ブラウザの通知機能から不審サイトに誘導する手口に注意

公開日：2021年3月9日

最終更新日：2026年3月18日

独立行政法人情報処理推進機構
セキュリティセンター

ー安易に通知を許可しないで！ー

パソコンやスマートフォンでブラウザを起動中に、「＜コンピュータが危険にさらされている＞、＜携帯をクリーンアップしてください＞などのメッセージが繰り返し表示される」、またその表示画面から「不審なセキュリティソフトの購入や、不審なスマートフォンアプリのインストールに誘導された」といった相談が寄せられています。

当窓口ではこのような相談に関して、ブラウザの通知機能（脚注1）を悪用し偽の通知を表示させ、不審サイトに誘導する手口を確認しています。

図1：手口の概要と基本的な対策

そこで、今回確認した手口と対処、被害にあわないための対策について解説します。

(脚注1)ウェブサイトからブラウザを通じて画面上に配信されるプッシュ型の通知サービス。2021年3月9日現在、iOS端末（iPhone、iPad等）にはブラウザ通知機能は搭載されていません。

1．手口

手口の流れ: 1-1. ウェブサイト上でブラウザの通知を許可するように誘導される

1-2. ブラウザ起動中に偽の通知が表示される

1-3. 通知表示をクリックすると不審なサイトに誘導される

1-1. WEBサイト上でブラウザの通知を許可するように誘導される

例えば、検索サイトで表示されたサイトにアクセスするなどして、サイトに訪れた人にブラウザ通知の許可ボタンを表示し、アクセスした人に「許可」を押させようとします。その際、CAPTCHA認証（脚注2）を装った画面を表示させて、「許可」ボタンを押させようと誘導します。（図2）

図2-1：CAPTCHA認証を装った「許可」ボタンへの誘導事例A（パソコン）
図2-2：CAPTCHA認証を装った「許可」ボタンへの誘導事例B（パソコン）
図2-3：CAPTCHA認証を装った「許可」ボタンへの誘導事例C（パソコン）
図2-4：「許可」ボタンへの誘導事例D（スマートフォン）（Androidバージョン11 スマホ Google Pixel3）

(脚注2)アクセスしているのが機械でなく人間であることの判別をするための認証。

1-2. ブラウザ起動中に偽の通知が表示される

図1の画面で「許可」を押してしまうと、当該不審サイトの通知許可がブラウザに登録されてしまいます。

その後、ブラウザを起動中等に「パソコンがウイルス感染した」「スマートフォンをクリーンアップしてください」などの通知が表示されます。（図3）

パソコンではセキュリティベンダー企業や、Windowsのロゴを勝手に使用したと思わる通知がデスクトップの右下に表示される事例を確認しています。(図3-1)

これらの通知は根拠のない偽の通知内容であり、不安をあおって不審サイトに誘導する目的であると考えられます。

図3-2：その他の通知表示事例
図3-3：スマートフォンに表示される通知表示事例（Androidバージョン11 スマホ Google Pixel3）

1-3. 通知表示をクリックすると不審なサイトに誘導される

通知表示をクリックすると、様々な不審サイトに誘導される可能性があります。

当窓口では、パソコンの場合「偽のセキュリティソフト購入サイト」や、「偽の当選サイト」に誘導される事例、スマートフォンの場合「不審アプリのインストール誘導サイト」が表示される事例を確認しています。（図4）

誘導された不審サイトで操作を行うと、なんらかの被害が発生する可能性があります。

図4-1：パソコンで誘導される「偽のセキュリティソフト購入サイト」事例
図4-2：パソコンで誘導される「偽の当選サイト」事例
図4-3：スマートフォンで誘導される「不審アプリのインストール誘導サイト」事例（Androidバージョン11 スマホ Google Pixel3）

2．対処

2-1. ブラウザの通知の削除方法

ブラウザに登録した通知許可を削除することで、通知表示を止めることができます。

削除操作の際に通知表示画面が邪魔な場合はネット接続を切るなどしてください。

Google Chrome（パソコン）の場合：バージョン145.0.7632.160: Chrome画面右上のメニューボタン（縦の…）をクリックし、「設定」を選択。

「プライバシーとセキュリティ」＞「サイトの設定」を選択。

「通知」を選択。

「許可」欄の不審なURLのメニューボタン（縦の…）をクリックし、「削除」を選択。
Google Chrome（Android）の場合：バージョン145.0.7632.159: Chrome画面右上のメニューボタン（縦の…）をタップし、「設定」を選択。

「通知」を選択。

「アプリ内のその他の設定」をタップ。

「許可されています」の下に表示されている不審なURLをタップ。

「アプリ内のその他の設定」をタップ。

「データを削除して権限をリセット」をタップ。
Microsoft Edge（パソコン）の場合：バージョン145.0.3800.97: Edge画面右上のメニューボタン（…）をクリックし、「設定」を選択。

左側メニューの「プライバシー/検索/サービス」＞「サイトのアクセス許可」を選択。

「すべてのアクセス許可」を選択。

「通知」を選択。

「カスタマイズされた動作」＞「通知の送信が許可されています」欄の不審なURLのメニューボタン（縦の…）をクリックし、「削除」を選択。
Microsoft Edge（Android）の場合：バージョン145.0.3800.99: Edge画面下のメニューボタン（≡）をタップし、「設定」を選択。

「サイトの設定」をタップ。

「サイトのアクセス許可」をタップ。

「通知」を選択。

「許可されています」欄の不審なURLをタップし、「アプリ内のその他の設定」をタップ。

「データを削除してリセット」をタップ。
Firefox（パソコン）の場合：バージョン148.0.2: Firefox画面右上のメニューボタン（≡）をクリックし、「設定」を選択。

左側メニューの「プライバシーとセキュリティ」を選択。

「許可設定」の「通知」を選択。

不審なURLを選択し「ウェブサイトを削除」をクリック。

「変更を保存」をクリック。
Firefox（Android）の場合：バージョン115.2.1: Firefox画面右上のメニューボタン（縦の…）をタップし、「設定」を選択。

「通知」をタップ。

「サイト通知」のスイッチボタンの左側をタップしてOFFにする。