ClickFix、過去最大の広がり　最も巧妙な誘い文句はAIツール

ClickFixは2024年ごろに登場して以来、急速にサイバー犯罪者の定番手口となりました。件数も種類も増え続けており、FileFix、InstallFix、TerminalFix、さらにブラウザ内で完結するConsentFixなど、派生手法が次々と生まれています。

誘い文句も巧妙化し、標的を絞り込むようになりました。最近の攻撃は、AIツールを検索・利用するユーザーを狙う傾向が強まっています。承認済みの生成AIツールへの正規の通信に紛れ込むため、多くのユーザーが不意を突かれています。

Pushの検知データは、この手法がどこまで広がったかを示しています。2026年第2四半期までの平均で、ClickFixはPushの検知全体の52%を占めました。AiTM（中間者）フィッシングやデバイスコードフィッシングを初めて上回り、8月には67%に達しています。 

Pushが遮断したブラウザベースの攻撃全体では、2件に1件がメール以外の経路、つまり検索エンジンやSNSなどから届いています。残りはメール経由ですが、メールゲートウェイでは止められませんでした。ClickFixはさらに踏み込んでいます。2026年に遮断したClickFixページの5件中4件は、検索エンジン経由で到達したものでした。侵害されたWebサイト、マルバタイジング、SEOポイズニングを介した攻撃です。 

最新のおとりはAIツール

ClickFixの最新の亜種は、AIツールをおとりに使います。Pushの直近の四半期レポートでは、AIをテーマにしたInstallFixとLLMshareの攻撃が、Pushが検知した全攻撃の約5%を占めました。ClickFix系の中で拡大している一群です。

ほかの研究者も同じ傾向を確認しています。ANY.RUNは、2026年4月15日から10月5日にかけて、偽のAIツールを使ったキャンペーンに関連する公開サンドボックス解析1,258件を確認しました。このうち81%がClaude、またはChatGPTとCodexになりすましていました。少なくとも45%は、偽のCLIインストールページやClickFix付きの偽ダウンロードページを通じて、被害者にコマンドの貼り付けを指示するキャンペーンでした。さらに4分の1は、共有されたAIチャットやアーティファクトから始まっていました。

こうしたおとりが効果を上げる背景には、AIの普及で職場に広がった2つの習慣があります。1つ目は、ターミナルからツールをインストールする習慣です。Claude Codeなどのツールは、1行のターミナルコマンドでインストールできます。そのため、以前ならコマンドラインを開くことのなかった人も、新しいツールを試す際にWebページのコマンドをそのまま貼り付けるようになりました。

従来のClickFixページは、ユーザーに何かを貼り付けさせる理由をでっち上げる必要がありました。一方、InstallFixの被害者は、最初からコマンドを実行するつもりでページに来ています。攻撃者は、そのコマンドを悪意あるものに差し替えるだけで済みます。

2つ目は、AIアプリに直接アクセスせず、検索して見つける習慣です。毎日使うAIツールでも、名前を検索エンジンに入力してたどり着く人は大勢います。しかも従業員は、セキュリティ部門が承認するよりも速いペースで新しいAIアプリを使い始めています。どちらの習慣も、ユーザーを検索結果ページへ導きます。そこはまさに、ClickFixが仕掛けられる場所です。

InstallFix：本物のコマンドを表示する偽インストールページ

PushがInstallFixを初めて報告したのは2026年3月です。Claude Code、Codex、NotebookLM（デスクトップ版インストーラーすら存在しません）といったツールのインストールページを複製し、検索広告で宣伝していました。攻撃者は正規ページをコピーし、インストールコマンドをマルウェアを配信するコマンドに差し替えます。

Pushが分析した最新の一群では、Googleで「claude mac」を検索すると、ドメインがbing.comと表示されるスポンサー結果が出ました。この広告は、Bing自身のクリック追跡リダイレクトを経由して、侵害された小売サイトへ訪問者を誘導します。そこからさらに、偽の「Download Claude」ページへ転送されます。

2層の偽装（cloaking）も仕掛けられています。侵害されたサイト側のリファラー確認と、偽ページ上のスクリプトです。広告経由で来なかった人は、無害なページか404ページに飛ばされます。

このおとりは、注意深いユーザーと、画面を読み取る対策製品の両方をだますように作られています。ページにはAnthropicの正規のインストールコマンドが表示されますが、コピーボタンを押すとクリップボードには別のコマンドが入ります。

このコマンドはまず、正規のclaude.ai URLをターミナルに表示します。続いて、隠されたURLをデコードし、ダウンロードしたスクリプトをディスクに保存せず、そのままシェルに渡して実行します。ページを確認してからターミナルを見ても、どちらにもAnthropicのドメインが表示されます。

Pushは同じ手口がほかのおとりでも使われていることを確認しています。ClickFixのツールキットは互いの機能をすぐに取り込むため、急速に広がっています。

LLMshare：AIプラットフォーム自体に置かれるおとり

Pushが2026年5月に報告したLLMshareは、AIチャットボットの共有機能を悪用する手法です。攻撃者はChatGPTやClaudeで共有チャットやアーティファクトを作成し、悪意あるインストール手順や偽ダウンロードページへのリンクを仕込みます。そして、検索広告で宣伝します。おとりがchatgpt.comやclaude.aiに置かれているため、URLのレピュテーション確認に頼る対策では、信頼してしまうのも無理はありません。

最新版ではカスタムGPTを使います。これにより、おとりは静的なページから、対話形式のものに変わります。

カスタムGPTは、有料アカウントがあれば誰でも作成・共有できる、設定済みのChatGPTです。作成者は、すべての返答を誘導する隠しの指示を書き込めます。Pushが分析した事例では、ユーザーが何を入力しても、GPTは偽の「サービス稼働状況のお知らせ」を返しました。そこには、WindowsのClickFixペイロードを配布するGoogle Sitesページへのリンクが付いていました。

Pushが確認した時点で、このGPTとの会話は1万件を超えていました。

カスタムGPTは共有チャットよりもさらに説得力があります。悪意あるリンクが現れる前に、ユーザーが普通に使う必要があるためです。そこまでは期待どおりに動作し、偽の障害通知も、よくあるサービス障害のように見えます。

2026年にClickFixが選ばれる理由

Microsoftの2026年版デジタル防衛レポートによると、ClickFixの件数は今も急増しています。ClickFix攻撃は2025年12月から2026年5月の間に約23倍に増えました。2月から5月上旬だけでも、Microsoft Defenderは、攻撃者が用意したClickFix型のコマンドが110万台以上の固有デバイスで実行されたことを確認しています。

Microsoftは、ClickFixを「最も成功率の高い初期侵入手法の1つ」と位置づけています。ClickFixによる侵入の96.3%がマルウェア感染につながっているためです。 

ClickFixが一般的な検知対策をすり抜ける理由は、次のとおりです。

• メールセキュリティは、ユーザーが検索結果から到達したページを見ることがありません。

• URLレピュテーションやブロックリストが見るのは、bing.com、chatgpt.com、sites.google.com、あるいは侵害された正規サイトです。さらに主要なキットは現在、EtherHidingを採用し、設定情報を公開ブロックチェーン上のスマートコントラクトに保存しています。停止させるサーバーが存在せず、運営者は1回のトランザクションで、侵害したすべてのサイトのペイロードURLを差し替えられます。

侵害されたサイトや正規サイトでの検知に、Pushの新規顧客は驚くことがよくあります。正規サイトは、攻撃の連鎖のほかの場面にも登場します。リダイレクトとして、Google Sitesなどのサービス上のホスティングとして、そして今回示したようにAIプラットフォーム自体の上でも使われています。

ユーザーがコマンドを貼り付けた後は、エンドポイントセキュリティが最後の砦になります。ところが、ClickFixはそれを突破するように作られています。ユーザーは正規のシェルでコマンドを実行するため、エンドポイントのルールが探すプロセスチェーンに一致しません。しかもメモリ上で動作するので、サンドボックスで検査できるファイルが残りません。

Pushは、20種類を超えるバイナリにまたがる84種類のコマンド形式も確認しています。文字列照合を回避するため、難読化されています。EDRが未導入か、設定が緩められていることの多いBYOD端末、外部委託先のマシン、Mac、開発者のワークステーションでは、防御がまったくありません。

これらの攻撃は、事後の調査も困難です。多くは特定の条件下でしか作動しないためです。Pushが2025年12月に発見したConsentFixキャンペーンは、ロシア政府系とされるグループAPT29との関連が指摘されています。このキャンペーンでは、攻撃者の標的リストにあるメールアドレスを入力した訪問者にしか、おとりを表示しませんでした。

このキャンペーンで侵害されたサイトは、すべてIPブロックリストも共有していました。そのため、一度おとりを表示された訪問者のIPアドレスには、どのサイトでも二度と表示されません。アナリストが報告されたURLを確認する頃には、おとりが入れ替えられたり削除されたりしているかもしれません。被害者と同じ経路で来なかった人には、単に何事もないページが表示される場合もあります。

すでにユーザーに届いている攻撃を把握する

無料のブラウザセキュリティ診断を使えば、自社のユーザーにどのような攻撃が届いているかを確認できます。Pushのプラットフォーム全機能を30日間試用でき、MDM経由で1時間足らずで展開できます。

試用期間の終了時には、レポートが提供されます。内容は、検知したブラウザベースの攻撃、従業員によるAIツールの利用状況と共有している情報、アカウント乗っ取りの危険がある アカウントやブラウザ拡張機能などです。

従業員数約4,500人の金融サービス企業で行った最近の試用では、既存のセキュリティ環境が見逃していたClickFix攻撃6件とAiTMフィッシング10件を、Pushが検知してブロックしました。ClickFixのペイロードがエンドポイントに届く前に、ブラウザ内で阻止しています。

ClickFix、AiTMフィッシング、デバイスコードフィッシングといったブラウザベースの攻撃をどう阻止できるか、従業員が使うAIツールをどう可視化・制御できるか、アカウント乗っ取りの危険があるアカウントをどう見つけるか。Pushについて詳しく知りたい方は、デモを予約してください。