れない名前だけを理由に削除すると、ドライバー、VPN、バックアップ、企業管理用エージェントが動かなくなる場合があります。
とくに「発行元不明」は危険性の証拠ではありません。古い正規ソフトや社内開発アプリでも、署名が表示されない場合があります。削除前にアプリ名、ファイルの場所、インストール日、ハッシュ値を記録し、企業端末では資産台帳と照合します。
正規アプリと確認できれば残して通知設定だけを変更し、台帳に存在せず症状の発生時期と一致する場合は隔離します。この分岐を入れると、広告を止めるために業務環境まで壊す失敗を減らせます。
信頼できる専用ツールの利用条件
OS標準機能で削除できない場合は、PUA検出に対応したセキュリティ製品で追加スキャンを行います。
選択肢にはMicrosoft Defender、契約中のアンチウイルスソフト、Malwarebytesなどがあります。Malwarebytesを使う場合は、第三者の配布サイトではなくMalwarebytesの公式ダウンロードページから取得します。
既存セキュリティ製品との同時常駐で競合しないか、ベンダー文書を調べます。
PUA・PUP検出を有効にしてスキャンします。
検出結果の名前、場所、判定理由を記録してから隔離します。
再起動後に再スキャンし、同じ項目が再生成されないか確認します。
業務アプリを誤検出した場合は、端末単位で安易に除外せず、管理者がハッシュ値と配布元を検証します。
初期化・再イメージ化へ進む基準
管理者権限の奪取、情報窃取、不明な常駐処理が残る場合は、手動削除を繰り返すより端末を再構築します。
削除後も検索設定が戻る、セキュリティ機能が停止する、外部通信が続く、認証情報を盗んだ痕跡がある場合は、完全に除去できたと判断できません。個人端末なら必要な文書や写真だけを退避して初期化し、企業端末なら証拠保全後に標準イメージから再展開します。
再感染を防ぐ個人向けアドウェア対策
個人向けのアドウェア対策は、公式配布元の利用、拡張機能の定期点検、PUA検出の有効化、ブラウザ通知の整理を組み合わせます。
ダウンロード元と検索広告の見分け方
製品名で検索したときは、最上位の広告ではなく公式ドメインと署名を判断材料にします。
業務ソフトや有名アプリは、保存済みの公式URLまたはOSの公式ストアから取得します。
広告リンクを使う場合は、文字を入れ替えた類似ドメインや不要なサブドメインがないか調べます。
Windowsのインストーラーはプロパティからデジタル署名を確認します。
無料ソフトの設定画面では、追加アプリ、検索設定変更、ブラウザ拡張機能の選択を解除します。
海賊版ソフト、クラックツール、非公式な再配布サイトは利用しません。
公式サイトを特定できればそこから取得し、複数の類似ドメインしか見つからなければ導入を保留します。急いでいることを理由に、広告からダウンロードする判断へ切り替えない運用が再感染を減らします。
ブラウザ拡張機能の月次点検
潜伏型拡張機能に備えるには、インストール時だけでなく更新後の権限と開発元も見直します。
月に一度、Chrome、Edge、Safariの拡張機能一覧を開き、利用頻度、最終更新日、開発元、権限を記録します。30日以上使っていない拡張機能は一度無効化し、業務や日常利用に影響がなければ削除します。
「閲覧履歴の読み取り」「すべてのサイト上のデータ変更」「クリップボードの読み取り」を要求する拡張機能は、機能上その権限が必要かを照合します。たとえば、画面の色を変えるだけのツールが全サイトの入力内容を読む権限を求めるなら、用途と権限が釣り合いません。
PUA検出とOS更新
セキュリティソフトを導入しただけで終えず、PUA検出とリアルタイム保護が有効かを確認します。
Windowsでは望ましくないアプリのブロック、AndroidではGoogle Play プロテクト、macOSとiOSではOS更新とアプリ配布元の制限を利用します。契約中の製品にPUA設定があれば有効化し、検出時に自動削除ではなく隔離を選べる環境では、判定内容を確認してから削除します。
読後すぐに使える点検リスト
最初の15分で次の項目を点検すると、現在の設定上の穴を見つけられます。
ブラウザの拡張機能一覧から、用途を説明できない項目を無効化しました。
サイト通知の許可一覧から、身に覚えのないドメインを削除しました。
既定の検索エンジンと起動時ページを確認しました。
セキュリティソフトのPUA・PUP検出を有効にしました。
最近導入した無料ソフトと発行元を確認しました。
メール、クラウド、SNSのログイン履歴に不審な端末がないか確認しました。
不審な項目がなければ月次点検へ移行し、見つかった場合は無効化、スキャン、再発確認の順で処理します。不正ログインも見つかった場合は、端末の除染後に全セッションを失効し、パスワードと多要素認証を再設定します。
企業におけるアドウェアとエンドポイント対策
企業では、感染端末の隔離と認証情報保護を先に行い、その後に拡張機能の許可制、EDR、IT資産管理で再発を防ぎます。
感染発覚後の初動タイムライン
企業端末では利用者が自力で削除すると調査記録が失われるため、隔離と報告を削除より先に行います。
時点 | 実施内容 | 判断基準 |
|---|---|---|
発覚直後 | 有線LAN、Wi-Fi、VPNを切断し、画面と時刻を記録 | 不審な通信やログインがあれば即時隔離 |
15分以内 | 情シスまたはセキュリティ窓口へ端末名、利用者、症状を報告 | 業務継続は代替端末で実施 |
1時間以内 | EDRログ、ブラウザ拡張機能、導入アプリ、認証ログを保全 | 証拠を取得するまで初期化しない |
調査後 | 隔離・削除または再イメージ化を実施 | 情報窃取や管理者権限の侵害があれば再イメージ化 |
除染後 | セッション失効、パスワード変更、多要素認証の再登録 | 正常な別端末から操作 |
復旧後 | 同じ拡張機能、URL、ハッシュ値を全社検索 | 他端末で見つかればインシデント範囲を拡大 |
端末を除染する前にパスワードを変更すると、新しい認証情報まで窃取される可能性があります。除染完了を確認できれば認証情報を更新し、確認できなければ端末を再構築してから更新します。
ブラウザ拡張機能のアローリスト運用
従業員が自由に拡張機能を追加できる環境では、禁止リストより許可リスト方式の方が潜伏型への対応範囲を限定できます。
Chrome Enterprise Coreでは、管理コンソールから拡張機能のインストール可否や権限を制御できます。Googleは具体的な管理項目をChrome拡張機能の管理に関する公式文書で案内しています。Microsoft Edgeもグループポリシーや管理サービスで拡張機能を制御でき、MicrosoftはEdge拡張機能ポリシーの公式文書を公開しています。
原則として全拡張機能をブロックします。
業務目的、開発元、必要権限、データ送信先、更新履歴を審査します。
承認した拡張機能IDだけをアローリストに登録します。
四半期ごとに利用者数と用途を棚卸しし、未使用の項目を許可リストから外します。
開発元や要求権限が変わった場合は、再審査まで一時停止します。
一律ブロックで業務が止まる部門があるなら、対象者と期間を限定した例外グループを作ります。監査ログを取得できる環境なら限定検証へ進み、ログを取得できなければ機密データを扱わない検証端末だけで評価します。
EDR・XDRとウイルス対策の役割分担
PUA対策ではファイル検査だけでなく、外部通信、設定変更、スクリプト実行を関連付けて追跡します。
実装例にはTrend Vision One、CrowdStrike Falcon、Kaspersky Endpoint Securityなどがあります。製品名だけで選ばず、PUA検出、ブラウザ拡張機能の可視化、C2通信の遮断、端末隔離、ログ保存期間、運用担当者が確認できるアラート量を同じ軸で評価します。
対策領域 | 主な役割 | アドウェア対策で見る項目 | 限界 |
|---|---|---|---|
ウイルス対策 | 既知ファイルやPUAの検出 | PUA検出設定、リアルタイム保護 | 利用者が同意したアプリを許可する場合がある |
EDR・XDR | 端末挙動と通信の追跡 | 外部通信、永続化、スクリプト実行 | 監視担当者と調査手順が必要 |
MDM・ブラウザ管理 | 設定と拡張機能の強制 | 許可リスト、通知、アプリ配布 | 管理対象外端末には適用できない |
IT資産管理 | 端末、アプリ、SaaSの棚卸し | 未許可アプリと利用者の特定 | 単体ではマルウェアを除去しない |
エンドポイントセキュリティでは、予防、検知、隔離、復旧を一つの製品に任せず、複数の管理策を組み合わせます。
IT資産管理ツールの適用範囲
IT資産管理は、不審なソフトを直接駆除する仕組みではなく、端末と利用サービスを棚卸しして調査対象を絞る手段です。
マネーフォワードが提供するAdminaは、シャドーIT検知やIT資産・SaaS統合管理を目的とした選択肢の一つです。EDR、MDM、ブラウザ管理の代替ではなく、誰がどの端末やSaaSを利用しているかを把握する管理層として位置付けます。
導入判断では、取得できる端末情報、SaaS連携範囲、退職者アカウントの検出、既存MDM・EDRとの重複、管理対象OSを確認します。未許可アプリまで把握できるなら調査対象の抽出に使い、把握できない場合はMDMやEDRのソフトウェアインベントリで補完します。
従業員規模別の管理方法
端末数が増えるほど、表計算による台帳と利用者任せの削除では更新速度に追いつきません。
50名未満：端末構成が単純なら、月次のアプリ・拡張機能棚卸し、管理者権限の制限、報告窓口の一本化から始めます。
50〜300名：MDMまたはブラウザ管理で許可リストを配布し、EDRアラートと資産台帳を利用者単位で結び付けます。
300名超：端末ごとの手動確認は現実的ではありません。EDR・XDR、MDM、ID管理、IT資産管理を連携し、拡張機能IDやファイルハッシュを全端末で検索できる体制にします。
従業員教育では「怪しい広告をクリックしない」という抽象的な指示だけで終えません。検索広告から業務ソフトを入れない、警告画面の電話番号へ連絡しない、企業端末で自己判断の削除ツールを使わない、異常時は端末名と画面を窓口へ送るという行動単位で周知します。
アドウェアに関するよくある質問
アドウェアに関する疑問は、表示場所と不審なアプリの有無を基準に切り分けると解決しやすくなります。
Q：iPhoneのカレンダーに身に覚えのない通知が来るのはアドウェア感染ですか？
A：カレンダーだけに警告や広告が出る場合は、アドウェア感染ではなく、不審な照会カレンダーや招待を使ったカレンダースパムの可能性があります。通知内のURLを開かず、身に覚えのない購読やアカウントを削除します。
Q：公式ストアから入れた拡張機能でも感染しますか？
A：公式ストアの審査後に、アップデートや開発者の変更によって悪質化する潜伏型拡張機能があります。公式ストアの掲載だけを根拠にせず、要求権限、開発元、更新履歴、利用頻度を定期的に点検します。
Q：セキュリティソフトを入れているのに広告が出るのはなぜですか？
A：利用者が規約に同意して入れたPUAは、通常のマルウェアとは異なる設定で検出される場合があります。セキュリティ製品のPUA・PUP検出とブラウザの通知設定を確認し、不審な拡張機能も別に調べます。
Q：アドウェアに感染したら最初に何をすればよいですか？
A：広告画面、URL、アプリ名を記録し、不審なログインや情報送信があれば端末をネットワークから切り離します。企業端末は自己判断で削除せず情シスへ報告し、個人端末は最近のアプリと拡張機能を確認して公式のセキュリティ機能でスキャンします。
Q：アドウェアを削除すればパスワード変更は不要ですか？
A：広告表示だけで情報窃取の兆候がなければ、必ずしも全パスワードの変更は必要ありません。不審なログイン、Cookie窃取、メール設定の改変が疑われる場合は、除染後に正常な別端末からセッションを失効し、パスワードと多要素認証を再設定します。
まとめ
アドウェア被害を防ぎ安全なIT環境を保つために
アドウェアとは広告収益を目的とするソフトウェアですが、一部はCookie窃取やセッションハイジャックを伴います。広告が出る場所を切り分け、アプリ名と発行元を記録してから、拡張機能、通知、OS上のアプリを順番に調べると誤削除を防げます。
明日からの最初の一歩は、ChromeやEdgeなどの拡張機能一覧を開き、用途を説明できない項目を無効化することです。続いてセキュリティソフトのPUA検出を有効にします。企業では、感染端末の隔離、セッション失効、拡張機能の許可制を運用へ組み込み、利用者任せの削除から脱却します。
本記事の内容に誤り等がございましたら、こちらからご連絡ください。
監修
Admina Team
情シス業務に関するお役立ち情報をマネーフォワード Adminaが提供します。
SaaS・アカウント・デバイスの管理を自動化し、IT資産の可視化とセキュリティ統制を実現。
従業員の入退社対応や棚卸し作業の工数を削減し、情報システム部門の運用負荷を大幅に軽減します。
中小企業から大企業まで、情シス・管理部門・経営層のすべてに頼れるIT管理プラットフォームです。
