不正なCAPTCHA：マルウェアを拡散する偽の認証ページにご注意

ロボットではないことを証明しなければならない場合がありますが、マルウェアを拡散する手段として急速に広がっている、偽の認証ページに注意してください。

2025/08/06 Phil Muncaster

ボットには数多くの問題があります。現在、インターネットトラフィックの半分以上をボットが占めており、GoogleのWebクローラーやフェッチャーなど、正当な目的で使用されるものもありますが、約4割は悪意のあるものとされています。ボットが持つ力は、炎上を狙ったソーシャルメディアの投稿から、DDoS（分散型サービス拒否）攻撃、過去に漏洩したパスワードを利用したオンラインアカウントの乗っ取りまで、あらゆる目的に悪用が可能です。

そのため、ボットを阻止するための「CAPTCHAチャレンジ」と呼ばれる課題がWebサイトに表示されると、多くのユーザーはそのまま指示に従ってクリックしています。ボットを排除するためにすべき当然の行動ですが、必ずしもそうとは限りません。場合によっては、そのWebページ自体が偽物で、深刻なトラブルに巻き込まれる可能性があります。

たとえば、最近爆発的に増えているソーシャルエンジニアリングの手法である「ClickFix」がこれに該当します。ClickFixは偽のCAPTCHA画像を使用して、情報窃取型マルウェア、ランサムウェア、リモートアクセスのためのトロイの木馬（RAT）、クリプトマイナー、さらには国家の支援を受けている攻撃者など、多様な脅威を拡散します。

CAPTCHAの脅威が有効である理由

CAPTCHAを悪用した脅威が機能する理由はいくつかあります。

ユーザーがこのプロセスに慣れていること、そしてデジタル環境の安全性を確保する手段としてCAPTCHAが信頼されていることを悪用しています。
また、多くのユーザーはせっかちであり、目的のサイトにすぐにアクセスしようとする習性も悪用しています。目的のコンテンツにアクセスしようとしているユーザーは、その邪魔となるCAPTCHAを早く終わらせようと、盲目的に指示に従う傾向があります。
オンラインで本人確認を行うために、複数のステップをクリックして進めことが慣習になっている点も利用しています。たとえば、オンライン決済時などです。
悪意のある活動をユーザーおよびセキュリティソフトウェアから隠蔽し、正規のWindowsツールを使用して検出を回避します。

CAPTCHAの脅威の概要

悪意のあるCAPTCHAに遭遇する経路はさまざまです。フィッシングメール、テキストメッセージ、またはソーシャルメディアのメッセージに含まれる悪意のあるリンクをクリックさせられる可能性があります。AIが進化したことで、この脅威は拡大しています。攻撃者は生成AIを活用することで、この新たなソーシャルエンジニアリング攻撃の規模を拡大しているだけでなく、複数の言語でほぼ完璧な言語品質を実現しています。
または、ハッカーが悪意のある広告やコンテンツが埋め込まれた正規のサイトにランダムにアクセスする可能性もあります。このようなケースでは、ユーザーが操作しなくてもダウンロードされてしまうため、特に危険です。何か異常が発生したことに気付いた時には、手遅れになっているかもしれません。

偽のreCAPTCHの例（出典：ESET脅威レポート 2025年上半期）

表示されるCAPTCHAボックスは、一見正規のように見えます。しかし、要求される操作には警戒する必要があります。通常のCAPTCHAタスク（類似した画像を識別する、あるいは何らかの方法で難読化されたテキストを入力する、など）ではなく、次のような特定のコマンドを実行するよう求められます。

人間であることを証明するためにクリックする
Windowsキー＋Rを押して「実行」を開く
CTRL＋Vを押して、マルウェアによってクリップボードにコピーされたコマンドを貼り付ける
Enterキーを押して、上記のコマンドを実行する

このコマンドは、PowerShellやmshta.exeなどの正規のWindowsツールを起動し、外部サーバーから別の悪意のあるペイロードを追加でダウンロードする可能性があります。最終目的は通常、デバイスへの情報窃取型マルウェアのインストールです。

情報窃取型マルウェアは、コンピュータやスマートフォンからログイン情報、写真、連絡先、その他の機密データを収集して、ダークウェブで販売したり、アイデンティティ詐欺（なりすまし）に利用したりします。標的となるのはブラウザ、メールクライアント、暗号通貨ウォレット、アプリ、オペレーティングシステムそのもので、スクリーンショットの撮影、キーロギング、その他の方法でデータを収集します。

ある調査によると、2024年の情報窃取型マルウェアの被害者は少なくとも2,300万人で、その大半がWindowsシステムでした。20億件を超える被害者の認証情報が盗み出されました。情報窃取型マルウェアの亜種の中でも特に人気のある「Lumma Stealer」は、1,000万台にものぼるデバイスを侵害しました。その後、急拡大したこのMaas（サービスとしてのマルウェア）は、ESETを含む国際的な取り組みによって解体されました。

CAPTCHAの脅威は、リモートアクセスのためのトロイの木馬（RAT）をインストールする可能性もあります。これは別の種類のマルウェアですが、標的マシンへのリモートアクセスを攻撃者に提供するよう設計されています。ある研究によると、2024年のインシデントの4%でAsyncRATが確認されました。このRATは2019年から活動しており、データ窃取やキーロギングなどを行っています。

CAPTCHAの脅威から身を守るために

情報窃取型マルウェアやRATなどの悪意のあるソフトウェアから身を守るには、以下の点を考慮してください。

上記のような不審なCAPTCHAリクエストに注意してください。
突然表示されるCAPTCHAには注意してください。
OSおよびブラウザのソフトウェアを常に最新の状態に保ち、古いバージョンに存在する脆弱性を悪用するマルウェアのリスクを最小限に抑えてください。
信頼できるベンダーのセキュリティソフトウェアをインストールし、常に最新の状態に保ってください。これを実行することで、マルウェアや不審な活動をブロックする効果が大幅に向上します。
偽のCAPTCHAを配信するマルウェアが含まれている可能性があるため、海賊版ソフトウェアのダウンロードはしないでください。
広告ブロッカーの使用を検討してください。これにより、悪意のあるオンライン広告を介して配信されるコンテンツが表示されるリスクを避けることができます。