ClickFix攻撃は、偽のCAPTCHAを介してWindowsおよびmacOSのコンピューターに感染し、拡散している。独立系研究者のKevin BeaumontはRedditで、ユーザーがこの手法によってコンピューターを乗っ取られていると指摘し、攻撃者が正規サイトを偽のCAPTCHAを表示するように侵害していると述べた。絶えず表示されるCAPTCHA、閉じることのできない広告、変化するインターフェースによって、ユーザーが疑わしい指示に対して鈍感になっていることが、攻撃の成功率を高めている。
攻撃は通常、Cloudflareを装ったCAPTCHAから始まる。ユーザーは、隠された悪意のあるコマンドをコピーし、Windows Run、PowerShell、またはmacOSのターミナルに貼り付けてEnterを押すよう誘導される。指示が何年も利用されているサイトから表示されるため、特にコンピューターセキュリティに詳しくない人は疑いを抱きにくい。
BlueVoyantによると、以前はLorem Ipsumとして追跡されていたマルウェアを拡散するには、SEOによって誘導され悪意のある広告に支えられたダウンロードポータル、Microsoftが信頼する署名証明書、そして絶えず変更されるドメインが必要だった。2026年5月末のClickFixの復活によってコード署名の必要性がなくなり、被害者層はMicrosoft Teamsを検索する人に限られず、侵害されたサイトを訪れるすべての人へと拡大した。
Jamfとある研究者は、Gatekeeperを回避できるmacOSのバージョンを記録した。Cisco TalosはGoogle Sheetsのドキュメントが、SandwormとNetskopeはブロックチェーンベースのスマートコントラクトが利用されたと報告した。Netskopeは、5,400のサイトがこのインフラにシグナルを送っていることを突き止めた。BlockBlockとUblockが防御を提供する一方、専門家はコンピューターに詳しくないユーザーへの啓発を推奨している。
なぜ重要なのか
この動きは、攻撃が特定のアプリケーションやユーザーグループを標的とするキャンペーンではなくなり、侵害されたサイトの訪問者に到達できる、より広範な脅威へと変化したことを意味する。Microsoftが信頼する署名証明書の必要性がなくなったことで、従来の配布チェーンに伴っていたコストや制約の一部が取り除かれている。WindowsとmacOSで異なる防御メカニズムを回避できる事例が見つかっていることは、単一のプラットフォームに特化したセキュリティ習慣だけでは十分ではないことを示している。Google Sheetsやブロックチェーンベースのスマートコントラクトといった経路が利用されていることは、ユーザーが知っているサービスへの信頼も悪用の対象になることを明らかにしている。そのため、ユーザーがCAPTCHAの指示に従ってオペレーティングシステムのコマンドを実行することの不自然さに気づくことが重要になる一方、経験の浅い人が、慣れ親しんだ認証フローの中でこの違いをどの程度見分けられるのかは、未解決の問いとして残っている。
背景
Macsは、FikirPilotのアーカイブに登場する新しい名前ではない。過去90日間にこの名前を取り上げた記事を公開しており、その記事の日付は2026年8月26日だった。