ClickFix

ClickFixは、偽の認証画面やエラー画面を使い、利用者自身の手で不正なコマンドを実行させるソーシャルエンジニアリング攻撃の通称です。2024年頃から世界的に報告が急増し、MicrosoftやESETといったセキュリティ企業、警察庁などが相次いで注意喚起を行っています。

典型的な手口では、改ざんされたWebサイトや不正な広告から誘導されたページに、「私はロボットではありません」という偽のCAPTCHAや、偽のエラー修復手順が表示されます。ボタンを押すと不正なコマンドがクリップボードへ自動的にコピーされ、「Windowsキー+R→Ctrl+V→Enter」のような操作手順が案内されます。指示どおりに操作すると、PowerShellなどを通じてマルウェアがダウンロード・実行されてしまう仕組みです。

利用者自身の手で実行させるため、ファイルのダウンロード警告やセキュリティ製品の検知をすり抜けやすいとされる点が特徴です。感染するのは、保存済みパスワードやCookieなどを盗む情報窃取型マルウェア（インフォスティーラー）が多いと報告されており、Macのターミナルに貼り付けさせる亜種も確認されています。

本物のCAPTCHAが、キーボード操作やコマンドの貼り付けを求めることはありません。こうした指示が出たら、その時点で操作を中止してください。万一実行してしまった場合は、パスワードの変更やセキュリティソフトでのスキャンといった対応が一般的に案内されています。手口や偽装のパターンは変化し続けているため、最新の事例や対策は警察庁・IPAやセキュリティ企業の公式情報でご確認ください。