エラー解消のつもりが自ら攻撃を実行する「ClickFix」が108％増 日本の割合が最多14％：セキュリティニュースアラート

偽のエラー表示を見せ、利用者自身に不正な命令を実行させる「ClickFix」の検知が半年で108％増えた。日本の割合は14％で最も高い。攻撃の足場は生成AIの画面やブラウザ拡張機能、Microsoftアカウントのサインインへと広がっている。

[ITmedia]

　セキュリティ企業のESETは2026年7月8日（現地時間）、2025年12月から2026年5月までの脅威動向をまとめた「ESET Threat Report H1 2026」を公表した。偽の不具合を示し、その解決手順を装って利用者自身に悪意ある命令を実行させるソーシャルエンジニアリング手法「ClickFix」の拡大を取り上げている。ESETのテレメトリー（製品が収集した検知データ）では、ClickFix攻撃を捉える検知名「HTML/FakeCaptcha」の検知数が2025年下半期から2026年上半期に108％増加した。検知水準は2025年上半期の急増時より低いものの、攻撃者は誘導手段を変えながら侵害経路に組み込み続けている。

焦りと信頼を突くClickFix、3つの新手口

　ClickFixは、利用者が画面の停止やダウンロード失敗、アプリのエラーなどを早く直したい心理を突く。偽の問題を提示し、即効性のある修復方法に見せかけて、PowerShellコマンドやスクリプト、実行ファイルを起動させる構造だ。2025年上半期には偽CAPTCHAや単純なエラー表示が中心だったが、その後は認可トークンを盗む複雑な確認手順へ発展した。2026年上半期には、macOS用ユーティリティーの導入を装う命令、改ざんされたWordPressサイト上の管理者用警告、偽のブルースクリーン、停止した文書閲覧画面、個別サービスを模したエラー表示などへ範囲が広がった。

　報告書は、HTML、FakeCaptchaの数値だけでは攻撃全体を捉えきれないと説明する。攻撃は、コピーされたPowerShell命令、スクリプト、実行ファイル、悪意ある中間ファイル、最終ペイロードなど複数段階で構成され、各段階は別の検知名でも捕捉されるためだ。2026年上半期の検知割合は日本が14％と最も高かった。スロバキアが7％、フランス、スペイン、ペルーが各5％超だった。

　AI関連の誘導手法は「AI-fix」と呼ばれる。攻撃者は、生成AI「Claude」を開発するAnthropicの「Artifacts」やOpenAIの「Canvas」、Microsoftの「Copilot Pages」など、正規ドメインで公開されるページを悪用し、そこに実在しない不具合の解決手順を掲載する。利用者にはAIが生成した案のように見えるが、実態は従来型ClickFixの実行手順を外観とブランド表示で覆ったものだ。生成AIへの関心と信頼を利用し、正規サービスに見えるページから命令実行へ誘導する点が特徴となる。

　ブラウザ拡張機能を使う「CrashFix」も確認された。悪意あるブラウザ拡張機能「NexShield - Smart Ad Blocker」は、正規の「uBlock Origin Lite」を模倣し、フィッシングや不正広告からChromeWebストアの掲載ページへ誘導された。好意的なレビューが正当性を補強していた。導入後は、利用者が拡張機能との関連に気付きにくいよう60分待ってからエラーを表示し、スキャンを促す。スキャン結果では閲覧データが危険にさらされているとの偽警告を出し、画面の修復手順に従わせる。ブラウザを再起動しても異常終了を示す警告が再び現れ、拡張機能を削除するまで同じ誘導が続く。

　企業のクラウド利用を狙う「ConsentFix」は、ClickFix型の誘導とOAuth認可コード窃取を組み合わせる。被害者は、フィッシングや検索結果から侵害済みの正規サイトへ誘導され、偽CAPTCHAやCloudflare Turnstile風の確認画面を示される。確認作業の一部として、OAuth認可コードを含むURLを手作業でコピーし、フィッシングページへ貼り付けるよう求められる。攻撃者はURL内のトークンを取得し、Microsoftアカウントへアクセスする。

　ブラウザに有効なMicrosoftセッションが残っている場合、パスワード入力や多要素認証の通知なしで侵害が成立する場合がある。処理がブラウザ内で進み、正規のMicrosoft基盤が使われる点も見破りにくさにつながる。ConsentFixは、認証情報そのものではなくトークンを狙い、正規のログイン画面や日常的なサインイン操作を攻撃に利用する手法を示す。

　ESETは、ClickFix系の攻撃が、AIサービス、広告遮断拡張、日常的なMicrosoftサインインなど、利用者が信頼しやすい対象と動作を足場にしていると整理した。初期侵害において、人の焦り、安心感、データ喪失への恐怖を利用する手法が中心であり、同じ基本構造を保ったまま、対象となる技術や業務環境が広がっている。