あなたのサイトが知らない間に加害者になる偽CAPTCHAの手口

偽CAPTCHAとは何か

偽CAPTCHAは、「私はロボットではありません」に似た確認画面を装い、閲覧者に操作を指示する手口です。「確認のためにこのコマンドを実行してください」といった案内を表示し、閲覧者自身にコマンドを実行させます。そのコマンドがマルウェアを取得して起動します。

セキュリティ企業の報告では、この種の手口をまとめて「ClickFix」と呼びます。画面に出た問題を閲覧者自身の操作で解消させる、という形の総称です。偽CAPTCHAはそのうちの一つで、Proofpointは「偽CAPTCHAを題材にしたClickFixの手法」と位置づけています。セキュリティ企業Sekoiaは2024年11月（外部サイト）、ClickFixをProofpointが最初に確認した手口だとしたうえで、Google Meetに似せた偽の会議参加画面を使う形も報告しています。

Proofpointは、GitHubのリポジトリに偽のセキュリティ警告を書き込み、GitHubから届いた通知を通じて偽のGitHubサイトへ誘導し、偽の確認画面でコマンドを実行させて情報窃取型のマルウェアに感染させるキャンペーンを、2024年9月に観測したと報告しています。Proofpointが観測した範囲で、少なくとも300の組織に影響しました。

Proofpointは同じ報告で、この手法全般について、人が指示に従ってしまうのは、問題と解決策を同時に示されることで、社内のIT担当に知らせずに自分で直せると感じるためだと説明しています。この報告は、人が自分で感染させる形になるため、セキュリティの防御もすり抜けると書いています。

検知の数も報告されています。ESETは2025年上半期の脅威レポートの発表（外部サイト）で、偽のエラー表示などで閲覧者にコマンドを貼り付けさせる手口（ClickFix）が直前の半期と比べて500%を超えて増え、フィッシングに次いで2番目に多い攻撃手口になったとしています。

数えたのは同社の製品が集めた検知の記録で、レポート本体（外部サイト）では、ClickFixの検知に使う検知名 HTML/FakeCaptcha での検知の件数が517%増えたとしています。レポートの期間は2024年12月から2025年5月までです。

その後、同じ検知名での検知の件数は大きく上下しています。ESETの2025年下半期の脅威レポート（外部サイト）（2025年6月〜11月）では、HTML/FakeCaptcha の数が、前の半期の160万件超から6万件未満へと、ほぼ100%減りました。ESETは、偽CAPTCHAで配られていた情報窃取型のマルウェアLumma Stealerの指令用のサーバーが、2025年5月に法執行機関とセキュリティ企業の共同の措置の対象になり、盗んだ情報を送り出す仕組みの大部分が使えなくされた後、この配り方を使っていた攻撃者の一部が手を引き、急な減少につながった可能性を挙げています。そのうえで、偽の不具合を直させるという口実で閲覧者に不正なコマンドを実行させるClickFixの手口そのものは、引き続き使われているとしています。

減少は続いていません。ESETの2026年上半期の脅威レポート（外部サイト）（2025年12月〜2026年5月）では、同じ検知名での検知の件数が前の半期から108%増えました。ESETは、件数は2025年上半期の急増のころより少ないものの、2026年に入ってからの増加の傾向から、攻撃者が手を緩めていないとみています。攻撃の各段階はほかの数十の検知名でも検知されるため、実際の広がりはこの検知名での検知の件数より大きいとみられる、とも書いています。この期間のESETの製品による同じ検知名の検知を国別に見ると、最も多かったのは日本（14%）でした。

Proofpointは、ClickFixの手口の入り口として、侵害されたサイトのほか、文書やHTMLの添付ファイル、悪意のあるURLなどを挙げています。偽CAPTCHAの画面も、侵害された正規のサイトに表示されることがあります（後の節で触れるTA585の例）。

侵害されたWordPressのサイトが配信元にされた報告もあります。Check Point Research（外部サイト）は2026年8月、侵害されたWordPressのサイトに、Windowsの閲覧者に向けて元のページに重ねて偽CAPTCHAの画面を出すプラグインが、攻撃者によって入れられていたと報告しています。

踏み台にされると、感染の被害は主に閲覧者に出る

侵害と聞くと、自社のデータが持ち出される、サイトが止まる、といった被害を思い浮かべます。偽CAPTCHAを閲覧者に出す改ざんだけなら、サイトは止まらず、記事も書き換えられたようには見えないことがあります。ただし同じ侵入で、データの持ち出しなど別の被害が起きているかどうかは、見た目では分かりません。

この形で、マルウェアに直接感染するのは、そのサイトを訪れた閲覧者です（運営者に偽の指示を見せる形は、次の節で触れます）。指示に従った人の端末が感染します。つまり自社は、侵害された側でありながら、攻撃を届ける場所を提供した側にもなります。

被害の届く先が変われば、あとで求められる説明も変わります。閲覧者に実害が出た場合は、いつからいつまで、どの範囲に配信していたのかを示すことになります。取引先や顧客が対象に含まれていれば、その相手への説明も必要になります。こうした説明は、個人情報保護法の報告とは別のものです。同じ侵入で個人データの漏えい等（漏えい、滅失、毀損）のおそれ（確証は無いが疑いがある状態）があるときも、報告の対象になることがあります。報告の対象に当たれば、委員会への報告は、原則として、まず速やかに行う「速報」と、あとで内容をそろえる「確報」の2段階になります（1回の報告で兼ねられる場合もあります）。個人情報保護委員会のガイドライン（通則編）（外部サイト）は、速報の目安を、事案によるものの、報告の対象になる漏えい等やそのおそれを知った時点からおおむね3〜5日以内としています。報告が要るかどうかは事案によって変わるため、迷うときは個人情報保護委員会の相談窓口や弁護士に確かめてください。

踏み台にされていると気づくまでの間

偽の画面が閲覧者の画面に重ねて出る形では、管理画面には変化が出ないことがあり、運営者は異常に気づきにくくなります。反対に、運営者が偽の指示を見せられる形もあります。ESETの2026年上半期のレポートは、WordPressのサイトを侵害し、サイトの管理者にClickFixの形の指示を見せる例を挙げています。自社のサイトで、確認のためにコマンドを実行するよう求める表示が出たら、従わずに、侵害を疑ってください。

自分で開いて正常でも、配信していない根拠にならない

偽の確認画面は、訪れた全員に表示されるとは限りません。Proofpointは2025年10月、攻撃者グループの1つ（TA585）について、侵害された正規のサイトに偽CAPTCHAの画面を重ねて表示させていたことと、第三者の配信の仕組みに頼らず、独自の絞り込みと確認を行い、実際の人物に届くようにしていたことを報告しています。訪問者を選んで表示する場合があるということです。

訪問者を選んで表示する仕組みがある以上、運営者が自分でサイトを開いて正常な画面が表示されても、配信していない根拠にはなりません。絞り込みの条件のすべては公開されておらず、運営者が表示の対象から外れるかどうかも分かりません。

サーバーのアクセスログだけでも判断しきれません。埋め込まれたコードが外部から読み込まれる形をとる場合、閲覧者の端末で起きた処理までは、自社サーバーの記録には現れないためです。ログに何も出ていないことは、配信していない根拠になりません。

気づくためのサイン

• 見覚えのないリダイレクト：自社サイトを開くと別のページや確認画面に転送される。
• 検索エンジンからの警告：Search Consoleの「セキュリティの問題」に項目が出る。検索結果に警告の表示が付く。
• 身に覚えのないファイル：サーバー内に覚えのないJavaScriptやPHPファイルが増えている。ただし改ざんはデータベースなどファイルの外に置かれることもあり、見当たらないことは、改ざんがない根拠にはならない。
• 閲覧者からの指摘：「変な画面が出た」「別のサイトに飛ばされた」という連絡が届く。表示する相手が選ばれている場合があるため、これが最初の手がかりになることがある。
• 広告やブラウザの警告：広告出稿の審査で止まる、ブラウザが警告画面を先に出す、といった形で外部から知らされる。いつから配信していたかは、この時点では分からない。

あとで説明を求められること

閲覧者や取引先への説明では、次の3つに答えることになります。いつから配信していたのか。どの範囲の訪問者に届いたのか。そして、いまは止まっているのか。

いつからかを答えるには、改ざんが行われた時刻が要ります。手がかりはファイルの更新日時ですが、更新日時は書き換えられることもあり、それだけでは確定しません。バックアップや配信の記録と突き合わせる必要があります。

どの範囲かは、さらに難しくなります。表示する相手を絞る条件が付いていた場合、訪問者の全員が対象とは限りません。条件が分からなければ、範囲も絞り込めません。「全員に出ていたかもしれない」としか言えない状態になります。

止まっているかどうかも、見た目では答えられません。表示が消えたことと、配信の仕組みが取り除かれたことは別です。いま止まっているかは、サーバー上のファイルとデータベース、ページが読み込む外部のスクリプトを調べ、配信の仕組みと入り込んだ経路が残っていないかで確かめます。一方、「いつから」と「どの範囲」については、残っている記録が無ければ答えられない部分があります。

表面を消しても、配信が止まるとは限らない

見つかったファイルを削除すれば止まる、と考えたくなります。しかし、侵入した経路が開いたままか、別の場所に足がかりが残っていれば、表面だけを消しても同じ改ざんが繰り返されます。削除で消えるのは表示で、侵入経路をふさぐことにも、残った足がかりを取り除くことにもなりません。

削除だけで対処しようとすると再発する仕組みは、改ざん検知・不正ファイル検出への対応で説明しています。

また、改ざんされた状態を先に消してしまうと、いつから配信していたのかを後から確かめる材料も失われます。閲覧者や取引先への説明が必要になったとき、範囲を示せなくなります。削除の前に何を残しておくべきかは、初動の確認項目としてまとめてあります。

改ざんに気づいたときの確認項目を見る →

緊急対応へ切り替える判断

「気づくためのサイン」の5つ（見覚えのないリダイレクト、検索エンジンからの警告、身に覚えのないファイル、閲覧者からの指摘、広告やブラウザの警告）のどれかに当てはまる場合、侵害が続いていないとは判断できないため、緊急対応へ切り替える段階として扱います。Search Consoleの「セキュリティの問題」に項目が出ているときは、何が、いつ検出されたかを確かめて、依頼先へ伝えます。管理者として自社のサイトを開いたときにコマンドの実行を求められた場合も、サインの一覧には無い形ですが、同じく切り替える段階です。自分で開いて不審な画面や転送を確認できたなら、その時点でまだ続いています。自分で開いて正常に見えても、それだけで止まったとは判断しません。

止まっていないなら、原因を調べている時間がそのまま配信の継続時間になります。閲覧者の被害は、調査が終わるまで待ってはくれません。被害を広げないために効くのは、原因を突き止めることより先に、配信を止めることです。

緊急対応では、受託の後に、被害が広がらないようサイトの公開を止めます（申し込みのときに、止めずに続けることも選べます）。そのうえで、初期調査で配信の仕組みと影響の範囲を切り分け、復旧の方針と見積を提示します。見積書への申し込みの後、検証用の環境でサイトを作り直してから本番へ反映します。受付の時刻と初動の時期は、緊急対応のページで確かめてください。