攻撃数5倍増

「コピペ」で終わる社内システム　PowerShellを悪用する“自爆攻撃”の手口とは

高価なセキュリティ製品を導入しても、防ぎ切るのが困難な攻撃がある。従業員が自ら攻撃者の指示通りにコマンドを実行してしまう「ClickFix」だ。この脅威の手口と、IT部門が講じるべき対抗策を解説する。

公開 2025年12月24日 18時00分

更新 2025年12月24日 21時58分

著者

Alex Scroxton

[TechTarget]

印刷する Googleで優先するソースとして追加

　「なぜ、セキュリティアラートが鳴らなかったのか？」――。インシデント発生後のフォレンジック調査で、IT部門が頭を抱える事態が増えている。ファイアウォールも、メールフィルタも、EDR（エンドポイントでの検知と対応）さえもすり抜け、従業員のPCがマルウェアに感染する。原因は、システムの脆弱（ぜいじゃく）性ではない。「従業員自身の手」だ。

　攻撃者が用意した偽のエラー画面やCAPTCHAの認証画面に従い、従業員が自発的に悪意あるコマンドをコピーし、PowerShellなどで実行してしまう――。そんな「ClickFix」と呼ばれる攻撃手法の利用が増加している。サイバーセキュリティコンサルティング企業NCC Groupの月次脅威レポート「Cyber Threat Intelligence Reports」によると、ClickFix（またはClearFake）の攻撃件数は2025年前半だけで前年比517％増を記録したという。

　これは対岸の火事ではない。従来のセキュリティツールは「自動で実行される脅威」をブロックするように設計されているためだ。

サンドボックスも無力化する“自発的操作”のわな

併せて読みたいお薦め記事

ClickFixの関連記事

　NCC Groupは「ClickFixは、従来の防御を回避できるようになっている」と警告する。メールフィルタやサンドボックスといった自動解析ツールは、ユーザーの「自発的な操作」という要素をシミュレーションしきれない場合があるためだ。

　具体的な手口はこうだ。攻撃者はまず、Webサイト上に「Chromeの更新が必要です」や「Wordの表示エラー」といった偽のアラートを表示する。解決策として「修正するにはここをクリック」と誘導し、クリックするとクリップボードに悪意あるPowerShellスクリプトがコピーされる。その後、ユーザーにターミナルを開かせ、「貼り付け」と「Enter」を押すよう指示する。

　ユーザーからすれば「PCの不具合を直そうとした」だけだが、実際には自分の手でマルウェアを招き入れていることになる。

　ClickFixを利用する攻撃者は、脆弱性悪用ツールによる「初期アクセス」を開拓する「初期アクセスブローカー」（Initial Access Broker：IAB）を利用する。それだけでなく、ClickFixなどで直接侵害したPCや端末の操作権限をランサムウェア集団に販売するエコシステムで活動している。

　NCC Groupのレポートは、ClickFixを使った作戦についても言及している。2025年4月から数カ月間発生した攻撃で標的となったのはホスピタリティ業界だった。従業員を標的として、複数のホテルチェーンに「インフォスティーラー」という情報窃盗に特化したマルウェアを拡散させた。その後、リモートアクセス型のトロイの木馬（RAT：Remote Access Trojan）を使用して、ホテル側が保有していたBooking.comにひも付く認証情報を盗み、ゲストに偽のメールやWhatsAppのメッセージを送信し、フィッシング攻撃を仕掛けた。

　別のキャンペーンでは、北朝鮮と関係を持つ「持続的標的型脅威」（APT：Advanced Persistent Threat）グループ「Kimsuky」が、米国家安全保障補佐官を装って攻撃を仕掛けた。南朝鮮問題に関する会合を設定しようとし、被害者に偽の認証コードをPowerShellにコピー、ペーストさせるよう促した。

ClickFixを防ぐには

　ClickFixの攻撃を防ぐには、フィッシングメール、マルバタイジング、偽のCAPTCHAや認証画面にユーザーがアクセスする機会自体を減らすことが重要になる。そこで、メールや広告経由で偽のWebサイトへ誘導する経路をさまざまなツールを活用してブロックする。エンドポイント上で不正なプログラムやコマンドが実行されるのを防ぐための設定の強化も必須だ。ユーザーに「一方的なコピーやペーストの指示はサイバー攻撃の試みとして扱う」という意識を持たせることが重要だ。

油断しないことが大切

　「ビジネスリーダーは油断できない」。NCC Groupのマット・ハル氏（グローバル脅威インテリジェンスグローバルヘッド）はこう述べる。「脅威グループは急速に進化しており、警戒が緩むイベントシーズンを悪用している」

　「休暇が近づく中、疑わしい活動への警戒とセキュリティ態勢の強化は、これまで以上に重要だ」（ハル氏）

印刷する

この記事の著者

Alex Scroxton

米TechTargetの電子週刊誌『Computer Weekly』でセキュリティ分野の記事編集を手掛ける。同社の電子月刊誌『MicroScope』で記者を務めた後、2014年5月からComputer Weeklyの編集に従事。2003年、サセックス大学（University of Sussex）で社会人類学の学士号を取得している。

「コピペ」で終わる社内システム　PowerShellを悪用する“自爆攻撃”の手口とは

サンドボックスも無力化する“自発的操作”のわな

併せて読みたいお薦め記事

ClickFixの関連記事

ClickFixを防ぐには

油断しないことが大切

この記事の著者

関連記事

新着ホワイトペーパー PR

瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓

「コピペ」で終わる社内システム PowerShellを悪用する“自爆攻撃”の手口とは

サンドボックスも無力化する“自発的操作”のわな

併せて読みたいお薦め記事

ClickFixの関連記事

ClickFixを防ぐには

油断しないことが大切

この記事の著者

関連記事

ClickFix攻撃が500％増 Mimecastが示す2025年の「人間中心型サイバー脅威」

インフォスティーラーの流行に「ClickFix」が影響？ その厄介な手口と対策とは

新着ホワイトペーパー PR

瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓

「コピペ」で終わる社内システム　PowerShellを悪用する“自爆攻撃”の手口とは

ClickFix攻撃が500％増　Mimecastが示す2025年の「人間中心型サイバー脅威」

インフォスティーラーの流行に「ClickFix」が影響？　その厄介な手口と対策とは