ClickFixは、ウェブ上で最も急速に広まっているソーシャルエンジニアリング手法の一つです。この攻撃は、従来のセキュリティの前提を根底から覆します。悪意あるファイルをエンドポイント防御の目をかいくぐって送り込む代わりに、攻撃者は被害者自身にペイロードを実行させるのです。エクスプロイトも不要、悪意ある添付ファイルも不要。必要なのは、ユーザーと、クリップボードと、巧みな誘導プロンプトだけです。

この脅威の深刻化に対応するため、ThreatCloud AIチームは新たな検出エンジンを開発しました。このエンジンは現在、Check PointのGateway（Zero-Phishing Blade）、Email Security、Browse Securityに統合されています。

ClickFix攻撃は、見慣れたプロンプトから始まります。偽のCAPTCHA、Cloudflareの認証画面、または「ブラウザのアップデートが必要です」という通知などです。実際のセキュリティチェックの視覚的表現を模倣しているため、非常に説得力があります。パターンは常に同じです。被害者は、何かを「修正」するためにいくつかの手順をコンピューターで実行するよう求める、もっともらしいプロンプトを提示されます。その手順の最後に、被害者はWindowsの「ファイル名を指定して実行」ダイアログを開き、クリップボードからコマンドを貼り付けてEnterキーを押すことになります。

この手法が非常に効果的な理由は、エクスプロイトを一切使用しない点にあります。ユーザー自身がペイロードを実行するのです。エンドポイント保護ツールからは、手動での貼り付け操作の後にexplorer.exeによって起動されたコマンドとして見えるため、正当なユーザー操作と区別がつきません。

攻撃者がClickFixを配布する方法は主に二つあります。一つは、既知のブランドや汎用の認証ページを装った専用サイトを作成する方法です。ドメインに履歴がないため、従来のレピュテーションシステムで検知されることがありますが、キャンペーンがしばらく続いてシグナルが蓄積されてからになります。もう一つは、信頼された正規のウェブサイトを侵害し、ClickFixのオーバーレイを注入する方法です。この場合、ドメインは数年の歴史を持ち、クリーンなレピュテーションがあり、攻撃と並行して実際のコンテンツも配信しています。レピュテーションベースの防御は何も問題を検出できず、従来の防御手段のほとんどがこの攻撃を見逃してしまいます。

どちらのケースでも、ClickFixを検出するには、ホスティング先に関係なく、ページそのものを検査し、攻撃の行動的な指標を分析する必要があります。

ClickFix Engineは、多層構造のAI検出システムです。ウェブページを分析し、ClickFix攻撃の行動的フィンガープリントを特定します。ページのHTMLを解析し、偽の認証プロンプト、「ターミナルを開く」といった指示、クリップボードコピーAPI、その他の行動的シグナルを検出します。

このエンジンは複数のステージで動作します。行動パターンを分析した後、より深いAI検査レイヤーがページ全体のコンテンツを分析し、ソーシャルエンジニアリングの手口を特定します。その結果、ホストドメインのレピュテードや回避技術の使用に関わらず、一貫した検出が実現されます。以下に実際の事例を示します。

2026年4月、このエンジンは同一週内に登録された5つの新規ドメインによる組織的なキャンペーンを検出しました。いずれも「Pacific Crest Tax Advisors」というブランドを名乗っていました。タイミングは意図的なもので、IRSになりすました詐欺が最も横行する米国の確定申告期間に合わせてキャンペーンが展開されました。

ClickFix のページは、被害者に「確認ステップ」を完了するよう促しました。その裏では、多段階のPowerShellペイロードが密かにクリップボードにコピーされていました。ページの指示に従って貼り付けて実行すると、一連のアクションが開始されます。まず、信頼されたコンテンツデリバリーサービスから悪意あるファイルをダウンロードし、次にマシンにサイレントインストールします。このコマンドはセキュリティスキャナーを回避するために巧妙に偽装されており、既知のURLを使って悪意あるファイルをダウンロードしつつ、シグネチャベースの検出を回避するために命令を複数の変数に分割していました。

ClickFix Engineは、レピュテーションシグナルが蓄積される前の初日（day zero）に、5つのドメインすべてを検出しました。

2つ目のケースは異なる側面を示しています。同じ攻撃手法でありながら、インフラがまったく異なります。2026年4月、エンジンは互いに無関係な2つのフランスのウェブサイトにフラグを立てました。2007年から営業しているスポーツウェア小売業者のvertsport.comと、自動車用工具を販売するPrestaShopショップのmaterlo.comです。両サイトともクリーンなレピュテーション、有効なSSL証明書、そして長年にわたる正当な活動実績がありました。どちらのサイトについても、不審な点を指摘できるものは何もありませんでした。

しかし両サイトは密かに乗っ取られていました。商品ページやブログページの内部に、偽のCloudflare認証プロンプトが隠されており、両サイトで同一の内容が、同じ攻撃者が管理するサーバーに誘導していました。「認証」の手順に従った訪問者は、知らないうちにWindows Defenderを無効化し、WebRTCドライバーを装ったマルウェアをインストールするペイロードを実行することになります。これらはすべて、一見まったく正常に見えるウェブサイトを閲覧中に起きていました。

このエンジンはドメインのレピュテーションではなくページの動作を検査するため、両サイトにフラグを立てることができました。エンジンはページのHTMLを分析し、ClickFix攻撃の特徴的な複数の行動シグナルを検出しました。偽の認証プロンプト、クリップボードコピーの指示、システムコマンドの実行パターンなどです。十分な数のシグナルが同時に一致したため、ホストドメインへの信頼度に関わらず、高い確信度で悪意ありという判定を返しました。

ClickFixは急速に進化しています。Check Point社はすでに、信頼されたブランドになりすました組織的なキャンペーン、よく知られた正規ウェブサイトへの侵害、従来の防御を回避するために設計された新たな誘導手口のバリアントを検出しています。攻撃者は、これらのページをより説得力があり、より検出困難にするために多大なリソースを投入しています。

ClickFix Engineは攻撃とともに進化します。単一の静的な特徴ではなく、ページの行動的フィンガープリントを検査するため、攻撃がどのように偽装されても、新たな誘導手口や難読化技術を検出できます。