ClickFix ハッカーがベンチャーキャピタルを装い暗号ユーザーを攻撃、QuickLens が悪意のハイジャックと暴露

ネットワークセキュリティ企業Moonlock Labは月曜日に報告書を発表し、「ClickFix」を中核とした暗号通貨ハッカーの最新攻撃手法を明らかにしました。詐欺師はSolidBitやMegaBitなどの偽投資会社に偽装し、LinkedIn上で暗号通貨関係者に接触して協力の機会を提供し、最終的に被害者に自らマルウェアコマンドを実行させて暗号資産を盗み出します。

ClickFix攻撃手法の解析：被害者を攻撃実行者に変える

ClickFixの革新点は、従来のマルウェア感染経路を根本的に覆す点にあります。攻撃の流れは一般的に以下の段階を含みます：

第一段階（LinkedInの社会工学）：ハッカーは偽の投資会社名義でターゲットに連絡し、合法的に見えるビジネス協力の提案を行い、初期の信頼を築きます。

第二段階（偽のビデオ会議リンク）：ZoomやGoogle Meetに偽装した詐欺リンクに誘導し、模擬の「イベントページ」へ入らせます。

第三段階（クリップボードの乗っ取り）：ページにはCloudflareの「私はロボットではありません」認証ボックスが偽造されており、クリックすると悪意のあるコマンドが静かにユーザーのクリップボードにコピーされます。

第四段階（自己実行）：ユーザーに端末を開き、「認証コード」を貼り付けさせるよう促しますが、実際には攻撃コマンドを実行させる仕組みです。

Moonlock Labの研究チームは次のように指摘しています：「ClickFixの高効率な点は、被害者自身を攻撃の実行メカニズムに変えることにあります。被害者が自らコマンドを貼り付けて実行することで、攻撃者は長年築かれたセキュリティ対策を回避できるのです——脆弱性を利用したり、疑わしいダウンロード行為をトリガーしたりする必要はありません。」

QuickLensの乗っ取り事件の詳細と悪意のある機能リスト

QuickLensの乗っ取り事例は、もう一つの攻撃ベクトルを示しています——既存の正規ユーザーを対象としたサプライチェーン攻撃です：

• 2月1日：QuickLens拡張機能の所有権移譲
• 2週間後：新所有者が悪意のあるスクリプトを含むアップデートを公開
• 2月23日：セキュリティ研究者TucknerがChromeウェブストアからの削除を公開

悪意のある機能リスト：

• 暗号通貨ウォレットのデータとシードフレーズの検索・窃取
• ユーザーのGmail受信箱内容の取得
• YouTubeチャンネル情報の窃取
• ウェブフォームに入力されたログイン情報や支払い情報の盗取

eSecurity Planetの報告によると、この乗っ取られた拡張機能はClickFix攻撃モジュールと他の情報窃取ツールも同時に展開しており、背後の操作者は複数のツールを協調して運用できる能力を持っていることが示されています。

ClickFixのより広範な脅威背景

Moonlock Labは、ClickFix技術が2025年以降、脅威行為者の間で急速に普及していると指摘しています。その核心の優位性は、ソフトウェアの脆弱性ではなく人間の行動を利用する点にあり、従来のセキュリティツールの検出ロジックを根本から回避します。

Microsoftの脅威情報部門は2025年8月に、「毎日世界中の数千の企業やエンドポイントに対して攻撃活動を追跡している」と警告しています。ネットワーク脅威情報会社Unit42は2025年7月の報告で、ClickFixが製造業、卸売小売業、州・地方政府、公共事業のエネルギーなど多くの業界に影響を及ぼしており、暗号通貨だけにとどまらない広範な脅威であることを確認しています。

よくある質問

なぜClickFix攻撃は防毒・セキュリティソフトを回避できるのか？

従来の防毒ソフトは疑わしいプログラムを自動的に識別・阻止する設計です。ClickFixの突破点は、「人」を実行者にする点にあります——被害者が自らコマンドを入力し実行するため、悪意のあるソフトウェアが自動的に仕込まれるわけではありません。これにより、行動検知型のセキュリティツールは脅威を識別しにくくなります。なぜなら、端末上の操作は正常なユーザーの操作に見えるからです。

ClickFixタイプの社会工学攻撃をどう見分けるか？

主な識別ポイントは以下の通りです：

• 知らないLinkedInアカウントからのビジネス提案
• 会議リンクをクリックした後、「認証コード」や「修復手順」の入力を求められる
• 端末のコマンドプロンプトを開き、コードを貼り付ける指示
• CloudflareやCAPTCHAに偽装した偽の認証画面

安全の原則は：正規のサービスはユーザーに端末でコマンドを実行させることを求めません。

QuickLensユーザーは今何をすべきか？

QuickLens拡張機能をインストールしている場合は直ちに削除し、影響を受けた可能性のある暗号通貨ウォレットのシードフレーズを新しいものに更新し、資金を新しいウォレットに移動させてください。また、関連するGmailや他のアカウントのパスワードもリセットしてください。インストール済みのブラウザ拡張機能は定期的に確認し、所有権の変更があった拡張機能には特に注意を払うことを推奨します。