無料見積サイバー保険の⼀括⾒積⽐較はこちらから
画像：マイクロソフトより引用
マイクロソフトは2025年8月21日、クリックだけでマルウェア感染を許してしまう、新たなソーシャルエンジニアリング攻撃「ClickFix」について警告や対策を発表しました。
ClickFixとは、ユーザーに「問題修復」や「本人確認」といった無害に見える指示を与え、実際にはWindowsの「ファイル名を指定して実行」やPowerShellにコマンドをコピー＆ペーストさせる攻撃手法です。利用者自身に悪意あるコマンドを実行させることでマルウェア感染につなげる手口のひとつで、操作の過程で情報窃取型のLumma Stealerやリモートアクセスツール、ルートキットなど多様なマルウェアを、ユーザー自らの手でインストールさせます。感染行為がユーザー自身によって行われることもあり、従来の自動検知をすり抜けやすい点から深刻な脅威とされています。
ClickFixは主にフィッシングメール、偽広告（マルバタイジング）、あるいは改ざんされた正規サイトから誘導されます。過去には税務当局やクラウドサービスを装った偽ページ、無料映画配信サイトの再生ボタンを押した際のリダイレクトなどが確認され、国や業種を問わず急速に攻撃が拡大しています。攻撃者はGoogleのreCAPTCHAやCloudflareの認証画面、Discordのログイン画面などを模倣するため識別が難しいだけでなく、コマンドを自動的にクリップボードにコピーさせる仕組みを取り入れ、ユーザーに「手軽な解決策」を提供する点も特徴です。
例えば、無料映画サイトにアクセスし「再生」ボタンを押すと、「あなたが人間であることを確認」というような表示がポップアップ。指示に従い「I am not a robot」にチェックすると「確認用の操作画面」に遷移し、PowerShellなどを介した不正が行われるなどです。
マイクロソフトはClickFixへの対応策として、利用者への教育強化とシステム構成の制限を重要な対策として挙げています。具体的には、Runダイアログの利用制限、PowerShellの実行ポリシー設定、ネットワーク保護の有効化などを推奨。また、Microsoft Defender XDRやDefender for Office 365によるフィッシング防御、SmartScreenによる不審サイトの検知も有効とされ、こうした多層的な防御が被害を未然に防ぐ鍵になると強調しています。
参照Think before you Click(Fix): Analyzing the ClickFix social engineering technique｜マイクロソフト
