近年、新たなサイバー攻撃手法として「クリックフィックス（ClickFix）詐欺」が急増しています。これは、偽の画面やエラーメッセージを利用してユーザーに操作を促し、自らマルウェアを実行させてしまう巧妙な手口です。本記事では、その仕組みや被害事例、そして有効な対策を分かりやすく解説します。
ClickFix詐欺の概要
-
ソーシャルエンジニアリング攻撃の一種
-
2024年頃から国内外で報告が増加
-
個人ユーザーだけでなく企業や組織も標的
攻撃者は「Cloudflareの認証画面」「CAPTCHAチェック」「システム修復の案内」など、普段目にする正規の画面を装ってユーザーをだまします。
仕組みと手口
-
偽画面に誘導
メール、SNS、検索結果、広告などを通じて不正サイトにアクセスさせる。 -
操作を指示
「Windows+Rでコマンド入力」「Ctrl+Vで貼り付けてEnter」など、ユーザーに手動で操作を行わせる。 -
マルウェア実行
実際には攻撃者の用意したスクリプトがクリップボードにコピーされており、それを実行してしまう。 -
被害発生
情報窃取型マルウェア（インフォスティーラー）に感染し、パスワードやクレジットカード情報が流出。
被害事例
-
セキュリティ機関による国内インシデントが複数確認
-
Windows環境を狙ったものが多いが、macOSやLinuxにも類似手法が出現
-
感染後は金融被害や情報漏洩につながるリスクが高い
なぜ騙されやすいのか
-
普段目にする認証画面を模倣 → 違和感が少ない
-
簡単な操作指示 → 「従うだけ」と思わせる心理トリック
-
ユーザー自身の操作による実行 → セキュリティソフトの検知をすり抜けやすい
対策方法
-
不審な画面を疑う習慣
URLや文言に違和感がないか確認する。 -
コマンド入力を求める操作は要注意
正規のCAPTCHAやエラー修復で「Windows+R」や「Ctrl+V」を要求することは通常ない。 -
セキュリティソフト・EDRを導入
常に最新の状態に保ち、不審な挙動を監視。 -
OS・ブラウザを最新に更新
脆弱性を悪用されにくくする。 -
教育と周知（組織向け）
社員に詐欺手口を共有し、相談ルートを整備する。
まとめ
クリックフィックス（ClickFix）詐欺は、ユーザー自身の操作を悪用する非常に巧妙な攻撃手法です。普段よく見る認証画面を装うため騙されやすく、個人・企業ともに警戒が必要です。少しでも違和感を覚えたら、その操作を中断し、信頼できるセキュリティ部門や専門家に確認することが大切です。