パスワード入力まで210ミリ秒ごとにアプリを強制終了、macOSを狙う新型情報窃取マルウェア「ClickLock」が確認される

要点

• 感染すると、次回ログイン時にFinderやブラウザなどの主要アプリが210ミリ秒間隔で強制終了され、パスワード入力を強要される。

• 侵入経路はWebサイト経由でターミナルに特定のコマンドを貼り付けさせる「ClickFix」手法とみられるが、おとりサイト自体は未特定。

• macOSのログインパスワードに加え、Chromeのパスワード復号キー（Safe Storageキー）や暗号資産ウォレットなどの重要情報を盗み出す。

• 2026年5月以降、ヨーロッパを中心に33カ国で少なくとも100件の標的が確認されており、現在も開発中とみられている。

• macOSユーザーを標的とし、パスワードを入力するまでアプリの強制終了を繰り返す新型の情報窃取（インフォスティーラー）マルウェア「ClickLock Stealer」が発見された。セキュリティ企業Group-IBが2026年7月16日に公表した調査結果により明らかになった。このマルウェアは、ユーザーが最初のパスワード要求を拒否した場合、次回のシステム起動時にデスクトップ上の主要機能を麻痺させる極めて執拗な手口を用いている。

侵入の流れと「拒否」された場合のバックグラウンド潜伏

「ClickLock Stealer」の侵入には、偽のCloudflare CAPTCHA画面などを表示してユーザー自身にコマンドをコピーさせ、ターミナルに貼り付けて実行させる「ClickFix」と呼ばれる手口が用いられる。

ユーザーがコマンドを実行すると、スクリプトはキーボード割り込みを無効にし、侵害されたサイトから4つのペイロード（マルウェアの実行コード）をダウンロードする。その後、Appleのアイコンと実名を表示した偽のダイアログでパスワードの入力を求める。ユーザーがこの入力をキャンセルすると、マルウェアはその場では何も行わずに終了したかのように見せるが、実際にはシステムの起動時に自動実行されるLaunchAgentとして設定ファイル（com.authirity.plist と com.chromer.plist）を ~/Library/LaunchAgents/ に登録して潜伏する。

次回ログイン時に開始されるアプリの強制終了ループ

本当の脅威は、ユーザーが次回Macにログインした時に発生する。ログインした瞬間、登録された設定ファイルにより、Finder、Dock、Spotlight、Terminal、アクティビティモニタ、主要Webブラウザなどの基本機能やアプリが210ミリ秒間隔で強制終了（キル）されるループ処理が開始される。

このループは最大83時間、設定によっては最大で約34.7日間（3,000,000秒）継続する。また、セキュリティ警告が表示されないよう、通知センターも6時間にわたり強制終了される。さらに、ターミナルに「フルディスクアクセス」権限がない場合は、マルウェアがシステム設定画面の該当するペインを自動で開き、ユーザーに権限を付与するよう誘導する。

このアプリキルの嵐によりデスクトップは麻痺し、画面上には1つのパスワード入力ボックスだけが残される。ユーザーは作業を再開するためにパスワード入力を余儀なくされる。同時に、バックグラウンドプロセスが0.5秒ごとにKeychainを介してChromeの暗号化キーである「Safe Storageキー」の照会を要求し、macOSの公式なパスワードプロンプトを表示させる。デスクトップがフリーズしているため、ユーザーはこれを承認せざるを得なくなる。

窃取される情報と巧妙なパスワード検証

ユーザーが入力したパスワードは、macOSのディレクトリサービスコマンド（dscl）を用いて即座に検証される。正しいパスワードが入力された場合のみ攻撃者のサーバーへデータを送信する仕組みとなっており、適当な文字列を入力して回避することはできない。

最終的に窃取されるデータは多岐にわたる。検証済みのログインパスワードをはじめ、Chromeの「Safe Storage AESキー」、ブラウザの資格情報やクッキー、暗号資産ウォレットの拡張機能データ、デスクトップウォレットファイル、パスワードマネージャーの保管庫、Keychain、シェル履歴、そしてFTPクライアントであるFileZillaの資格情報などがZIP圧縮されて攻撃者の手に渡る。

特に、ChromeのSafe Storageキーが盗まれると、攻撃者はオフラインで保存されていたパスワードやクッキーを復号できるようになる。また、このマルウェアには「goyim」と呼ばれるバックドアが含まれており、これはオープンソースのトンネリングツール「GSocket」の公開スクリプトを約80%流用したもので、リレーサーバーを介して通信を行っている。

被害の広がりと検出状況

Group-IBの観測によると、2026年5月以降、33カ国で少なくとも100件の標的が確認されており、その半数以上はヨーロッパに集中している。コードの構造から、このマルウェアは現在も開発途中であると推測されている。

なお、6月9日にVirusTotalにアップロードされた時点では、セキュリティエンジンによる検出数は「ゼロ」であった。現時点で、ユーザーをおびき寄せるためのWebサイト（おとりページ）のドメインなどは特定されておらず、侵入の最初の入り口は謎に包まれている。

推奨される対応

Group-IBは、もしこのマルウェアを実行してしまった心当たりがある場合、アクティブなブラウザセッションをすべて強制終了し、保存されていたすべてのパスワード、クッキー、ウォレットキーはすべて漏洩したものとみなして変更するよう強く推奨している。