ClickFix（偽のCAPTCHA・偽のエラー表示）の手口と、訓練での備え方

ClickFix（クリックフィックス）とは

ClickFixは、偽の認証画面やエラー表示を見せて、利用者自身に操作をさせてウイルスに感染させる手口です。警察庁は2025年10月の「サイバー警察局便り」で、この手口を観測しているとして「『私はロボットではありません』偽画面に注意！」と呼びかけました。

ふつうのウイルス付きのメールでは、添付ファイルを開いたりリンクを押したりしたことが感染のきっかけになります。ClickFixでは、画面に「確認のために、次のキー操作をしてください」といった指示が出て、利用者がその指示どおりにキーを押したり貼り付けたりすることで、不正な命令がパソコンの上で動きます。

Microsoftは、ClickFixを「ちょっとした技術的な問題を自分で解決しようとする人の傾向」や、人間であることの確認（CAPTCHA）のような何気ない操作を利用する手口だと説明しています。

なぜ気づきにくいのか

• 見慣れた画面に似ている：「私はロボットではありません」の確認や、「表示に問題があります」といったエラーは、ふだんのWeb閲覧でもよく目にします
• 自分で操作している：ファイルをダウンロードした感覚がなく、「確認の手順を済ませただけ」と思ってしまいます
• 正規の機能が使われる：警察庁は、PowerShellなど悪用されがちな正規のプログラムの実行を監視・制限するよう、企業のシステム担当者に呼びかけています

被害の例

• メールなどから偽の認証画面へ：警察庁は、メールなどから偽の認証画面に誘導され、指示どおりに実行するとウイルスに感染すると説明しています。感染すると、ID・パスワードやデータを盗まれるほか、インターネットバンキングやクレジットカードの不正利用、企業のシステムへの侵入とランサムウェアの被害につながるおそれがあります
• ランサム攻撃の入口として：IPAの「情報セキュリティ10大脅威 2026」組織編では、1位の「ランサム攻撃による被害」の手口の一つとして、改ざんされたWebサイトで偽の認証画像やエラー画面を表示し、利用者が指示どおりに操作するとランサムウェアがダウンロードされる手口が挙げられています
• メールでの観測：Microsoftは、2024年3月〜6月にかけて、メールを使った攻撃の中でこの手口を初めて観測したと公表しています。その後は、フィッシングメール、不正な広告、改ざんされたWebサイトの3つが、利用者が偽の画面にたどり着く経路として挙げられています

IPAの「サポート詐欺レポート 2024」でも、CAPTCHAの認証に見せかけてボタンを押させ、意図しないブラウザの通知を登録させる手口が紹介されています。「確認のためのボタン」を装う手口は、ClickFix以外にも使われています。

訓練での再現のしかた

ClickFixへの備えとして訓練を行うときは、メールのリンクから「偽の確認画面」に誘導される流れを再現します。訓練のページでは、実際に命令を貼り付けさせたり実行させたりしないでください。画面に指示が出た時点で「これは訓練です」と解説を表示するなど、安全な形にとどめます。

件名と本文の要素

• 件名：「共有ファイルのお知らせ」「請求書の確認」「アカウントの確認」のような、業務でよく見る型
• 本文：リンクを開くと「本人確認が必要です」「表示できません」という画面につながる
• 誘導先の画面：CAPTCHAやエラーを装い、「次の操作をしてください」とキー操作を求める

文面の型の考え方は「訓練メールの文例・件名の作り方」も参考にしてください。

訓練で身につけたい行動

警察庁とMicrosoftの呼びかけをもとに、次の行動を訓練の目標にします。

• Webページの確認画面やエラー表示で、キー操作や貼り付けを求められても従わない
• 認証画面で指示された見慣れない操作は、安易に実行しない（警察庁）
• 不審なメールのリンクや不審な広告を開かない
• 指示に従ってしまった、何かを貼り付けてしまったときは、すぐに担当部署へ報告する

Microsoftは、利用者が「何をコピーして貼り付けているか」を意識できるよう教育することを対策の一つに挙げています。操作してしまった人が隠さず報告できるよう、「不審メールの報告が上がらない組織の対策」も参考にしてください。教育の進め方は「訓練後の教育」で解説しています。

選ぶときに見る点

ClickFixを想定した訓練をしたい場合は、次の点を確認してサービスを選びます。

• 誘導先の画面を選べるか：リンクを開いたあとに、偽の確認画面やエラー画面を模した訓練用のページを表示できるか
• 安全な作りか：訓練用のページが、実際にパソコンを操作させたり命令を動かしたりしない作りになっているか
• 段階ごとの記録：リンクを開いた人と、画面の指示に従おうとした人を分けて記録できるか
• 教材の新しさ：ClickFixのような新しい手口を学べる教材が用意され、更新されているか
• 報告の集計：不審なメールを報告した人を記録・集計できるか

技術的な対策は、訓練とは別に情報システム部門で検討してください。警察庁は企業のシステム担当者に向けて、悪用されがちな正規のプログラムの実行を監視したり、利用を制限したりする対策を求めています。Microsoftも、なりすましメールや、ウイルス付きのメールを止めるメールのフィルタの設定を確認するよう勧めています。各サービスの対応状況は比較表で確認できます。

まとめ

• ClickFixは、偽のCAPTCHAやエラー表示で利用者自身に操作をさせ、ウイルスに感染させる手口で、警察庁が2025年10月に注意を呼びかけました
• IPAの10大脅威 2026でも、ランサム攻撃の入口の一つとして、偽の認証画像やエラー画面の指示に従わせる手口が挙げられています
• 訓練では、実際に操作をさせない安全なページを使い、「画面の指示でキー操作や貼り付けをしない」「すぐ報告する」を身につけます
• サービスは、誘導先の画面の種類、安全な作り、段階ごとの記録、教材の新しさで比べましょう