Chrome保存済みパスワードの流出方法 - PCアカウントのパスワードがわからない場合

2025年11月16日

132文字 ·1分

https://ja.andytips.com/security/chrome-password-extraction-without-pc-password/

Chromeのパスワードハッキングシリーズ第3弾です。

前回の記事では、PCアカウントのパスワードを知っている場合に
保存されたパスワードを簡単に流出させられることを確認しました。

今回は、PCアカウントのパスワードを知らなくても
Chromeに保存されたパスワードをすべて取得する方法を解説します。

この攻撃は遠隔ではなく、身近な人物によるローカル攻撃（Local Attack）に該当します。

Chromeパスワード自動入力の別の脆弱性

Chromeのパスワード自動入力はログインを簡単にしてくれる便利な機能ですが、
仕組みを詳細に確認すると、PCアカウントのパスワードを知らなくても
画面が開いているだけでパスワードを取得できてしまう脆弱性があります。

この記事では、PCアカウントのパスワードを知らない人物であっても、
短時間PCの前に座れる状況があれば、どのようにしてChromeに保存された
パスワードを持ち出せるのかを解説します。

まず、日常的に起こり得る状況から確認していきましょう。

席を離れる際、画面をロックするのは基本的な習慣ですが、
忙しい仕事の途中で少し席を離れる場面では、
画面ロックを忘れてしまうことは誰にでも起こり得ます。

また、Windowsの自動ロックも5分・10分といった猶予がある設定になっていることが多いため、
その短い間に攻撃者が物理的にPCへアクセスできてしまいます。

PC画面が点灯しており、Chromeが開いている状態であれば
攻撃者は追加情報なしにパスワードを抜き取ることが可能です。

自動入力されたパスワード欄は画面上では●●●●と隠されていますが、
ブラウザ内部では既に平文のパスワードが格納されています。

HTMLの <input type="password"> 要素は
「見た目を隠す」役割しか持たず、
実際の値は DOM の value 属性にそのまま存在します。

そのため、開発者ツールやスクリプトを使用すれば
パスワードの値を直接読み出すことができます。

以下の手順で、自動入力されたパスワードを直接入手できます。
JavaScriptを知らなくても実行可能です。

パスワードが自動入力されたログインページを開く
●●●● の状態でパスワードが入力されていることを確認
パスワード欄を右クリック
検査(Inspect) を選択
開発者ツールが開き、該当要素がハイライトされる
<input type="password" ...> を確認
要素の id または name を確認
上部タブの Console を開く
次のコマンドを入力
※ 'password' は実際に確認したIDに置き換えてください。
```
console.log(document.getElementById('password').value);
```
Enter を押すと、平文のパスワードが表示されます。

慣れれば30秒以内で可能な操作です。

Firefoxの「他のブラウザからデータをインポート」機能を利用する方法です。
Firefox標準の機能なので非常に簡単です。

ここで重要なのは、
Firefoxは保存パスワードを確認するときにPCアカウントのパスワードを要求しない
という点です。

そのためChromeの保存パスワードをFirefoxに移行するだけで、
誰でも平文で閲覧できてしまいます。

これら2つの方法はいずれも、
専門的なハッキング技術やツールを必要としません。

Firefoxをインストールしてインポートするだけで
Chromeの全パスワードを確認できてしまうのは驚きですが、
画面が開いた状態なら実際に可能です。

PCを数十秒放置するだけでアカウント情報が奪われる可能性があるため、
共有PC・オフィスPC・家族PCでは非常に危険です。

自動入力機能は利便性のための仕組みであり、
強固なセキュリティを目的としたものではないことを理解する必要があります。

ではどうすれば良いのでしょうか。
自動入力を完全にやめるのは現実的ではありません。

次の記事では、こうしたリスクを回避しつつ
安全にパスワード管理ができる
KeePassXC という専用パスワード管理ツールについて詳しく解説します。

シリーズ一覧: