Google Chrome、「ClickFix」攻撃対策の警告機能を導入　悪質なコマンド実行を事前検知

要点

• Googleは、偽のエラー解消を口実に悪質なコマンドを実行させる「ClickFix」攻撃に対抗するため、Chromeに新たな警告機能を導入した。

• セキュリティ設定「保護強化機能」の利用者が不審なスクリプトをコピーすると、クリップボード内の個人情報を除去した上でSafe Browsingが解析し、危険な場合に警告を発する。

• 併せてSafe Browsing警告の分類基準の整備、オンデバイスLLMを活用したサポート詐欺検知の拡張、北米における金融サービス広告の認証義務化も発表された。

• Googleは現地時間2026年10月20日、ウェブブラウザ「Google Chrome」において、巧妙化するサイバー攻撃手法「ClickFix」から利用者を保護する新機能を展開すると発表した。この機能は、ブラウザのセキュリティ設定で「保護強化機能（Enhanced Protection）」を有効にしているユーザーを対象に提供される。攻撃者が提示する偽のエラー指示に従って端末が侵害される被害を、コマンド実行前の段階で阻止することが狙いだ。

端末の正規ツールを悪用して侵入する「ClickFix」の手口

ClickFixは、近年急速に悪用が進むソーシャルエンジニアリング（人間の心理的な隙や誤認を突いて不正な行動を取らせる手法）の一種だ。従来のフィッシング詐欺のように高度な脆弱性を悪用したり不審なリンクをクリックさせたりするのではなく、トラブルシューティングを装ってユーザー自身に端末を侵害させる点に特徴がある。

典型的な攻撃の流れでは、改ざんされた正規サイトや悪質広告から詐欺的なページへと誘導される。そこでCloudflareやGoogle reCAPTCHAの偽の確認画面、あるいは存在しないエラー通知が表示され、問題解決の手順として特定の文字列をコピーするよう指示される。

指示には、Windowsの「ファイル名を指定して実行」ダイアログやMacの「ターミナル（Terminal）」を開き、コピーしたコマンドを貼り付けてEnterキーを押すよう書かれている。ユーザーがこれに従って実行すると多段階の感染プロセスが開始され、パスワードや機密情報を盗み出すインフォスティーラーや、遠隔操作を可能にするRAT（リモートアクセストロイの木馬）などのマルウェアが配備される。

攻撃者は検知を逃れるため、PowerShellやcmd.exeといったOS標準搭載の正規管理ツールを悪用する「Living-off-the-Land（LotL）」手法を用いて次段階のペイロードをダウンロードさせる。ダウンロード処理をブラウザから端末のターミナルへ移行させることで、従来のChromeやSafe Browsingが備えるファイルダウンロード保護機能を完全にすり抜けていたという。

クリップボード解析による事前検知と警告の仕組み

Googleはこうした回避策に対抗するため、保護強化機能を有効にしているユーザーが不審なClickFix用スクリプトをコピーした挙動を検知する仕組みをChromeに導入した。

ユーザーが疑わしいコマンドをコピーした際、クリップボードに格納された文字列から個人情報に該当する内容をスクラブ（除去）した上で、Safe Browsingの解析基盤へ転送して脅威の有無を調査する。

安全性の検証によってコマンドが危険であると判定された場合、Chromeは即座に画面上で警告を表示する。ユーザーが実際にコマンドをターミナルや実行ダイアログに貼り付けて実行してしまう前に危険を知らせることで、攻撃の成立を未然に防止する設計だ。

Safe Browsing警告の分類整理とオンデバイスLLMによる詐欺対策

GoogleはClickFix対策と同時に、保護強化機能のユーザーに向けた複数のセキュリティ強化策も公表した。

まず、Safe Browsingが発するサイト警告について明確な分類体系（タクソノミ）を確立した。既知の悪質なサイトと共通する詐欺的パターンを示すサイトを「不審なサイト（Suspicious sites）」、すでに悪質性が確認され実害リスクが高いサイトを「危険なサイト（Dangerous sites）」として区別して警告を行う。

さらに、端末上で動作する大規模言語モデル（オンデバイスLLM）を用いた詐欺対策の適用範囲を拡張した。テクニカルサポート詐欺、偽のウイルス対策ソフト警告、偽のブラウザ更新詐欺などを対象にモデルを強化し、ページコンテンツを評価して表示ブランド、ページの意図、詐欺の可能性スコアなどを分析して脅威データを特定する。

プライバシー保護にも配慮されており、ページ解析は詐欺の兆候が強く疑われる場合に限定して実行される。データが端末外へ送信される場合でも、情報は一時的に処理（エフェメラル処理）されるのみで、ログの保存や保持、モデルの再学習には一切利用されない運用を行っていると説明している。

北米における金融サービス広告の認証義務化

ブラウザ本体の防御強化に加え、Googleは不正広告の排除に向けた取り組みとして、米国およびカナダにおいて「金融サービス認証（Financial Services Verification）」を導入したことも明らかにした。

この制度は、金融関連の広告を出稿する広告主に対し、関連する規制当局や公認登録機関の認可を受けている証明を義務付けるものだ。ブランド偽装を防ぎ悪質な広告主を排除することを目的としており、すでにオーストラリア、ブラジル、インド、欧州各国など世界各地で先行して運用されている。

米国では米国銀行協会（ABA）と連携して専用レジストリを用いた認可銀行の確認を行い、カナダではカナダ銀行協会（CBA）と緊密に連携しながら制度の導入を進めているという。