ClickFix

security beginner

エラー解消や本人確認を装い、利用者自身に不正なコマンドを実行させる攻撃手口。

概要（サマリー）

ClickFix（クリックフィックス）とは、エラー解消や本人確認を装い、利用者自身に不正なコマンドを実行させる攻撃手口である。
「故障を直す手順です」と言いながら、利用者に家の鍵を開けさせるようなものだ。
画面の指示どおりに操作すると、マルウェアの実行につながる場合がある。

攻撃者は、動画が見られない、文書が開けない、認証が終わらないといった状況を演出する。
その解決方法として、コマンドを実行する手順を案内する。

利用者は攻撃への協力ではなく、不具合の解消をしているつもりになる。
この思い込みを利用し、本来なら不審に感じる操作へ誘導するのが特徴だ。
人をだまして操作させるソーシャルエンジニアリングの一種である。

きっかけとなる画面自体が偽物で、実際には故障がない場合もある。
表示された警告だけで、自分の端末に問題があると決めつけないことが大切だ。

CAPTCHAは、人による操作かどうかを確認するための仕組みである。
reCAPTCHAなどの見慣れた表示を装い、利用者を安心させようとする場合がある。

たとえば「人間であることを確認するために、実行画面を開いて貼り付けて」と案内する。
通常のWeb上の確認作業から、端末への命令実行へ飛び越えている点に注意したい。

ロゴやチェックボックスが似ていても、正規の仕組みとは限らない。
ブラウザの外でコマンドを実行するよう求められたら、操作を止めて確認する。

攻撃では、命令の文字列をクリップボードへコピーさせる場合がある。
「人間です」の確認ボタンを押しただけで、中身を選んでいなくてもコピーされることがある。
次に、その内容を実行用の画面へ貼り付けるよう誘導する。

Windowsでは「ファイル名を指定して実行」へ貼り付けさせる例が多い。
Macなどではターミナルが使われる場合もある。
同じ系統で、エクスプローラーのアドレス欄へ貼り付けさせる手口は、FileFixと呼ばれる。
開く画面の名前が違っても、確認のために命令の実行を求める点は同じだ。

貼り付け先が命令を実行する画面なら、文字列が端末を操作する命令になる。
メモ帳へ文章を貼るのと、命令を実行する画面へ貼るのとでは意味が異なる。

WindowsではPowerShellなどが悪用される場合がある。
ただし、これらの道具自体が不正なのではなく、実行させられる内容が問題なのだ。

利用者が自分で実行すると、その利用者に許された範囲で処理が進む場合がある。
その結果、外部から不正なプログラムを取得するなどの動作につながる。

感染させられるものには、パスワードやログイン情報を盗むインフォスティーラーなどがある。
管理者の確認画面が出ないから安全、という判断もできない。

端末にある情報の一部は、通常の利用者権限でも読める。
権限を抑える対策は重要だが、利用者として実行する命令にも確認が必要である。

開発や管理の作業では、公式の説明に沿ってコマンドを実行する場合もある。
コマンドが登場しただけで攻撃と断定することはできない。

確認したいのは、操作の目的、案内の出所、実行される内容が一致しているかだ。
動画を見るだけなのに端末の実行画面を開くなど、目的に合わない要求は立ち止まる理由になる。

画面内のリンクだけに頼らず、自分で公式サイトや既知のサポート窓口を開いて確認する。
意味がわからない長い命令を、「確認のため」という説明だけで実行しない。

不審な操作を実行した場合は、追加の手順を進めず、発生時刻や表示内容を記録する。
組織の端末なら担当者へ速やかに連絡し、隔離や調査の案内に従う。

個人の端末でも、ネットワークから切り離し、信頼できる窓口に相談する。
画面を閉じただけで、すでに始まった処理まで止まったとは限らない。

認証情報が盗まれた可能性がある場合は、信頼できる別の端末から対応する。
端末の調査に加え、アカウントやログイン状態の確認も必要になる。

AIを使った開発では、コマンドをコピーして実行する機会が増える。
普段の作業に似ているため、偽の修正手順にも違和感を持ちにくくなる点に注意したい。

AIには「このコマンドを実行せずに説明し、通信先とファイルの変更、必要な権限を整理して」と依頼できる。
確認に使う際は秘密情報を伏せ、AIの説明と公式の手順を照合する。説明を読んだだけで安全が保証されるわけではない。

自分で操作するよう、攻撃者に誘導される場合がある。
誰が実行したかだけでなく、何を実行したかを確認する必要がある。

ロゴやデザインは模倣できる。
端末で命令を実行させる要求が、目的に合っているかを確認する。

すでに別の処理が始まっていれば、ページを閉じても動き続ける場合がある。
実行した疑いがある場合は、調査と必要な対処を進める。