チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「『エラーが出た。このコマンドを実行して修正してください』という画面が出たんですが……」
「偽のCAPTCHA画面でPowerShellのコマンドを貼り付けるよう言われた、これって大丈夫でしょうか？」
チップス「エラーが出た。このコマンドを実行してください」って表示が出たんでしゅけど、これってやばいんでしゅか？
ボスそれが「ClickFix」だ。偽のエラーに騙されてコマンドを実行させる手口で、日本はなんと世界で一番引っかかっている。
ESET 2026年上半期脅威レポートが、衝撃的な統計を公開しました。
ソーシャルエンジニアリング攻撃の「ClickFix」がH2 2025からH1 2026の1年で108%急増し、日本の検知シェアが全世界最多の14%に達しています。
次点のスロバキア（7%）やフランス・スペイン・ペルー（各5%超）を大きく引き離しており、日本は特に重点的に狙われている実態が明らかになりました。
「このエラーを直すにはコマンドを実行してください」という指示を見たとき、何が起きているかを正確に理解できるようになります。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
ClickFixは、「偽のエラーメッセージ」を表示してユーザー自身にPowerShellコマンドや実行ファイルを実行させるソーシャルエンジニアリング攻撃です。
マルウェアをメールで送りつけるのではなく、「あなたのPC/ブラウザに問題があります。このコマンドを実行して修正してください」と誘導し、被害者に攻撃を「自分で実行させる」点が従来手法と異なります。
ESET H1 2026レポートの主な数値は以下のとおりです。
| 国・地域 | 検知シェア |
|---|---|
| 日本 | 14%（世界最多） |
| スロバキア | 7% |
| フランス・スペイン・ペルー | 各5%超 |
攻撃範囲は偽のCAPTCHAページから、WordPressサイト・ブラウザ拡張・AIテーマのヘルプページ・クラウド認証フローへと広がっています。
チップスなんで日本がこんなに多いんでしゅか……？
ボス「エラーが出たら言われたとおりに直す」という行動パターンが攻撃者に利用されている。セキュリティ教育の浸透度の差も影響しているな。
ClickFixは3つの派生型として進化しています。
第1の「AI-fix」は、AnthropicやOpenAI・Microsoftなど実在のAIサービスを装い、存在しない問題の「修正手順」としてコマンド実行を指示します。
AI活用が広がる現在、「ChatGPTのエラーを直す」という誘導は自然に見えてしまいます。
第2の「CrashFix」は、「NexShield」のような偽のブラウザ拡張機能をインストールさせ、時間差でエラーを表示して悪意あるコマンドを実行させます。
拡張機能インストール後に発動するため、インストール時点では検知されにくいです。
第3の「ConsentFix」は、OAuthの認可コード窃取を狙います。
ユーザーに特定のURLをコピー・ペーストさせ、攻撃者がそのトークンを横取りします。
Microsoft 365のアカウントが標的になります。
チップス全部、自分でコマンド実行とかURL貼り付けとかさせるんでしゅね……
ボスそこが巧みなところだ。正規のPowerShellを被害者自身が走らせたら、エンドポイントセキュリティでは止めにくい。だから今この手口が流行っている。
ClickFix攻撃の本質は「正規のツールを被害者に実行させる」点にあります。
AIサービスを装う「AI-fix」・ブラウザ拡張を使う「CrashFix」・OAuthを狙う「ConsentFix」のいずれも、被害者が能動的にコマンドやURLを操作することで成立します。
画面に「エラーが出た。コマンドを実行してください」と表示されたとき、まず「本当にこの操作が必要か？」を疑うことが最大の防御です。
日本が世界最多の14%という数値は、まだ多くの組織でこの「疑う習慣」が根付いていないことを示しています。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
