偽CAPTCHAマルウェア攻撃の拡大を理解する
CAPTCHAシステムは、ゆがんだ文字の判読や画像の選択を求める、誰もが知る認証機能であり、オンラインセキュリティの要となっている。人間とボットを見分けるために設計され、ウェブサイトをスパム、自動化された不正利用、認証情報を使った総当たり攻撃から守る。しかし、こうしたシステムが広く普及するにつれ、サイバー犯罪者はCAPTCHAに対するユーザーの信頼につけ込む手口を見いだした。その結果、新たな、非常に効果的なソーシャルエンジニアリング攻撃が生まれている。なかでも注目されているのが、ClickFixと呼ばれる手法を使った偽CAPTCHAマルウェア攻撃だ。
目次
この記事では、偽CAPTCHA攻撃の仕組み、その背後にある技術的・心理的な手口、配布されるマルウェア（Lumma Stealerなど）、個人や組織が身を守るために取れる実践的な対策を解説する。
偽CAPTCHA攻撃とは
偽CAPTCHA攻撃では、サイバー犯罪者がGoogleのreCAPTCHAやCloudflareのチャレンジ画面など、正規のCAPTCHAシステムを巧妙に模倣したウェブページやポップアップを作成する。偽装は非常に精巧で、経験豊富なユーザーでも不審な点に気づかないことがある。攻撃は通常、次のように進む。
- 被害者を、フィッシングメール、偽広告、改ざんされた正規サイトなどを通じて悪意あるウェブサイトに誘導する。
- サイトに偽CAPTCHAを表示し、ロボットではないことを証明するよう求める。
- ユーザーがCAPTCHAを操作すると、パソコンの「ファイル名を指定して実行」ダイアログやターミナルにコマンドをコピーして貼り付けるなど、追加の指示が表示される。
- 指示に従うと悪意あるコードが実行され、端末がマルウェアに感染する。
この手法が特に悪質なのは、ユーザー自身の操作を利用してセキュリティ対策をすり抜けるため、検知や防止が難しくなる点だ。
ClickFix：攻撃を支えるソーシャルエンジニアリングの手口
ClickFixとは、ユーザーをだまして自ら悪意あるコマンドを実行させるソーシャルエンジニアリングの手法を指す。ソフトウェアの脆弱性を悪用したり、感染ファイルをダウンロードさせたりする従来型のマルウェアとは異なり、一見無害な手順を装ってユーザーにコマンドを実行させ、マルウェアをインストールする。
例えば、偽CAPTCHAは次の操作を指示することがある。
- Windowsキー＋Rを押して「ファイル名を指定して実行」ダイアログを開く。
- 表示されたコマンド（多くの場合、PowerShellまたはmshta.exeのスクリプト）を貼り付ける。
- Enterキーを押して実行する。
通常の認証手続きの一部に見えるこれらの操作によって、実際にはLumma Stealer、AsyncRATなどの情報窃取型トロイの木馬を含むマルウェアがダウンロード、実行される。
偽CAPTCHA攻撃の拡散：実際の事例
偽CAPTCHA攻撃は、世界各地で個人と組織の双方を標的に、さまざまな状況で確認されている。主な攻撃事例は次の通り。
- Booking.comを装ったフィッシング：攻撃者は人気ホテル予約サイトを装い、偽Booking.comページへ誘導するフィッシングメールを送信。ページには偽CAPTCHAが表示され、指示に従った被害者は認証情報や個人データを盗むマルウェアをインストールさせられた。
- 悪意ある広告とSEOポイズニング：サイバー犯罪者は検索エンジン最適化（SEO）の手法や悪意ある広告を使い、人気ソフトウェア、音楽、映画などの偽ダウンロードサイトを検索結果に表示させている。こうしたサイトでは、感染させる前段階として偽CAPTCHAが表示される。
- 改ざんされた正規サイト：信頼されているウェブサイトでさえ、偽CAPTCHAのポップアップを表示するよう改ざんされることがあり、攻撃の信頼性をさらに高めている。
セキュリティ企業LACによると、ClickFixを伴うインシデントは2024年後半から複数の顧客環境で検知され、2025年には大幅に増加した。攻撃は日本に限らず、米国、欧州、アジアでも報告されており、通信、医療から金融、宿泊まで幅広い業界が影響を受けている。
なぜ攻撃はこれほど効果的なのか
偽CAPTCHA攻撃は、複数の心理的・技術的要因を悪用する。
- 見慣れていることによる信頼：ユーザーはCAPTCHAを日常的に目にしており、その正当性を疑うことはほとんどない。
- 繰り返しによる注意力の低下：CAPTCHAに頻繁に接すると「認証疲れ」が生じ、警戒心が薄れる可能性がある。
- ソーシャルエンジニアリング：段階的な指示が認証に必要な操作として示されるため、不審に思われにくい。
- セキュリティ対策の回避：コマンドをユーザー自身が実行するため、エンドポイントセキュリティ製品が正当な操作と判断し、検知が難しくなることがある。
偽装の裏にあるマルウェア：Lumma Stealerなど
偽CAPTCHA攻撃でよく配布されるマルウェアの一つが、情報窃取型マルウェア（インフォスティーラー）のLumma Stealerだ。2022年に登場して以来、サイバー犯罪者の間で急速に広まった。Lumma StealerはダークウェブのフォーラムやTelegramのチャンネルで販売されており、マルウェア・アズ・ア・サービス（MaaS）として提供されることも多いため、幅広い攻撃者が利用できる。
Lumma Stealerの機能
インストールされると、Lumma Stealerは次のような情報を窃取する可能性がある。
- ブラウザーに保存されたパスワードやCookieを収集する。
- 暗号資産ウォレットの認証情報（MetaMask、Binanceなど）を盗む。
- 二要素認証（2FA）データやブラウザー拡張機能の情報を抜き取る。
- リモートデスクトップの認証情報を含む、システムやアプリケーションのデータを収集する。
- ファイルや機密情報を、攻撃者が管理するリモートサーバーに送信する。
こうした攻撃で確認されているほかのマルウェアには、AsyncRAT、Vidar Stealer、XWormや、さまざまなリモートアクセス型トロイの木馬（RAT）がある。感染の過程では、難読化スクリプトや、隠しコードを含む画像ファイル（.png、.gif）、検知を逃れるための多段階ペイロードが使われることもある。
技術的な仕組み：攻撃の流れ
セキュリティ研究者は、次のような技術的な流れを記録している。
- フィッシングリンクや悪意ある広告などを通じて、偽CAPTCHAのページが読み込まれる。
- CAPTCHAを完了すると、ユーザーはWindowsの「ファイル名を指定して実行」ダイアログやmacOSのターミナルなどからコマンドを実行するよう求められる。
- コマンドは通常、PowerShellまたはmshta.exeを呼び出し、リモートサーバーからスクリプトをダウンロードして実行する。
- スクリプトがマルウェアのペイロード（Lumma Stealerを含むZIPファイルなど）をダウンロードし、被害者の端末で実行する。
- マルウェアはデータの送信を開始する。ネットワーク監視を逃れるため、暗号化されたHTTPS接続を使うことが多い。
一部の攻撃では、MP3やPDFなど一見無害なファイルに難読化されたJavaScriptを埋め込み、攻撃をさらに巧妙に隠している。
世界への影響と主なインシデント
偽CAPTCHA攻撃は、世界各地で大きな金銭的損失やデータ流出を引き起こしている。NortonとAvastの親会社であるGen Digitalによると、偽CAPTCHAを利用したフィッシングやマルウェア攻撃は2024年、日本で600％以上増加し、世界各地でも同様の傾向が見られた。こうした攻撃による被害総額は、報告されているだけで数億ドルに達している。
特に影響を受けている業界は次の通り。
- 通信：顧客情報やインフラ関連データが標的となる。
- 医療：医療ポータルや患者データを狙った攻撃。
- 金融・銀行：認証情報の窃取が不正取引につながる。
- 宿泊：Booking.comなどのプラットフォームが誘い文句に使われる。
北朝鮮、イラン、ロシアの国家支援を受ける攻撃者を含むAPT（高度持続的脅威）グループも、ClickFix型の攻撃を採用し、諜報活動や企業ネットワークへの継続的な侵入に利用している。
偽CAPTCHA攻撃を見分け、防ぐ方法
攻撃が巧妙化するなか、技術面と行動面の両方で対策を講じることが欠かせない。次の点を押さえておこう。
警戒すべき兆候：偽CAPTCHAの見分け方
- 不自然な指示：正規のCAPTCHAがシステムコマンドの実行、「ファイル名を指定して実行」ダイアログの起動、ターミナルへのコード貼り付けを求めることはない。
- ソフトウェアのダウンロードやインストール要求：ファイルやブラウザー拡張機能のダウンロードを促すCAPTCHAには注意する。
- 予期しないポップアップ：見慣れない、または不審なウェブサイトで表示されるCAPTCHA、特に広告や迷惑メール内のリンクをクリックした後に現れるものには警戒する。
- 不審なURL：ウェブサイトのアドレスを注意深く確認する。偽CAPTCHAは、綴りを間違えたドメインや、利用しようとしているサービスとは無関係なドメインに表示されることが多い。
個人向けの基本対策
- 信頼できない情報源からの指示に従って、コマンドを実行しない。CAPTCHAが「ファイル名を指定して実行」ダイアログやターミナルを開くよう求めたら、直ちにページを閉じる。
- ウェブサイトが正規のものか確認する。メールや広告のリンクをクリックせず、URLを入力して直接アクセスする。
- ソフトウェアとOSを最新の状態に保つ。セキュリティ更新プログラムによって、脆弱性の悪用を防げる場合がある。
- 信頼できるセキュリティソフトを使う。リアルタイム保護を有効にし、定義ファイルを最新の状態に保つ。
- 自分や周囲の人に注意を促す。ソーシャルエンジニアリングへの最善の防御策は、手口を知ることだ。
組織向けの基本対策
- 技術的な制御を導入する：グループポリシーやエンドポイント管理ツールを使い、管理者以外のユーザーによるPowerShellやmshta.exeコマンドの実行を制限する。
- 不審な活動を監視する：エンドポイント検知・対応（EDR）製品を使い、異常なコマンド実行やネットワーク通信を検知する。
- 既知の悪意あるドメインやURLをブロックする：ブロックリストを最新の状態に保ち、ウェブフィルタリングを利用する。
- 多要素認証（MFA）を徹底する：認証情報が盗まれた場合の影響を軽減する。
- 定期的にセキュリティ意識向上の研修を行う：従業員がフィッシングやソーシャルエンジニアリングの手口を見分けられるようにする。
- インシデント対応計画を整備する：感染した端末を速やかに隔離し、調査できるよう備える。
感染が疑われる場合の対処
偽CAPTCHA攻撃の被害に遭った可能性がある場合は、次の対策を取る。
- さらなるデータ流出を防ぐため、直ちにネットワークから切断する。
- 組織の端末を利用している場合は、IT部門またはセキュリティ担当者に連絡する。
- 信頼できるセキュリティソフトで、マルウェアの完全スキャンを実行する。
- 感染した端末からアクセスしたすべてのアカウントのパスワードを変更する。特に、銀行、メール、クラウドストレージなど重要なサービスを優先する。
- アカウントに不審な動きがないか確認し、MFAなど追加のセキュリティ対策の導入を検討する。
偽CAPTCHA攻撃が示すサイバー犯罪の新時代
特にClickFixを使った偽CAPTCHA攻撃は、サイバー犯罪の大きな進化を示している。ユーザーがなじみのあるセキュリティ機能に寄せる信頼を悪用し、ソーシャルエンジニアリングを駆使することで、攻撃者は従来の防御策の多くを回避できる。ユーザー自身が操作を始めるため攻撃の検知は難しく、配布されるマルウェアもますます高度化し、モジュール化している。
サイバー犯罪者が手口を磨き続けるなか、オンライン上の正規の体験と悪意ある体験との境界は、ますます曖昧になっている。この傾向は、技術的な対策に加え、ユーザー教育と警戒を組み合わせることの重要性を浮き彫りにしている。
要点
- 偽CAPTCHA攻撃は、巧妙な偽の認証画面でユーザーをだまし、自分の端末でマルウェアを実行させる。
- ClickFixは、ユーザーに悪意あるコマンドを実行させ、多くのセキュリティ対策をすり抜ける。
- Lumma Stealerなどのマルウェアは、パスワードや金融情報などを盗み、個人や組織に大きな損害を与える可能性がある。
- 攻撃は世界中に広がり、幅広い業界や個人を標的にしている。
- システムコマンドの実行やファイルのダウンロードを求めるCAPTCHAは危険信号だ。正規のCAPTCHAがそのような操作を求めることはない。
- 攻撃を防ぐには、技術的な対策、セキュリティソフトの更新、ユーザー教育を組み合わせる必要がある。
- 感染した場合は、ネットワークから切断してマルウェアスキャンを実行し、パスワードを変更したうえで、専門家に相談する。
- オンライン上で予期しない指示を警戒し、うのみにしないことが、新たなサイバー脅威に対する最善の防御となる。
