ClickFix手法の進化
ClickFix手法は、2024年の登場以来、最も普及しているサイバー攻撃手法の一つとなっています。その後進化を遂げ、FileFix、InstallFix、TerminalFixなどの幅広いサブ手法のファミリーを含むようになりました。Push Security社のデータによると、これらの攻撃は2026年8月までに全セキュリティ検出件数の67%を占め、AiTMなどの従来型フィッシング手法を上回りました。
引き金としての人工知能（AI）
現在、攻撃者は生成AI（GenAI）ツールに対するユーザーの熱狂を利用して攻撃を仕掛けています。この戦略は2つの事実に依存しています。1つ目は、従業員がウェブページから直接インストールコマンドをターミナル（Terminal）インターフェースにコピーすることに慣れている点、2つ目は、公式サイトを直接訪問する代わりに検索エンジンに頼ってAIツールにアクセスする傾向が強まっている点です。
革新的な攻撃メカニズム
- InstallFix: 攻撃者はClaude Codeなどの有名なツールを模倣した偽のインストールページを作成します。「コピー」ボタンが押されると、実際のコードが悪意ある別のコマンドに置き換えられ、ファイルをディスクに保存することなくメモリ上で直接スクリプトが実行されるため、検出が困難になります。
- LLMshare: ChatGPTやClaudeなどのプラットフォームにおける共有機能の悪用です。攻撃者は悪意あるリンクを含む会話や「Artifacts」を作成し、プラットフォームの公式ドメイン上でホストされているという理由から高い信頼性を獲得します。
- Custom GPTs: テクニカルサポートのようにユーザーと対話するカスタムGPTモデルを使用し、最終的に悪意あるペイロードを含む外部ページへと誘導します。
なぜ従来の防御は失敗するのか？
ClickFix攻撃がセキュリティシステムをすり抜けるのには、いくつかの根本的な理由があります。
- メールゲートウェイのバイパス: これらの攻撃のほとんどは、メールスキャンを回避し、検索エンジンや悪質な広告を介して始まります。
- 正当なインフラストラクチャの使用: 攻撃者は信頼できるサイトや侵害されたサイトに依存し、ブロックチェーン上のスマートコントラクトに攻撃設定を保存するEtherHidingなどの手法を使用するため、サーバーのシャットダウンが不可能になります。
- メモリ上での実行: コマンドは正当なコマンドラインインターフェースで実行されるため、特定の不審な動作パターンを探す従来型のアンチウイルスプログラムのアラートをトリガーしません。
これはユーザーにとって何を意味するのか？
これらの攻撃は、従来のセキュリティ意識だけではもはや不十分であることを証明しています。ユーザーは、信頼できるサイトにアクセスしているというだけや、既知のAIツールを使用しているというだけでは安全ではありません。ウェブからのインストールコマンドの「コピー＆ペースト」への依存は重大なセキュリティ脆弱性であり、攻撃者はユーザーがデバイスのクリップボード（Clipboard）に実際にコピーする内容を改ざんできるため、実行前にコマンドを検証することが極めて重要な技術的要件となっています。