スケアウェアとは？偽の警告でユーザーを騙す詐欺ソフトの仕組みと対策をわかりやすく解説

社員から「パソコンに突然ウイルス警告が出た」と連絡が来たことはありませんか。パニックになった従業員が「修正してください」という画面の指示に従い、不審なソフトをインストールしたり、クレジットカード番号を入力してしまう――そういったインシデントが、日々どこかの会社で起きています。

原因のほとんどはスケアウェア（Scareware）と呼ばれる詐欺的なソフトウェアです。実際には感染していないのに、偽の警告で恐怖を煽り、ユーザーに意図しない行動を取らせることを目的とした手口です。

この記事では、スケアウェアの仕組みから見分け方・即時対処法・組織的な予防策まで、情シス担当者がすぐに使える情報に絞って解説します。

スケアウェアとは？偽の恐怖でユーザーを操る詐欺ソフト

スケアウェア（Scareware）は、”Scare（驚かせる・恐怖を与える）”と”Software（ソフトウェア）”を組み合わせた造語です。存在しない脅威や誇張されたリスクを提示してユーザーを恐怖・焦りの状態に追い込み、意図しない行動（クリック・ダウンロード・購入・個人情報入力）を引き起こすソフトウェアの総称です。

スケアウェアそのものは、直接的なデータ破壊やファイル暗号化を行わないことが多いですが、クリックや購入を誘導した先でマルウェアをインストールさせたり、金銭を詐取したりすることが目的です。

スケアウェアと他の脅威との違い

混同されやすい概念を整理します。

スケアウェアの本質は「心理的な脅迫」にあります。技術的な侵入能力ではなく、ユーザーの不安心理を利用するのが最大の特徴です。

スケアウェアの仕組み（攻撃者視点で理解する）

スケアウェアがどのように機能するかを攻撃の流れで理解することで、見抜く力が身につきます。

1. 偽の警告画面の表示

スケアウェアは主に以下のような画面をユーザーに見せます。

・偽のウイルス検出通知: 「○件の重大な脅威が検出されました。今すぐスキャンを実行してください」
・偽のシステム警告: 「あなたのPCは危険にさらされています。直ちに修復が必要です」
・偽のセキュリティソフト画面: 本物そっくりのUIで「ウイルスが見つかりました。完全版を購入して削除する」と促す
・ブラウザのポップアップ: 全画面表示や音声を使って「感染した」と騒ぐ偽アラート

これらは実際のOSやセキュリティソフトとは無関係です。ブラウザのJavaScriptやポップアップウィンドウ、あるいはインストールされた偽のセキュリティソフトが画面を表示しているに過ぎません。

2. 焦りを生む心理的演出

攻撃者は警告画面に複数の心理的圧力を加えます。

・カウントダウンタイマー: 「残り60秒で感染が拡大します」など時間的プレッシャーを与える
・権威の偽装: MicrosoftやApple、警察機関のロゴを無断使用して信頼性を演出する
・過大な被害予告: 「個人情報が今すぐ流出します」「HDDが破損します」などの誇張した表現
・音声警告: スピーカーから警告音やアナウンスを流し、周囲に気づかれるプレッシャーを高める

これらの演出は、ユーザーが冷静に考える機会を奪うために設計されています。

3. 誘導先での被害発生

ユーザーがパニックに陥った状態でクリックすると、以下のような被害につながります。

・偽のセキュリティソフトの購入: クレジットカード情報が詐取され、インストールしたソフトはマルウェアの入口になる
・技術サポート詐欺: 「今すぐサポートに電話を」と誘導し、電話口でリモート操作を許可させて機密情報を盗む
・マルウェアのインストール: 「修復ツール」と称したファイルをダウンロードさせ、実際にはRAT（遠隔操作型マルウェア）や情報窃取ツールをインストールする
・認証情報の詐取: 「アカウントを確認する」という偽ページに誘導してIDとパスワードを入力させる

スケアウェアの感染経路・表示パターン

1. 悪意ある広告（マルバタイジング）経由

正規のウェブサイトに掲載される広告が改ざんされ、閲覧するだけで偽の警告が表示されるケースがあります。これをマルバタイジング（Malvertising）と呼びます。大手ニュースサイトや動画プラットフォームの広告でも発生した事例があり、「信頼できるサイトだから安全」とは言い切れない点が厄介です。

2. 侵害されたウェブサイトへのアクセス

脆弱なウェブサイトに仕込まれたスクリプトが、アクセス時にポップアップを強制表示します。ドライブバイダウンロードと組み合わさることで、クリックしなくてもスクリプトが動作するケースもあります。

3. フリーソフトやプラグインにバンドル

無料ソフトウェアや怪しいブラウザ拡張機能に同梱されて配布されます。インストール時に細かい文字でスケアウェアへの同意が含まれているケースがあります。

4. 偽のメール・SMSから誘導

「あなたのアカウントが侵害されました」という偽のメールのリンクをクリックすると、偽の警告ページが表示されます。フィッシングメールとスケアウェアを組み合わせた複合的な手口です。

具体的な防御手順

1. スケアウェアの警告が出たときの即時対処

まず重要なのは、絶対に画面の指示に従わないことです。表示された警告が本物かどうかに関わらず、次の手順で対処します。

# Windowsの場合: ブラウザのタブを閉じる
Ctrl + W           # 現在のタブを閉じる
Alt + F4           # ウィンドウを強制終了
Ctrl + Shift + Esc # タスクマネージャーを起動してブラウザプロセスを終了

# macOSの場合
Command + W        # 現在のタブを閉じる
Command + Q        # アプリを終了
Command + Option + Esc # 強制終了ダイアログを開く

# ポップアップが閉じられない場合
# 画面上の「×」ボタンは偽物の可能性があるため押さない
# Alt + F4（Windows）または Command + Q（Mac）でブラウザ全体を終了する

・ポップアップの「×」ボタンを押さない: 偽の×ボタンがクリックイベントを拾ってDLが始まるケースがある
・表示された電話番号には電話しない: 技術サポート詐欺（テクサポ詐欺）につながる
・クレジットカード情報を入力しない: 購入を促されても絶対に入力しない

2. 警告が消えない場合の対処

ブラウザ操作で解決しない場合は、PCを強制再起動します。

# Windowsの場合
電源ボタン長押しで強制シャットダウン → 再起動後にブラウザを起動

# 「セッションを復元しますか？」が出たら「いいえ」を選択
# 直前のページに再アクセスしない

# 再起動後にウイルス対策ソフトのフルスキャンを実施
# Windows Defenderの場合:
# スタート → Windowsセキュリティ → ウイルスと脅威の防止
# → スキャンのオプション → フルスキャン

3. 不審なソフトをインストールした場合のインシデント対応

指示に従ってソフトをインストールしてしまった場合は、インシデント対応として扱います。

・ネットワークから切断: LANケーブルを抜くかWi-Fiをオフにして横展開を防ぐ
・情シスに即報: 自己対処せず速やかに担当者に連絡する
・インストールしたソフトのアンインストール: コントロールパネルや設定画面から削除
・パスワードの全変更: インストール後にパスワードを入力していた場合は全アカウントを変更
・ウイルス対策ソフトのフルスキャン: 残存するコンポーネントの検出・除去

中小企業でも今日からできること

1. 全従業員への認識教育（スケアウェアの見た目を共有する）

スケアウェアの最大の弱点は「見ただけで分かれば騙されない」という点です。情シス担当者が実際の偽画面のスクリーンショット（一般的なパターン）を使って社内周知するだけで、被害の多くを防げます。

周知すべき要点：
・正規OSはブラウザに向かってウイルス警告を出さない: Windows Defenderが突然ブラウザ上に全画面ポップアップを出す仕組みはない
・電話番号が書いてある警告は詐欺: 本物のセキュリティソフトはサポートへの電話を促さない
・購入を求める警告は詐欺: 正規の無料セキュリティツールが「完全版を購入」と求めることはない

2. ブラウザのポップアップ通知をデフォルト拒否に設定

多くのスケアウェアはブラウザのプッシュ通知機能を悪用します。デフォルトで通知を拒否する設定にしておくことで、表示されるリスクを減らせます。

# Chromeの場合（グループポリシーで全社一括適用も可能）
設定 → プライバシーとセキュリティ → サイトの設定 → 通知
→「サイトに通知の送信を許可しない」に変更

# Windowsのグループポリシーで一括設定:
# コンピューターの構成 → 管理用テンプレート → Google Chrome
# → 通知 → 通知許可の規定値を「2（ブロック）」に設定
# ※ 設定後は意図した通知（業務ツール等）のみ例外を追加する

3. 広告フィルタリングの業務利用検討

マルバタイジング経由のスケアウェアを防ぐ手段として、DNSベースの広告フィルタリング（Quad9などのセキュリティ重視DNSリゾルバーや、社内プロキシでのURLフィルタリング）の業務利用を検討する価値があります。ブラウザ拡張のブロッカーは個別端末での対応になるため、組織全体で防ぐにはDNSやプロキシ層での制御が効果的です。

4. 万一の際の報告フローを整備する

「変なものをインストールしてしまったかもしれない」という状況を、従業員が隠さず即報できる環境を作ることが最重要です。報告した従業員を責める文化があると、次に被害があっても隠蔽され、対応が遅れます。「気づいたときにすぐ言えばインシデントは小さくなる」という意識を組織に根付かせましょう。

よくある誤解と注意点

【誤解1】「警告が消えないのは本当に感染しているから」

スケアウェアのポップアップが消えない理由は、JavaScriptや特殊なウィンドウ操作で意図的に閉じにくくしているためです。消えないこと自体は感染の証拠ではありません。一般的には、ブラウザを強制終了するだけで解消します。

【誤解2】「Appleのロゴがあるから本物」

AppleをはじめMicrosoft、警察機関のロゴはHTMLと画像ファイルがあれば誰でも表示できます。公式の警告かどうかの判断に「ロゴの有無」は使えません。正規の警告はブラウザのポップアップではなく、OSの通知センターやセキュリティソフト本体のUIに表示されます。

【誤解3】「電話したら解決してもらえる」

技術サポート詐欺（テクサポ詐欺）につながる電話番号の場合、「解決のため」と称してリモートアクセスツールをインストールさせられ、パスワードや口座情報を盗まれるリスクがあります。スケアウェアが誘導する電話番号には絶対にかけないことを徹底してください。

【誤解4】「無料で削除できると言っている」

「無料スキャン」の後に「削除には有料版が必要」というパターンが一般的です。「無料で診断→有料で解決」の流れはスケアウェアの典型的なビジネスモデルです。特に、突然表示された警告から誘導されるツールには手を出さないことです。

本記事のまとめ

スケアウェアは技術的に高度な攻撃ではありません。しかし、「恐怖」という人間心理を突くため、ITリテラシーが高い人でも焦りの中で判断を誤ることがあります。知識と冷静さが最大の防御です。組織として「こういう手口がある」と事前に共有しておくだけで、被害の大半を防ぐことができます。