ClickFix攻撃とは？ユーザー自身にマルウェアを実行させる社会工学の手口と対策

一見すると正規のCAPTCHA（画像認証）や「ブラウザのアップデート」、親切な修復ダイアログに見えるWebページを想像してみてください。そのページは、あなたのクリップボードに密かにテキストやコードをコピーし、「ページを確認・修復するために」として、ファイル名を指定して実行、ターミナル、エクスプローラーを開いてそこに貼り付けるよう指示してきます。

指示通りに貼り付けてEnterキーを押した瞬間、攻撃者がクリップボードに仕込んだコード——多くの場合、追加のマルウェアをダウンロード・実行するPowerShellやシェルコマンド——を実行してしまうのです。たった一つの単純な操作が、好奇心を深刻な侵害へと変えてしまいます。

これは決して架空の話ではありません。これこそが「ClickFix」（およびその亜種である「FileFix」）として知られる社会工学攻撃の仕組みであり、なぜこれほど危険で、すぐには消えないのかという理由でもあります。

自分の手で感染させてしまうマルウェア

ClickFixは2024年に初めて確認され、以来数十ものバリエーションへと進化を遂げてきました。「自分のPCに何かをコピー＆ペーストするなんてあり得ない」と思う人は多いでしょうし、その感覚自体は正しいのです。しかし、多くの詐欺と同じように、ターゲットは必ずしも警戒心の強い人ではありません。コンピューターに不慣れな脆弱な層を思い浮かべれば、なぜこれが大きな問題になるのかが見えてくるはずです。

典型的な攻撃の流れは以下の通りです。

1. 正規のCAPTCHA、ブラウザ更新、システム修復プロンプトに見えるWebページにアクセスする。ページは「問題が発生しました」と主張し、実行ダイアログやPowerShellウィンドウに短いコマンドを貼り付けて「修復」するよう促します。
2. ユーザーが気づかないうちに、攻撃者はJavaScriptを使って追加のマルウェアをダウンロードする隠れた命令を含む悪意あるコードをクリップボードへ送り込みます。
3. 被害者は実行ダイアログを開き、Ctrl＋Vで貼り付け、Enterを押すよう指示されます。これにより悪意あるコマンドが実行され、さらなるマルウェアがダウンロードされるのです。

一度コマンドが実行されてしまえば、何が起こってもおかしくありません。情報窃取型マルウェア（インフォスティーラー）、ランサムウェア、リモートアクセス型トロイの木馬など、あらゆる種類のマルウェアが直接マシンへ送り込まれる可能性があります。

当然ながら、ClickFix攻撃の大半はWindowsユーザーを標的としています。世界的なマルウェアの大多数がWindows向けであるのと同じ理由です。しかしmacOSユーザーが安全というわけではありません。EmsisoftやFortinetといったセキュリティ企業は、macOSを標的としたClickFix攻撃を確認しており、Macがマルウェアに対して免疫を持つわけではないことを強調しています。

ClickFix攻撃はどのように始まるのか

攻撃の入り口となる経路

ほとんどのマルウェアと同様に、ClickFix攻撃は通常、フィッシングメールや侵害されたWebサイトから始まります。研究者たちは、GitHub、Booking.com、さらにはCloudflareの認証ページになりすましたキャンペーンを追跡しています。偽ページは主に以下の手段で配信されます。

• 「認証の修正」や「アカウント検証」ページへのリンクを含むフィッシングメール
• 広告ネットワーク経由で配信されるマルバタイジング（悪意ある広告）や偽ブラウザ更新通知
• ハッキングされた正規サイトからのリダイレクト
• 偽の「パッチ」手順を拡散するソーシャルメディア上のリンク

こうした経路でマルウェアがダウンロードされると、被害者は「ウイルスを除去する方法」の説明を受けます。しかし、その手順に従うことで実際にはさらなるマルウェアがダウンロードされ、元の感染よりもはるかに危険な状態へと陥っていくのです。

重要なのは、ClickFixは厳密にはマルウェアの一種ではなく「配布手法」だという点です。だからこそ社会工学攻撃と分類され、被害者に危険な行動を取らせることで成立します。そして、それゆえに非常に効果的なのです。コマンドを実行しているのは被害者自身であるため、Windowsの組み込み保護機能の大半を回避できてしまいます。ユーザーが自らマルウェアのダウンロードを要求・実行している形になるからです。

FileFix——エクスプローラーを悪用する新手法

さらに、ClickFixの新しい亜種として「FileFix」が登場しています。

2025年6月にセキュリティ研究者mr.d0xによって初めて公開されたこの攻撃は、Windowsのファイルエクスプローラーを利用して、同じように悪意あるコマンドを実行させ、マルウェアをダウンロードさせます。

実行ダイアログやPowerShellを開く代わりに、攻撃は被害者にファイルエクスプローラーを開くよう誘導します。そこで、悪意あるスクリプトをエクスプローラーのアドレスバーに貼り付けてEnterを押せば、コマンドが実行されてしまうのです。

その後の結果はClickFixと同様です。さらなるマルウェアがダウンロードされ、マシンへの感染が深まります。

ClickFixはすぐになくならない

数字が示す脅威の実態

ClickFixの問題は、単に巧妙だということだけではありません。最も急速に成長している脅威の一つであり、減速の兆候が一切見られない点にあります。ESETの2025年上半期脅威レポートによれば、ClickFix攻撃はわずか1年間で驚異の500％増加しました。

ESETのシニア検出エンジニアであるDušan Lacika氏は、この新たな社会工学手法の有効性について次のように語っています。「この手法が効果的なのは、被害者が指示に従えるほど単純であり、作り話の問題を解決できるように見えるほど信憑性があり、さらにデバイスに貼り付けて実行するよう求められた正確なコマンドを、被害者があまり注意深く確認しないという可能性を突いているからです」。

同様に、Microsoftのレポートでは、悪意あるコードを実行してしまった事例が数万件確認されたとしています。

残念ながら、ClickFixには繰り返し使われる攻撃の特徴がすべて揃っています。攻撃者が大きな成功を収めている以上、うまくいっている手口を変える理由がないからです。この攻撃が主流となった背景には、以下のような要因があります。

• 直接ダウンロードが発生しないため、ブラウザの保護機能をバイパスできる
• システムの脆弱性ではなく人間の信頼に依存するため、パッチだけでは対処できない
• 無限に再利用可能——どんなグループでも数分で独自バージョンを作成できる
• 洗練された偽ページやブランドロゴのおかげで本物そっくりに見える
• 既存のフィッシングインフラを通じて安価かつ簡単に展開できる

マルウェア配布の手法としては、これ以上ない組み合わせと言えるでしょう。

ClickFix攻撃を防ぐための対策

不明なコマンドは絶対に貼り付けない

ClickFix攻撃を見抜くのは難しそうに思えますが、不可能ではありません。以下の対策を徹底することで、被害を未然に防ぐことができます。

1. フィッシングメールの典型的な特徴を見分けられるようにしましょう。フィッシングメールはClickFix攻撃の主要な入口の一つです。
2. 不明なコマンドを実行ダイアログ、PowerShell、ファイルエクスプローラーに貼り付けないこと。正当なWebサイトがそんなことを要求することは決してありません。
3. 予期しない「修復」や「認証」ページは疑ってかかりましょう。違和感を覚えたらタブを閉じ、サービスには公式サイトから直接アクセスしてください。
4. ブラウザとOSのセキュリティ機能を有効に保ちましょう。Windows SmartScreen、Defender、ChromeのSafe Browsingは、最終的なペイロードをブロックできる場合があります。Malwarebytes Premiumなどのサードパーティ製セキュリティツールの導入も有効です。
5. PowerShellの動作を監視できるリアルタイム保護と最新のウイルス対策ソフトを使用しましょう。
6. 短縮URLやメール添付ファイルには注意が必要です。多くのClickFixキャンペーンは短縮リダイレクトチェーンから始まります。
7. すでにコマンドを貼り付けて実行してしまった場合は、直ちにインターネット接続を切断し、フルのマルウェアスキャンを実行してください。マシンだけでなく、認証情報もすでに漏洩している可能性があります。

フィッシングメールの見分け方を学び、リスク回避志向のセキュリティ意識を身につけることが、安全を守る最良の方法です。そうすれば、ClickFix攻撃は始まる前に対策できるのです。