改ざんサイトで偽認証画面 ClickFixの手口と対策

NPO法人日本ブラインドサッカー協会（JBFA）の公式サイトが改ざんされ、訪問者にCloudflareを装った偽のセキュリティ認証画面が表示されていたことが公表されました。改ざんは2026年8月12日の未明から早朝にかけて発生し、原因は管理画面のアカウント情報の不正取得です。個人情報の流出は現時点で確認されていません。

ただし情シスにとっての本題は「よそのサイトが改ざんされた」ことではありません。この偽認証画面は ClickFix と呼ばれる手口で、訪問した側の端末をマルウェアに感染させるものです。つまり自社サイトが無事でも、社員が取引先や業界団体のサイトを開いた瞬間に被害者側へ回ります。しかもESETの統計では、この手口の検出数は国別で日本が最多です。

この記事でわかること

  • JBFAサイト改ざんで何が起き、何が呼びかけられているか
  • ClickFix（偽の認証画面で利用者自身にコマンドを実行させる手口）の仕組み
  • 「本物のCloudflare認証」との、1行で済む見分け方
  • 感染したかを事後に確認する具体的な方法と、閲覧者側・サイト運営側それぞれの備え

そもそも「Cloudflareの認証画面」とは何者か

Cloudflare Turnstileとは、Webサイトへの訪問者が人間かボットかを判定するための、CAPTCHAに代わるボット対策の仕組みです。サイト運営者が無料のコードスニペットを埋め込むだけで導入でき、「あなたが人間であることを確認しています」というチェックボックスや読み込み表示として現れます。

重要なのはどこに組み込まれているかです。これは自社が選んで導入するセキュリティ製品ではなく、訪問先のサイト側が入れているものです。ECサイト、問い合わせフォーム、会員ログイン、自治体や業界団体のサイトなど、社員が業務で日常的に開くページの手前に当たり前のように挟まっています。だからこそ利用者は「またこれか」と考えずに通過する習慣がついており、攻撃者はその習慣を借りてきます。

そしてもう一つ、本稿で最も実用的な事実があります。正規のTurnstileは、利用者にキーボード操作を求めません。Cloudflare自身が「パズルを解く労力をなくす」ことを製品の売りにしており、原則としてクリック一つ、あるいは無操作で完了します。

「認証のために Windowsキー + R を押してください」と言ってくる画面は、その時点で偽物です。本物の認証が「ファイル名を指定して実行」ダイアログを開かせることは、仕組み上ありえません。

何が起きたのか（JBFAの事案）

協会の公表と報道を整理すると次のとおりです。

項目 内容
対象 JBFA公式ウェブサイト、JBFA20周年記念サイト
改ざん時間帯 2026年8月12日 午前3時頃〜午前7時頃
検知 同日午前。トップページに過去の記事が表示される等の異常で気づいた
改ざん内容 記事データの書き換え、およびCloudflareを装った偽のセキュリティ認証画面を表示させる不正な記述の追加
原因 サイト管理画面のアカウント情報が第三者に不正取得され、ログインされたとみられる
対応 サイトを一時停止して調査・復旧。8月20日に再開
個人情報 現時点までの調査では流出は確認されず
利用者への呼びかけ 8月12日に閲覧し、不審な画面上でキーボード操作やファイルのダウンロードを行った場合は、最新のセキュリティソフトでウイルス・マルウェアスキャンを実施すること

注目すべきは最後の呼びかけです。「閲覧しただけなら影響はないが、画面の指示どおりにキーボードを操作した人は感染を疑え」という趣旨になっています。これは、この改ざんの目的がサイトの見た目を壊すことではなく、訪問者の端末を狙うことだったことを示しています。

ClickFixとは何か

ClickFixとは、偽のエラー画面や偽の認証画面を見せて、利用者自身の手で不正なコマンドを実行させるソーシャルエンジニアリング手法です。マルウェアそのものの名前ではなく、「入口の作り方」の名前です。

JPCERT/CCは活動四半期レポート（2025年4〜6月）で、改ざんされたWebサイトで観測された実例として次のように記述しています。CAPTCHAを装ったチェックボックスが表示され、チェックすると「Windowsキー + R で開いたウィンドウに Ctrl + V で貼り付け、Enter を押す」よう指示される。このときクリップボードには既に不正なコマンドが仕込まれており、観測された例では mshta コマンドの引数に不審なURLを指定するものだったとされています。

手口を分解すると、攻撃者にとっての利点がはっきりします。

  1. ダウンロードが発生しない：ファイルを落とさせないため、ブラウザのダウンロード警告も「発行元不明の実行ファイル」の警告も出ない。
  2. 実行するのは正規プログラム：mshta や PowerShell はWindows標準の正規実行ファイル（いわゆるLOLBin）なので、単体では怪しく見えない。
  3. 操作したのは利用者本人：脆弱性を突いた自動実行ではなく利用者の手動操作なので、多くの防御レイヤーが「意図した操作」として扱ってしまう。

警察庁も広報資料「Cyber Police Agency Letter 2025 Vol.7」でこの手口を取り上げ、「認証画面で指示された不審な操作を安易に実行しない」「特に Windowsキー + R に注意」と呼びかけています。同資料は企業のシステム担当者向けに、PowerShellなど悪用されがちな正規プログラムの実行監視や利用制限を対策として挙げています。

なぜ日本の情シスが特に気にすべきなのか

答えは単純で、日本が世界で最も検出されている国だからです。ESETの「Threat Report H1 2026」（対象期間2025年12月〜2026年5月）によれば、ClickFixを捉える検出名 HTML/FakeCaptcha の検出数は前期比で108％増、国別の割合では日本が14％で最多と報告されています（同社は前期のレポートでも日本を最多として挙げています）。

あわせて、入口となるWebサイト改ざん自体も増えています。JPCERT/CCの四半期レポートによると、2026年4〜6月に報告されたWebサイト改ざんの件数は181件で、前四半期の90件から101％増加しました。踏み台にされる改ざんサイトが増え、そこで待っている手口が日本語話者に集中している——この2つが重なっているのが今の状況です。

Webサイト改ざん全般の初動については、以前まとめたWebサイト改ざんで外部誘導、情シスの初動と対策や、改ざん件数の推移を扱ったJPCERT/CC四半期レポート Web改ざんが2倍にもあわせてご覧ください。

現場目線の課題：「教えれば防げる」が、教えるのが難しい

正直なところ、この手口の対策を技術的に語るのは簡単です。「Win+Rを押させる認証は存在しない」——これだけです。問題は、この一文を普段セキュリティに関心のない全社員に、忘れられる前に届け続けられるかという点にあります。

従来の啓発は「怪しい添付ファイルを開かない」「知らない差出人のリンクを踏まない」でした。ClickFixはこの型に当てはまりません。踏んだのは怪しいメールではなく、取引先の正規URLのサイトです。証明書も正しく、ドメインも見慣れたもので、そのサイトを開く業務上の必要も実際にある。しかも「認証を通さないと先に進めない」と表示されれば、業務を止めないために言われたとおり操作しようとする——手順を守る人ほど被害に遭う設計です。「不注意な人が悪い」という整理をした瞬間に対策が止まります。

検知の側も楽ではありません。JBFAが気づけたのは「トップページの表示がおかしい」という目視でした。関連サイトや記念サイトを複数抱えている組織で、全ページの見た目を毎日誰が確認するのか——実務としてはここが一番苦しいところです。

情シスはどうすべきか

この事案は、情シスに3つの立場を同時に要求します。自前の長大なチェックリストを作るより、立場ごとに要点を絞るほうが実効的です。

1. 閲覧者側として：全社に配る一文を決める

啓発は分量ではなく、覚えられるかどうかで決まります。次の一文に絞るのが現実的です。

「人間であることの確認」でキーボード操作（Windowsキー + R、Ctrl + V、Enter、ターミナルへの貼り付け）を求められたら、それは偽物です。操作せずタブを閉じ、情シスに連絡してください。

「怪しいサイトで」という条件を付けないことが重要です。正規サイトが改ざんされている以上、条件を付けると読者は自分に関係ないと判断してしまいます。エンドユーザ向けの啓発資料としては、IPAの「対策のしおり」シリーズが短くまとまっており、既存の教育資料に差し込みやすい形です。

2. 検知・調査する側として：Runダイアログの履歴を見る

ClickFixは利用者の手動操作である分、逆に操作の痕跡が端末に残ります。Windowsは「ファイル名を指定して実行」に入力された文字列を、利用者ごとのレジストリキー HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU に履歴として保存します。ここに powershell、mshta、curl、bitsadmin といった文字列や、長いエンコード文字列・外部URLを含む値が残っていれば、指示に従って実行した強い痕跡と考えられます。

「該当サイトを閲覧したかもしれない社員が多数いる」ときに、全台をフルスキャンする前の一次トリアージとして使えます。EDRがあれば、Runダイアログの起動に続く mshta / PowerShell の起動という親子プロセスの並びで検索するほうが早い場合もあります。

3. サイト運営側として：管理アカウントを守る

今回の原因は脆弱性ではなく管理画面のアカウント情報の不正取得でした。パッチ適用の話ではないため、確認すべき点も変わります。

  • CMS管理画面に多要素認証が入っているか。入っていなければ、突破は認証情報の入手だけで完結する
  • 退職者・元制作会社・キャンペーン用サイトの管理者アカウントが残っていないか。記念サイトや特設サイトは棚卸しから漏れやすい
  • 管理画面へのアクセス元をIPアドレス等で絞れないか
  • 改ざんの検知手段が「誰かが目視で気づく」以外にあるか（コンテンツ改ざん検知、外部からの定期巡回など）

運用面の網羅的な確認には、IPAの「安全なウェブサイトの運用管理に向けての20ヶ条」が実務的です。自社で項目を起こすより、この20項目を自組織の管理サイト一覧に当てて、埋まらない箇所を洗い出すほうが早く終わります。なお、CMSの管理が奪われた場合に何が起きるかは、うんこミュージアム改ざん DB非保存でも漏えいの事例も参考になります。

中長期の視点：「認証画面」への信頼が削られていく

この手口が効くのは、利用者が認証画面という枠組みそのものを信頼しているからです。ESETのレポートでは、ClickFixの派生が偽CAPTCHAにとどまらず、生成AIサービスの画面、ブラウザ拡張機能、macOS向けユーティリティの導入案内、偽のブルースクリーンなどへ広がっていると報告されています。「偽CAPTCHAに注意」と教えるだけでは、来年には形が変わっている可能性が高いということです。

そのため啓発は「CAPTCHAの偽物」ではなく、「画面の指示でキーボードやターミナルを操作させるものは全部おかしい」という原則で伝えるほうが寿命が長くなります。CAPTCHAという仕組み自体もAIによる自動突破で役割が揺らいでおり、この点は画像CAPTCHAはAIが突破｜防御設計の要点を解説で扱っています。

まとめ

  1. JBFAのサイト改ざん（2026年8月12日）は、管理画面のアカウント情報を不正取得され、Cloudflareを装った偽の認証画面を表示させる記述を仕込まれたもの。目的は訪問者の端末を狙うことだったとみられ、協会は当日閲覧して画面の指示に従った利用者にマルウェアスキャンを呼びかけている。
  2. 手口はClickFix。正規の認証がキーボード操作（Windowsキー + R など）を求めることはないため、この一点で判別できる。ESETの統計では検出の国別割合で日本が14％と最多であり、日本語話者が主要な標的になっている。
  3. 対応は3方向。全社には覚えられる一文で周知し、調査時は RunMRU の履歴とPowerShell/mshtaの実行を確認し、自社サイト側はCMS管理アカウントの多要素認証と棚卸しを見直す。

出典

タイトルとURLをコピーしました