クリックフィックス、なめたらあかん！：辻伸弘の「投げます。一石、」（4）（1/3 ページ）

嘘のCAPTCHA画面をきっかけとし、通常と思われる指示を出して、ユーザー自らがマルウェアをインストールするように仕向けるなどの、「クリックフィックス」と呼ばれる攻撃が増えている。「こんな単純な手法に引っかかることはない」とたかをくくっている人はいないだろうか。実は、これは組織に重大な被害をもたらす非常に狡猾な手法だ。事例を織り交ぜて、クリックフィックスの怖さを解説する。

[辻伸弘，ソフトバンク株式会社]

　「クリックフィックス（ClickFix）のこと、なめていませんか」。今回私が一石を投じて、皆さんとともに考えたいのはこの一言に尽きる。「クリックフィックス」と聞くと、「偽りのCAPTCHA（キャプチャ）画面をクリックさせてマルウェアに感染させるだけの単純な手口」と過小評価している人が多いのではないだろうか。しかし、それでは足りないのである。

　2025年以降、世界中で急増している人間をだまして操作させる「ソーシャルエンジニアリング」手法の一つである。脆弱性を悪用するわけでもなく、高度なマルウェアでもない。攻撃者が悪用しているのは、人間の「いつもの操作」である。念のために言っておくと、世界最大級のサブスク型動画配信サービスではない。「クリックフリックス」ではなく、「クリックフィックス」である。

　ユーザーをだますための誘い方はCAPTCHAにとどまらない。偽りのエラー画面やブルースクリーン、ソフトウェアやドライバの更新要求などを通じ、あたかも正しいアクションを要求しているように見せかけて、ユーザーが知らずに自らマルウェアを実行するように仕向ける手口は無数に存在する。そして、その先で起きることも、攻撃者は決して限定していないのである。

　脅威の見積もりを間違えないためにも、これから紹介する事例を通じて、クリックフィックスの本当の恐ろしさを一緒に見ていこう。

クリックフィックスの本質

　クリックフィックスは、「偽りの画面や警告メッセージでユーザーをだまし、指示通りにPCを操作させることで、自ら意図せずにマルウェアを実行させる手法」と表現される。

　Webサイトを見ていると、急に画面上に「ロボットではないことを証明せよ」といった、偽りのCAPTCHA画面が表示される。そこでは、もっともらしく書かれた指示として「Windowsキー＋Rを押せ」、「Ctrl＋Vを押せ」、「Enterを押せ」と順に表示される。

　これが、典型的なクリックフィックスの感染までの流れだ。

　現在では「ファイルフィックス」や「ターミナルフィックス」のように「〜フィックス」と呼ばれるバリエーションが多数登場している。単に「Windowsキー＋R」のショートカットを禁止するなどの小手先の対策では、エクスプローラーを利用するファイルフィックスを防ぐことはできず、完全な対策にはならない。これでは本質を捉えているとは言えない。

偽りのCAPTCHA画面を使ったクリックフィックスの例

　感染経路を考えてみよう。クリックフィックスでは正規のサイトを改ざんしてリダイレクトするという、「サポート詐欺」と同様の経路が使われるが、決してそれだけではない。最近では「Microsoft Teams」や「Discord」をはじめとするチャットサービスなど、ユーザーにリーチできるサービスも経路として活用されている。偽りのCAPTCHA画面だけでなく、ブルースクリーンやブラウザ更新、Webカメラドライバのアップデート、セキュリティ更新など、提示される手順もバラエティに富んでいる。単に1種類の経路だけを警戒していても突破されてしまう。応用が利く攻撃手法であることが、対策を難しくしている。

　この手法は、本質的にはかつて猛威をふるい、今まで多くの人が散々大変な思いをしてきた電子メールを用いた攻撃と似ていると感じないだろうか？　ソーシャルエンジニアリングと呼ばれる手法を用いて、ユーザーを欺く――。ユーザーをだますための誘い方はCAPTCHAにとどまらない。ユーザーにアクションを起こさせる手口は無数にある。その先の行動も無数にある。

　経路と攻撃目的の関係をミサイルに例えると、ターゲットに配送する手法／経路は「推進部」、目的は「弾頭部分」と表現できる。クリックフィックスというのはあくまで目的を達成するための配送手法・経路であり、目的を達成するための弾頭は必ずしもマルウェアとは限らないのである。後ほど紹介するが、ランサムウェアを展開するための「内部への初期侵入口をこじ開ける場所」として悪用されるケースも増えている。

ミサイルの飛ばす部分、弾頭の組み合わせは無数

一筋縄ではいかない“狡猾な”攻撃手法