ClickFix キャンペーンの変化：標的を OS からブラウザへ移行しながら暗号資産を狙う

ClickFix Moves into the Browser to Steal Cryptocurrency

2026/09/09 InfoSecurity — ClickFix キャンペーンは、ユーザーを騙してコンピュータ上でコマンドを実行させる手口から、悪意のある JavaScript をユーザー自身のブラウザへ挿入させる手口へと移行している。この攻撃では、自ら脆弱性を悪用しようとする人物が標的となっている。Cisco Talos が 9月8日に公開した調査によると、数カ月にわたるキャンペーンの調査で明らかになった悪意の活動は、Google Visualization API を使用し、一般公開された Google Sheets ドキュメントから難読化されたコードを取得して、2 つの暗号資産取引サイトのセッション内に挿入するというものだ。

この攻撃活動は、2 度の妨害を受けても継続しており、2026年4月に Talos が Google および標的とされたサイトへ通知した 1 週間後には、新しいスプレッドシートを悪用するかたちで活動を再開した。8月11日時点では、代替として悪用された Google ドキュメントも報告されていたが、攻撃は依然として継続していた。

ClickFix の標的は OS からブラウザへ移行

このキャンペーンは 2025年10月に始まり、Chrome のアドレスバーに JavaScript を貼り付けるよう指示する誘導が用いられていた。攻撃者は 2026年3月に Visualization API の使用を開始し、4月中旬からは、スクリプトを追加する前に Tampermonkey ブラウザ拡張機能をインストールするよう被害者へ指示していた。

そのルアーには、暗号資産のスワップサービスに存在しない API の脆弱性を説明する、漏洩した脆弱性レポートを装う内容が用いられ、最大 38% の利益が得られると主張されていた。Talos によると、この誘導が狙っていたのは、自身では理解していない脆弱性であっても悪用しようとする人物だった。

Talos は Telegram／サイバー犯罪フォーラム DarkForums／テキスト共有サイトで、この攻撃に使用されたコンテンツを発見し、メッセージは少なくとも月 2 回、波状的に投稿されていた。

Visualization API を用いれば、Web 上で公開された任意の Google Sheets ドキュメントへ、無料で認証なしに読み取り専用アクセスできる。このリクエストは被害者自身のブラウザから送信される通常の Web トラフィックのように見えるが、攻撃者は白い背景に白色で表示した文字により、セル内にペイロードを隠していた。

Talos は、このスプレッドシートから 21 個の第 2 段階ペイロードを収集した。それらは、XOR キーが更新され、変数名がランダム化されるなど、定期的に変更されていたが、機能自体に変化はなかった。

挿入されたスクリプトがブラウザを暗号資産スキマーへ変える

一連のスクリプトは、ページ上の変更を監視して表示される入金アドレスを置換することで、ボーナスが適用されたように見せかけていた。また、ブラウザの fetch API を上書きし、データがページに到達する前に入金処理のレスポンス内のアドレスを攻撃者のウォレットアドレスに置き換えていたほか、クリップボードを操作する機能により、被害者がコピーしたアドレスを別のアドレスに置き換えていた。Tampermonkey を使用するバージョンでは、標的サイトへアクセスするたびにスクリプトが再読み込みされた。

Talos は、このキャンペーン全体で攻撃に使用された 49 個の Bitcoin アドレスを特定した。Talos が解析したサンプルの大部分は 4月から 6月下旬までのものであり、30 個のアドレス群が使用されていたが、このうち 24 個には、8月上旬の評価額で約 1 万ドルに相当する 0.159 BTC が被害者から送金されていた。

研究者によると、実際の金額はさらに膨らむ可能性がある。資金は別の 30 個のウォレットを経由した後、3,000 を超えるアドレスへ送られており、コインミキサーを使用して追跡を困難にしたとみられている。

Talos によると、このキャンペーン自体は大半の組織にとって脅威となるものではないが、使用されている攻撃手法は脅威となる。そのため、役割に応じてブラウザ拡張機能を制限し、Google Docs へのリクエストがブラウザ・セッション内で発生していないかを監視することが推奨されている。

この記事では Google Sheets や Tampermonkey などのツールが悪用される ClickFix キャンペーンの詳細な動向が解説されています。不正行為の試み／暗号資産の詐取を目的とする攻撃において、攻撃の標的が OS からブラウザへ移行した背景が説明されています。API を利用したデータ取得や無料のクラウドサービスを活用したペイロードの隠蔽など、巧妙な手口を伴う持続的な活動が行われ、被害者には大規模な資金流出という影響が生じています。このような脅威への対処として、役割に応じたブラウザ拡張機能の制限／Google Docs へのリクエスト監視が推奨されます。