ゼロクリック攻撃（Zero-Click Attack）とは？ユーザー操作なしにデバイスを乗っ取る仕組みと企業の対策をわかりやすく解説

2026年10月23日

「リンクもファイルも開いていないのに、なぜデバイスが侵害されるのか」——そんな疑問を持ったことはないでしょうか。

セキュリティ教育で「怪しいリンクをクリックしない」と徹底しても防げない攻撃があります。それがゼロクリック攻撃です。この記事では、ゼロクリック攻撃の仕組みと、企業が取り組める実践的な防御策を現場目線で解説します。

ゼロクリック攻撃とは？

ゼロクリック攻撃（Zero-Click Attack）とは、標的のユーザーがリンクを踏む・ファイルを開く・何かを承認するといった操作を一切しなくても、攻撃者がデバイスを侵害できる攻撃手法です。

一般的なサイバー攻撃の多くは、「悪意のあるメールのリンクを踏む」「偽サイトにログイン情報を入力する」といった被害者の何らかの操作を前提としています。ゼロクリック攻撃はこの前提を覆します。悪意のあるデータを受信するだけで、デバイスが制御を奪われる可能性があります。

・なぜ危険なのか: ユーザー教育（「怪しいリンクを踏まない」）では防げない
・発火のきっかけ: メッセージ受信・プッシュ通知の着信・特殊なパケットの受信など、ユーザーの意志に関係なく発生する処理
・対象デバイス: スマートフォン・タブレット・PC・IoTデバイスなど「データを自動処理するすべての機器」

ゼロクリック攻撃は、高度な持続的脅威（APT）や政府機関向けの商業スパイウェアに使われることが多く報告されています。しかし攻撃技術は時間とともに広まるため、一般企業も無関係ではありません。

ゼロクリック攻撃の仕組み（敵を知る）

1. 脆弱性の所在

ゼロクリック攻撃が成立するためには、標的のデバイス上に「データを受け取って自動処理するソフトウェア」の脆弱性が必要です。攻撃者が狙うのは次のようなコンポーネントです。

・メッセージアプリの画像・動画・音声処理ライブラリ: 特定の形式のファイルを受信しただけでメモリ破壊が起きる欠陥
・メールクライアントのプレビュー機能: 開かずにプレビューを生成する処理で脆弱性が発火するケース
・プッシュ通知の処理: 通知の内容を解析するときにバッファオーバーフローが起きる
・Wi-Fi・Bluetoothの接続処理: ネットワーク越しに特殊なパケットを送るだけで侵害できるケース（ネットワーク近接型）

これらの脆弱性は、リモートコード実行（RCE）を引き起こすことが多く、攻撃者はデバイス上で任意のコードを実行できる状態に至ります。

2. 攻撃の一般的な流れ

1. 攻撃者が標的のデバイスへ「特細工されたデータ」を送信する（メッセージ・メール・パケット等）
2. デバイスのソフトウェアがデータを自動的に解析する
3. 解析処理の中で脆弱性が発火し、攻撃者のコードが実行される
4. 攻撃者は通話の盗聴・カメラの遠隔起動・ファイルへのアクセスなどの制御を得る
5. 侵入後はバックドアを設置し、継続的にデバイスを監視する

この一連の流れにおいて、標的はデバイスが手元にあるだけで何も操作する必要がありません。

3. 実際に報告されている攻撃の種類

ゼロクリック攻撃は長年にわたって研究・報告されており、以下のような事例が各セキュリティ研究機関から公表されています。いずれも修正済みまたは詳細が公開済みの内容です。

・Pegasusスパイウェア（NSO Group）: メッセージアプリの脆弱性を悪用し、スマートフォンを完全制御する商業スパイウェア。Citizen Lab・Amnesty Internationalなどの研究機関が調査・公表した
・WhatsAppの脆弱性（2019年公表）: VoIP通話処理のバグを突き、着信しただけで不正コードが実行されるという脆弱性がWhatsAppから報告された。同社は修正済みパッチを提供している
・iMessageの脆弱性（FORCEDENTRYほか）: Appleは複数回にわたりiMessageの画像処理に関するゼロクリック脆弱性のセキュリティアップデートを公開している

これらの事例は修正・公表済みですが、同種の脆弱性が今後も発見され続けることは、セキュリティ研究者の間で広く認識されています。

企業として取れる具体的な防御手順

ゼロクリック攻撃は「ユーザー操作がなくても発火する」ため、技術的な対策の比重が高くなります。

1. OSとアプリのタイムリーなアップデート

ゼロクリック攻撃は既知の脆弱性を突くケースが多く、修正パッチを迅速に適用することが最も確実な対策です。

・スマートフォンのOSを常に最新の状態に保つ
・メッセージアプリ・メールクライアントのアップデートを自動化する
・「緊急セキュリティ対応アップデート」は特に優先して適用する

企業での脆弱性管理の仕組みを整備し、パッチ適用の遅延をなくすことが基本です。

2. 攻撃対象領域の最小化

デバイス上で動作するソフトウェアが少ないほど、ゼロクリック攻撃が悪用できる脆弱性の数も減ります。

・使用していないメッセージアプリ・ビデオ会議ツールはアンインストールする
・Wi-Fi・Bluetooth・NFCは使用しないときはオフにする
・iOSでは「不明な送信者からのメッセージフィルタリング」機能を有効化する
・各アプリの「リンクプレビュー」や「メディア自動ダウンロード」機能の設定を確認し、不要な自動処理を止める

3. 高リスク端末のセキュリティ強化

経営幹部・法務・IR・経理担当者など、機密情報にアクセスする人物のデバイスは特別に管理します。

・iOSの「ロックダウンモード」（Lockdown Mode）を活用する。Appleが2022年に導入したこの機能はiMessageの一部機能を意図的に制限し、スパイウェアの侵入経路を狭める
・Androidでは「Advanced Protection Program」をGoogleアカウントに適用する
・MDM（モバイルデバイス管理）でデバイスの設定を一元管理し、業務用と個人用のデバイスを分離する

スマートフォン・タブレットのセキュリティ管理については、別記事でMDM導入手順を詳しく解説しています。

4. ネットワーク監視とEDRの活用

ゼロクリック攻撃が成功した後は、侵害されたデバイスがC2（コマンドアンドコントロール）サーバーと通信を試みます。この段階で検知できれば被害を最小化できます。

・エンドポイント検知・対応（EDR）ツールを導入し、端末上の不審なプロセス・通信を監視する
・ネットワーク出口でDNSフィルタリングやエグレスフィルタリングを設定し、C2通信をブロックする
・モバイルデバイスのトラフィックも可視化できるよう、MDMとネットワーク監視を連携させる

スパイウェアの検知と対策は、ゼロクリック攻撃後の侵害対応と密接に関係します。

中小企業でも今日からできること

高度な攻撃であるゼロクリック攻撃ですが、基礎的な対策は規模を問わず実施できます。

・全社員のスマートフォンOSを最新版に更新させる: 毎月または四半期ごとに「OS更新完了確認」をルール化する
・業務用と個人用のデバイスを分離する: BYODで業務メールを受信する端末はMDMに登録し、セキュリティポリシーを適用する
・幹部・経理・法務のデバイスを優先的に管理する: 標的になりやすい役職のデバイスへの最新OS・最低限のアプリ構成を徹底する
・Wi-Fiを使わないときはオフにする習慣を持つ: 出張・展示会・公共交通機関での野良Wi-Fi自動接続を防ぐ

よくある誤解と注意点

【誤解1】「うちの会社は標的にならない」

ゼロクリック攻撃は政府機関やジャーナリストを狙う印象がありますが、サプライチェーン攻撃の入口として下請け・中小企業が踏み台にされるケースも研究機関から指摘されています。規模を問わず、基礎的な対策は必要です。

【誤解2】「iPhoneはAndroidより安全だから大丈夫」

どちらのプラットフォームでもゼロクリック脆弱性は発見・公表されています。「安全なプラットフォーム」と「定期的にアップデートされたプラットフォーム」では、後者の方が実際のリスクは低くなります。プラットフォームの選択より、アップデートの徹底の方が重要です。

【誤解3】「VPNを使えば防げる」

VPNは通信の暗号化には有効ですが、ゼロクリック攻撃はデバイス上のソフトウェアの脆弱性を突くためVPNでは防げません。ネットワーク層での対策と、デバイス上のパッチ管理は別の問題として対処する必要があります。

【注意】感染が疑われる場合の対処

高度なスパイウェアはデバイスの深い領域に侵入します。感染が疑われる場合は、デバイスをネットワークから切り離した上で、専門のインシデント対応業者に相談することを推奨します。自分で除去しようとすると証跡を消してしまう可能性があります。（法律に関わる対応については法律の専門家にご確認ください。）

本記事のまとめ

項目	内容
定義	ユーザーが何も操作しなくてもデバイスを侵害できる攻撃手法
仕組み	メッセージ受信・通知処理など「自動解析」のソフトウェア脆弱性を悪用
主な標的	メッセージアプリ・メールクライアント・Wi-Fi/Bluetooth処理
最重要対策	OSとアプリの迅速なアップデート
高リスク者の追加対策	iOSロックダウンモード・MDM管理・使用アプリ最小化
企業レベルの対策	EDR・DNSフィルタリング・エグレスフィルタリング