ClickFixとは？偽CAPTCHAの手口・見分け方と対処法

ClickFix（クリックフィックス）とは、偽のCAPTCHAやエラー画面で「認証」や「修正」を装い、利用者自身にコマンドを貼り付けて実行させる攻撃手口です。

ファイルを調べる従来型の対策だけでは見つけにくく、実行すると情報を盗むマルウェアなどを入れられるおそれがあります。

この記事では手口と見分け方、実行してしまった時の初動、企業でできる対策を図解します。

ClickFixとは何か

1-1. 偽の画面で、利用者自身にコマンドを実行させる手口

ClickFixは、Webサイトに表示した偽の画面で、利用者に「問題を直すため」「人間であることを確かめるため」と思わせ、PCのキー操作を指示する攻撃の手口です。

英語の「Fix（修正する）」のとおり、困っている利用者に「この手順で直せます」と思わせるのが手口の中心です。

この記事で紹介する手口は、特定の攻撃事例を分析したものではなく、一般的な流れを説明のために単純化したものです。

一般的な流れは、偽の確認画面のボタンを押すと、ページが裏で不正なコマンドをクリップボード（コピーした内容を一時的に置く場所）に入れるというものです。

そのうえで画面には「Windowsキー＋Rを押す」「Ctrl＋Vで貼り付ける」「Enterを押す」といった手順が表示され、利用者は自分の手でコマンドを実行してしまいます。

次の図は、偽の画面を見てから、マルウェアが入り込むまでの流れをまとめたものです。

偽の画面への入口は、改ざんされた正規のWebサイト、検索結果や広告、メールやチャットで送られたリンクなど、さまざまです。

人の心理を突いて操作をさせるという点で、ClickFixはソーシャルエンジニアリングの一種と考えられます。

ソーシャルエンジニアリング全体の考え方や事例は、次の記事で解説しています。

ソーシャルエンジニアリングとは？事例と対処法をわかりやすく解説！ ソーシャルエンジニアリングとは、単なる技術的攻撃ではなく、私たちの信頼と心理を操る巧妙な手法です。 身近に潜むこのリスクから自ら...

1-2. 実行すると何が起きるのか

貼り付けたコマンドは、一般に、Windowsに標準で入っているPowerShellなどのツールを使って、外部のサーバーから別のプログラムを取り込むために使われると考えられます。

その結果、情報を盗むマルウェアや、PCを遠隔操作するためのツールなどを入れられるおそれがあります。

マルウェアの種類や一般的な特徴は、マルウェアの記事で紹介しています。

PowerShellのような標準のツールは業務でも使われるため、それが動くこと自体をすぐに異常とは判断しにくい点が、守る側にとっての難しさです。

Microsoftの資料も、攻撃者がマルウェアでよく悪用する危険な動作として、ファイルをダウンロードするスクリプトの起動や、難読化（読みにくく変形すること）したスクリプトの実行を挙げています（参考1）。

さらに、利用者自身が実行しているため、メールの添付ファイルを開かせる手口などに比べて、ブラウザーやメールのチェックの仕組みで止まりにくいという特徴もあります。

一度実行すると、画面上は何も起きていないように見えても、裏で処理が進んでいる場合があるため、「何も起きなかったから大丈夫」とは言えません。

マルウェアは一般に、PCを再起動した後も動き続けるように設定されることがあり、気づかないうちに情報を送り続けるおそれもあります。

ClickFixの手口と、だまされやすい理由

2-1. よく使われる偽画面の種類

名前のとおり、ClickFixの偽の画面は「確認」や「修正」を装う形が一般的だと考えられます。

1. 偽のCAPTCHA：「私はロボットではありません」の確認を装い、追加の手順としてキー操作を求める
2. 偽のエラー表示：「ページを正しく表示できません」などと表示し、修正の手順として貼り付けを求める
3. 偽の更新の案内：ブラウザーの更新などを口実に、手順として実行を求める

どれも「問題を解決するために、あなたが操作してください」という形で、利用者に手を動かさせる点が共通しています。

入口になるリンクは、検索結果や広告、正規のサービスを装ったメール、改ざんされたWebサイトなどが考えられます。

メールや偽サイトを入口にする手口全般は、フィッシング詐欺の記事も参考にしてください。

画面の見た目やOSの種類にかかわらず、Webサイトがコマンドの貼り付けや実行を求めること自体を疑うのが安全です。

2-2. 貼り付ける中身が画面に見えず、すり抜けやすい

ClickFixがだまされやすい理由の1つは、貼り付ける中身が、ほとんどの場合、利用者の目に入らないことです。

ボタンを押した時点でコマンドはクリップボードに入っていますが、画面には操作の手順しか表示されません。

「ファイル名を指定して実行」の入力欄は1行で狭いため、貼り付けた後に長いコマンドの全体を確かめるのも難しくなります。

また、攻撃者がファイルを送り込むのではなく、Windowsの標準ツールを利用者に起動させるため、ファイルを調べる従来型の対策だけでは見つけにくくなります。

標準ツールを悪用し、ファイルを残しにくい攻撃の仕組みは、ファイルレスマルウェアの記事でくわしく解説しています。

さらにコマンドの中身が読みにくく変形されていれば、見ただけで安全かどうかを判断するのはいっそう難しくなります。

Microsoftの資料は、スクリプトの難読化はマルウェアの作者が人やセキュリティソフトによる確認を妨げるためにも使う、よくある手法だと説明しています（参考1）。

2-3. スケアウェアやフィッシングとの違い

偽の警告で利用者を動かすという点では、ClickFixはスケアウェアにも似ています。

スケアウェアの手口と安全な対処法は、次の記事で解説しています。

スケアウェアとは？偽警告の手口と安全に対処する方法を徹底解説！スケアウェアにだまされないための実践解説です。偽警告の見抜き方、ブラウザのポップアップと通知の遮断、感染時の安全な対処、カード情報流出時の手続き、バックアップと復旧、再発防止の設定までを丁寧に紹介します。スマホとPCの具体手順や企業向けチェックリストも備え、初心者でも今日から安全対策を進められます。...

違いは、利用者に「何をさせるか」です。

3つの手口を、利用者にさせることと、主な被害の面から表にまとめます。

手口	利用者にさせること	主な被害
ClickFix	キー操作でコマンドを貼り付けて実行する	マルウェアの感染、保存したパスワードやCookieの流出
スケアウェア	偽のソフトを購入する、入れる、サポートに電話する	金銭の被害、不要なソフトや遠隔操作ツールの導入
フィッシング	偽サイトにIDやパスワード、カード番号を入力する	アカウントの乗っ取り、カードの不正利用

ClickFixでは、ソフトを入れる画面やパスワードを入力する画面が出ないため、「何もインストールしていない」「何も入力していない」と思い込みやすい点に注意が必要です。

ClickFixの見分け方

3-1. 偽画面の危険なサイン

ClickFixを見分けるいちばん確かな方法は、画面の見た目ではなく「何を指示しているか」に注目することです。

次の図は、説明のために作った偽のCAPTCHA画面の例に、危険なサインを書き込んだものです。

特に、次のような指示や表示があれば、ClickFixを強く疑ってください。

1. Windowsキー＋Rなど、キー操作でWindowsの別の画面を開くよう指示している
2. Ctrl＋Vで何かを貼り付けるよう求めている
3. 貼り付けた後にEnterを押して実行するよう求めている
4. ターミナルやPowerShell、コマンドプロンプトを開くよう案内している
5. 「確認が完了しないとページを表示できません」など、急がせる文言がある

本物のCAPTCHAは、チェックボックスを押す、画像を選ぶ、文字を入力するといった、ブラウザーの中で完結する操作だけを求めます。

ブラウザーの外にあるWindowsの機能を開かせる時点で、Webサイトの確認としては不自然です。

普段よく見るサイトでも、改ざんされて偽の画面が表示される場合があるため、「知っているサイトだから安全」とは限りません。

3-2. 迷ったときの安全な行動

怪しい画面に出会ったときは、指示に従わず、そのタブを閉じるのが基本です。

画面が閉じられないように見える場合は、タスクマネージャーからブラウザーを終了させても構いません。

すでにボタンを押してしまっても、ClickFixのコマンドは、貼り付けて実行しない限り動かないと考えられます。

念のため、メモ帳などに何か別の文字をコピーして、クリップボードの中身を上書きしておくと、うっかり貼り付ける心配が減ります。

会社のPCであれば、画面のURLや表示された文言を控え、情報システム部門に「こんな画面が出た」と共有すると、同じサイトを見た社員への注意喚起に役立ちます。

ページの画面写真を撮っておくと、報告を受けた側もすぐに状況をつかめます。

見たいページがどうしても必要な場合は、ブラウザーのブックマークや公式サイトの検索など、別の経路からあらためてアクセスしましょう。

ただし偽のページがほかの攻撃を含んでいる可能性もゼロではないため、念のためブラウザーとWindowsを最新の状態に更新しておきましょう。

あわせて、ウイルス対策ソフトでPC全体のスキャンを行っておくと、より安心です。

ClickFixを実行してしまった時の初動

4-1. まずネットワークから切り離し、すぐに報告する

指示どおりに貼り付けてEnterを押してしまった場合は、何も起きていないように見えても、感染した可能性があるものとして行動します。

次の図は、実行してしまった後の初動を、順番に並べたものです。

最初に、Wi-Fiをオフにする、LANケーブルを抜くなどして、PCをネットワークから切り離します。

外部のサーバーとの通信を止めることで、追加のマルウェアの取り込みや、盗んだ情報の送信を防げる可能性があります。

会社のPCなら、自分で駆除しようとする前に、すぐに情報システム部門やセキュリティの窓口に連絡しましょう。

調査に必要な記録が失われるおそれがあるため、会社の指示があるまでは、PCの電源を切ったり初期化したりしないのが一般的です。

会社でインシデントに対応する専門のチームについては、CSIRTの記事で解説しています。

連絡するときは、実行した時刻、表示されていたサイトのURLや画面の文言、どのキー操作をしたかを伝えると、調査が早く進みます。

EDR（端末の不審な動きを検知して対応する製品）を導入している会社では、管理者が遠隔で端末を分離する場合もあるので、担当者の指示に従いましょう。

4-2. パスワードを変え、ログイン状態を無効にする

取り込まれたのが情報を盗むマルウェアだった場合、ブラウザーに保存したパスワードや、ログインした状態を保つCookieが狙われるおそれがあります。

Cookieが盗まれると、パスワードを変えても、すでにログインした状態のまま使われてしまうおそれがあります。

Cookieとログイン状態の仕組みは、Cookieの記事で解説しています。

そのため、感染したかもしれないPCではなく、別の安全な端末から、重要なアカウントのパスワード変更とログイン状態の無効化を行います。

個人のPCで実行してしまった場合も、別の端末からメールやSNS、ネットバンキングなどのパスワードを変え、各サービスの「すべての端末からログアウト」を使いましょう。

パスワードをまとめて管理し変更する方法はパスワードマネージャーの記事を、乗っ取りへの備えは次の記事を参考にしてください。

多要素認証（MFA）とは？メリットと重要性についてわかりやすく解説！オンラインセキュリティの重要性を理解し、多要素認証の基礎から設定方法、メリット、注意点までを解説。さらに、バイオメトリクスやパスワードレス認証の未来、セキュリティの強化方法も紹介。安心・安全なデジタル活動のための必読ガイド。...

そのうえでPCのウイルス対策ソフトで全体のスキャンを行い、不安が残る場合はPCのメーカーや専門の窓口に相談すると安心です。

Macで同じような指示に従ってしまった場合も、ネットワークから切り離す、別の端末でアカウントを守る、相談するという順番は変わりません。

管理者向けの補足として、会社のアカウントでは、アカウントを止めて発行済みのトークン（ログイン状態を示す証明）を無効にする対応が中心になります。

Microsoft Entra IDの資料は、アカウントが乗っ取られた場合などに、アカウントを無効にし、「セッションの取り消し」を行う手順を案内しています（参考5）。

ただし同じ資料によると、アクセストークンは既定で1時間有効で、取り消した後も切れるまでは使える場合があり、アプリが独自に発行したセッションのCookieはアプリ側での対応が必要です（参考5）。

企業でできるClickFix対策

5-1. 社員教育と、報告しやすい体制を作る

ClickFixは利用者の操作で成立するため、最初の対策は「Webサイトの指示でコマンドを貼り付けない」というルールを社員に伝えることです。

教育では、偽のCAPTCHA画面の例を見せ、「Webサイトがコマンドの貼り付けや実行を求めたら、指示が1つだけでも操作しない」と覚えてもらうと効果的です。

あわせて、実行してしまった時の連絡先と、最初にネットワークから切り離す手順を、具体的に伝えておきましょう。

偽のCAPTCHA画面の画像を使った短いクイズを、社内ポータルや朝礼で出すのも、手順を覚えてもらう方法の1つです。

IT部門が普段から「Windowsキー＋Rで何かを貼り付けて」と依頼しない運用にしておけば、そうした依頼はすべて怪しいと判断できるようになります。

報告を受けた後の調査や連絡の流れは、事前に手順書として決めておくと、慌てずに対応できます。

インシデント対応の手順を整える方法は、インシデント対応プレイブックの記事で解説しています。

ただし教育だけでは、焦っている時や疲れている時の操作ミスを完全には防げないため、次に説明する技術的な対策と組み合わせることが大切です。

5-2. 「ファイル名を指定して実行」とPowerShellを制限する

ClickFixの典型的な流れでは「ファイル名を指定して実行」の画面が使われるため、業務で使わない社員のPCでは、この画面を無効にする方法があります。

Microsoftの資料によると、「スタートメニューから［ファイル名を指定して実行］メニューを削除する」ポリシーを有効にすると、スタートメニューやタスクマネージャーの［新しいタスクの実行］からこの機能が消えます（参考4）。

同じ設定で、Windowsキー＋Rでの表示もできなくなると説明されています（参考4）。

このポリシーは、Windows 10の対応する更新以降とWindows 11の、ProやEnterprise、Educationなどのエディションが対象です（参考4）。

ただし資料は、この設定は指定した画面にだけ効果があり、ほかの方法でプログラムを実行することまでは防がないと注記しています（参考4）。

そのため、PowerShell自体の使い方を制限する対策も組み合わせます。

PowerShellの資料によると、AppLockerやWindows Defender Application Control（現在のApp Control for Business）のアプリ制御ポリシーの下では、PowerShellは自動的にConstrainedLanguage（制限付き言語）モードで動きます（参考3）。

このモードでは、コマンドの実行や基本的な言語の機能は使えますが、悪用されやすいPowerShellや.NET、COMのAPIにはアクセスできなくなります（参考3）。

何もしなければ、通常のPowerShellはすべての機能が使えるFullLanguageモードで動くとされています（参考3）。

資料は、制限付き言語モードを回避されないようにするには、App Control for Businessのシステムロックダウンモードと組み合わせる必要があると強調しています（参考3）。

管理者や開発者など、業務でPowerShellが必要な社員もいるため、部署や役割ごとに対象を分けて段階的に導入すると、業務への影響を抑えられます。

5-3. ASRルールとログ、EDRで検知して止める

実行の制限をすり抜けた場合に備えて、不審な動きを検知して止める対策も重ねておきます。

次の図は、ClickFixに対する企業の対策を、入口から検知・対応までの層で整理したものです。

Microsoft Defenderの攻撃面の縮小（ASR）ルールは、マルウェアがよく悪用する危険な動作を対象にしたルールの集まりです（参考1）。

その1つの「難読化されている可能性のあるスクリプトの実行をブロックする」ルールは、難読化されたスクリプトの不審な特徴を検知し、PowerShellのスクリプトにも対応しています（参考1）。

このルールを使うには、クラウド提供の保護を有効にする必要があるとされています（参考1）。

資料の表では、このルールはブロックしたときにEDRのアラートと利用者への通知の両方に対応していると示されています（参考1）。

ダウンロードした実行可能なコンテンツをJavaScriptやVBScriptが起動するのを防ぐルールもあり、ほかのマルウェアを取り込む「ダウンローダー」の動きを止めることを目的としています（参考1）。

ASRルールは、Microsoft Defenderウイルス対策を含むWindowsで使え、グループポリシーやPowerShellで個別の端末に設定することもできます（参考1）。

資料では、各ルールの動作の記録に「監査（Audited）」と「ブロック（Blocked）」の種類が用意されています（参考1）。

業務アプリが正当にスクリプトを使っている場合もあるため、まず監査で影響を確かめてから、少数の端末でブロックへ切り替えて広げていくと安全です。

PowerShellの実行内容を後から調べられるように、スクリプトブロックのログも有効にしておきましょう。

スクリプトブロックのログは、PowerShellが処理したスクリプトの内容を記録する機能で、PowerShell 7の資料では対話的に入力したものも含めて記録されると説明されています（参考2）。

ここで注意したいのは、ClickFixで「ファイル名を指定して実行」に貼り付けたコマンドが起動するのは、通常、Windowsに標準で入っているWindows PowerShell 5.1だという点です。

PowerShell 7の資料も、Windows PowerShell 5.1のログについては別の資料を参照するよう案内しています（参考2）。

そのため、PowerShell 7だけにログを設定しても、ClickFixで使われる5.1側の実行は記録されない可能性があります。

ClickFixへの備えとしては、Windows PowerShell 5.1側のログ設定を、MicrosoftのWindows PowerShell 5.1向けの資料で確認して有効にしてください。

ログには認証情報などの機密情報が含まれることがあるため、資料は診断以外の目的で使う場合に、ログを暗号化する保護されたイベントログの併用を勧めています（参考2）。

ログを集めて分析する考え方は、セキュリティログの記事も参考にしてください。

さらに、EDRで端末の不審な動きを監視しておけば、万一実行された場合も早く気づき、端末の分離などの初動につなげられます。

Microsoft Defender for Endpointの資料は、端末の分離が、攻撃者による端末の操作やデータの持ち出し、ほかの端末への横展開を防ぐのに役立つと説明しています（参考6）。

分離した端末も、Defender for Endpointのサービスとの接続は保たれるため、調査や復旧の操作を続けられます（参考6）。

EDRの役割と活用のしかたは、次の記事で解説しています。

EDRとは？重要性と効果的な活用方法について初心者にもわかりやすく解説！「EDRセキュリティ」に関する基本原則から導入方法、効果的な活用手法、課題と対策、さらに将来展望まで、包括的な情報を提供します。EDRソリューションの選び方や成功事例も紹介します。読者の皆様の悩みやニーズに応えながら、EDRセキュリティの重要性と効果を理解し、適切なセキュリティ対策を実現するための知識を提供します。 ...

よくある質問とまとめ

6-1. よくある質問

Q1. ClickFixはどんな攻撃ですか？

偽のCAPTCHAやエラー画面で「認証」や「修正」を装い、裏でコピーしたコマンドを利用者自身に貼り付けて実行させ、マルウェアなどを入れる攻撃の手口です。

Q2. 偽のCAPTCHAのボタンを押しただけでも感染しますか？

ClickFixのコマンドは貼り付けて実行しない限り動かないと考えられるので、タブを閉じて別の文字をコピーで上書きし、念のためブラウザーの更新とウイルス対策ソフトのスキャンを行いましょう。

Q3. 実行してしまったら、まず何をすればよいですか？

PCをネットワークから切り離し、会社のPCなら電源を切らずに情報システム部門へ連絡し、別の安全な端末から重要なアカウントのパスワード変更とログアウトを行います。

Q4. Macでも被害にあいますか？

この記事はWindowsを例にしていますが、Macでもターミナル（コマンドを入力する画面）に貼り付けたコマンドは実行されるため、OSに関係なく、Webサイトの指示でコマンドを貼り付けないことが大切です。

Q5. 公的機関の注意喚起はどこで確認できますか？

国内の最新の注意喚起や相談窓口は、IPA（情報処理推進機構）やJPCERT/CC、警察庁などの公式サイトで確認してください。

6-2. まとめ

ClickFixとは、偽のCAPTCHAやエラー画面で、利用者自身にコマンドを貼り付けて実行させる攻撃の手口です。

Webサイトがコマンドの貼り付けや実行を求める指示は、手順が1つだけでも、どんな理由が書かれていても攻撃のサインです。

実行してしまったら、ネットワークから切り離して報告し、別の端末からパスワードとログイン状態を見直します。

企業では、教育と報告しやすい体制に加えて、実行の入口とPowerShellの制限、ASRルール、ログとEDRによる検知を重ねて備えましょう。

まずは社内に偽画面の例を共有し、「Webサイトの指示でコマンドを貼り付けない」というルールを伝えるところから始めてください。