「私はロボットではありません」というチェックボックス（CAPTCHA）は、本来、人間とコンピューターを見分けるための認証システムです。

しかし近年、この仕組みを悪用した「偽CAPTCHA」による詐欺やマルウェア感染の被害が報告されています。

偽CAPTCHAは正規のCAPTCHAと見た目が酷似しており、一見しただけでは本物との見分けがつきにくく、気づかないうちに危険な操作を促されるケースも少なくありません。

本記事では、偽CAPTCHAの仕組みや被害リスクをはじめ、本物との見分け方、被害を防ぐための対策、万が一だまされてしまった場合の対処法までわかりやすく解説します。

「偽CAPTCHAにだまされるとどうなるのか」「どのような対策が必要なのか」などを知りたい方はぜひご一読ください。

「私はロボットではありません」はなぜ表示される？

Webサイトを利用していると、「私はロボットではありません」と表示されたチェックボックスを見かけることがあります。

これは、人間になりすましてWebサイトへアクセスする自動プログラム（bot）による不正利用を防ぐための認証技術の一種で、「CAPTCHA（キャプチャ）」と呼ばれます。

CAPTCHAは、ログインや会員登録、パスワードの再設定、お問い合わせフォームの送信など、本人確認が必要な場面で広く利用されています。

利用者のマウス操作やアクセス状況などを分析し、人間による操作か自動プログラムによるアクセスかを判定することで、不正アクセスやスパム投稿などの防止に役立っています。

偽CAPTCHAとは

近年、CAPTCHAの仕組みを悪用した「偽CAPTCHA」による詐欺やマルウェア感染の被害が報告されています。

偽CAPTCHAとは、正規のCAPTCHAを装ってユーザーをだまし、マルウェアをダウンロードさせたり、個人情報を盗み取ったりする攻撃手法です。

画面には「ロボットではないことを確認してください」「認証を完了するには以下の手順を実行してください」などと表示され、Windowsキーや「ファイル名を指定して実行（Win＋R）」、PowerShellなどを使用した特定の操作を指示されることがあります。

正規のCAPTCHAと見た目がよく似ているため、一見しただけでは本物との見分けがつきにくく、気づかないうちに危険な操作を実行してしまうケースも少なくありません。

こうした攻撃の代表例が「ClickFix（クリックフィックス）攻撃」です。

ClickFix攻撃では、ユーザーにWindowsの「ファイル名を指定して実行」やPowerShellへ特定の文字列を貼り付けて実行させ、不正なプログラムを起動させることでマルウェアへの感染を狙います。

一方、正規のCAPTCHAでは、Windowsキーを押したり、コマンドを入力・貼り付けたりする操作を求められることは基本的にありません。

そのため、CAPTCHA画面でこのような指示が表示された場合は、決して操作を行わず、ページを閉じることが重要です。

偽CAPTCHAによる攻撃の流れ

偽CAPTCHAによる攻撃は、一般的に次のような流れで行われます。

それぞれのステップについて、詳しく見ていきましょう。

ステップ（1）：攻撃者が偽CAPTCHAを表示するWebサイトを用意する

攻撃者は、正規のCAPTCHAを装った認証画面を作成し、悪意のあるWebサイトや改ざんしたWebサイトに設置します。

ステップ（2）：ユーザーを偽CAPTCHAが表示されるWebサイトへ誘導する

攻撃者は、フィッシングメールやSNS、検索結果、オンライン広告などを利用して、ユーザーを偽CAPTCHAが表示されるWebサイトへ誘導します。

中には、正規のWebサイトが改ざんされているケースもあり、利用者が気づかないままアクセスしてしまうこともあります。

ステップ（3）：偽CAPTCHA画面を表示し、不正な操作を指示する

不正なサイトと気づかずにアクセスしたユーザーには、偽CAPTCHA画面が表示されます。

画面には、「Windowsキー＋Rを押してください」「表示された文字列を貼り付けてください」「Enterキーを押してください」などの指示が表示され、認証を完了するための操作であるかのように装われます。

ステップ（4）：マルウェア感染や情報漏洩が発生する

指示に従って不正なコマンドを実行すると、不正なプログラムが実行され、マルウェアに感染する恐れがあります。

その結果、IDやパスワード、クレジットカード情報などの機密情報が盗まれたり、デバイスを遠隔操作されたりする可能性があります。

偽CAPTCHAによる攻撃は、利用者自身に操作を実行させる点が特徴です。

そのため、「認証のため」と言われても、キー操作やコマンドの入力を求められた場合は、安易に従わず偽CAPTCHAを疑うことが重要です。

偽CAPTCHAによる被害リスク

偽CAPTCHAによる主な被害リスクとしては、以下が挙げられます。

中でも特に多いのが、マルウェアへの感染です。

前述したように、偽CAPTCHAと気づかず、不正なコマンドを実行してしまうことで、デバイスへマルウェアがインストールされる恐れがあります。

感染したマルウェアの種類によって被害内容は異なりますが、例えばインフォスティーラーであればデバイス内に保存されたIDやパスワード、Cookieなどの情報を盗まれる可能性があります。

また、RAT（遠隔操作型マルウェア）に感染した場合は、攻撃者にデバイスを遠隔操作される危険があります。

さらに、攻撃の手口によっては、偽CAPTCHAの操作後に不正なログインページへ誘導され、IDやパスワードなどの認証情報を入力させられるケースもあります。

認証情報が盗まれると、メールやSNS、クラウドサービスなどのアカウントへ不正アクセスされるだけでなく、保存されている個人情報が漏洩する可能性もあります。

加えて、オンラインバンキングやキャッシュレス決済サービスの認証情報が窃取された場合は、不正送金や不正購入などの金銭的被害につながる恐れもあります。

このように、偽CAPTCHAによる被害は単なるマルウェア感染にとどまりません。

情報漏洩やアカウントの乗っ取り、さらには金銭的損失へ発展する可能性もあるため、不審なCAPTCHAが表示された場合は決して指示に従わないことが重要です。

偽CAPTCHAの見分け方

正規のCAPTCHAと偽CAPTCHAを見分けるには、以下の4つのポイントを確認することが重要です。

偽CAPTCHAによる被害を防ぐためには、不審な点がないかを冷静に確認し、安易に指示に従わないことが大切です。

「認証だから大丈夫」と思い込んで操作してしまわないよう、4つの見分け方について詳しく見ていきましょう。

Webサイトのドメインを確認する

まずは、アクセスしているWebサイトのURLやドメインが正規のものであるかを確認しましょう。

特に、見慣れないドメインや、本来のサービスとは異なるURLが使用されている場合は注意が必要です。文字を1文字だけ入れ替えたドメインや、公式サイトに似せたURLが使われるケースもあります。

また、URLが「https://」ではなく「http://」から始まっている場合は、通信が暗号化されていないため、通信内容が盗み見られたり改ざんされたりするリスクが高くなります。

「HTTPSだから安全」「HTTPだから危険」と断定できるわけではありませんが、HTTPSに対応していないサイトや不自然なURLのサイトでは、より慎重に安全性を確認するようにしましょう。

不審な指示内容に注意する

CAPTCHA認証は通常、チェックボックスの選択や画像認証などの操作だけで完了します。

そのため、「Windowsキー＋Rを押してください」「Ctrl＋Vで貼り付けてください」「PowerShellを開いてください」といったキー操作やコマンド入力を求められた場合は、偽CAPTCHAを疑いましょう。

正規のCAPTCHAでは、このような操作を求められることは基本的にありません。

不審な指示が表示された場合は、操作を実行せず、URLや誘導元を確認するようにしましょう。

表示される場所やタイミングを確認する

CAPTCHA認証は、主にログインや会員登録、お問い合わせフォームの送信など、本人確認が必要な場面で表示されます。

そのため、これらの操作とは関係のないタイミングで突然表示されたり、Webページを閲覧しただけでキー操作やコマンドの実行を求められたりした場合は、偽CAPTCHAの可能性があります。

表示されるタイミングだけで判断することはできませんが、不自然な表示や不審な操作を求められた場合は、安易に指示へ従わず、Webサイトの安全性を確認することが重要です。

誘導元のメールや広告を確認する

メールやSNSのメッセージ、インターネット広告などに記載されたリンクからアクセスした場合は、誘導元にも注意しましょう。

不自然な日本語が使われていたり、送信元が不明だったりする場合は、偽CAPTCHAへ誘導するフィッシングサイトの可能性があります。

また、検索結果に表示された広告やSNS上のリンクからアクセスした場合も、安易に信用せず、アクセス先のURLや表示内容を確認することが大切です。

このように、URLやドメイン、表示されるタイミング、指示内容、誘導元などを総合的に確認することで、偽CAPTCHAを見分けられる可能性があります。

特に、「Windowsキー＋Rを押してください」「PowerShellを開いてください」など、認証とは関係のない操作を求められた場合は、偽CAPTCHAを疑い、指示には従わずページを閉じるようにしましょう

偽CAPTCHAへの対策

偽CAPTCHAによる被害を防ぐためには、技術的な対策と利用者一人ひとりのセキュリティ意識の向上が重要です。

ここでは、偽CAPTCHAの被害を防ぐために実施したい5つの対策を紹介します。

それぞれの対策について、詳しく解説します。

OS・ソフトウェアを最新の状態に保つ

OSやブラウザなど、業務で利用しているソフトウェアは、常に最新の状態に保つことが重要です。

ソフトウェアの開発元は、脆弱性が発見されると、それを修正するための更新プログラム（セキュリティパッチ）を配布します。

これらの更新プログラムを適用せずに放置すると、既知の脆弱性を悪用した攻撃の標的となる可能性が高まります。

偽CAPTCHAによる攻撃は、利用者自身に不正な操作を実行させる手口が中心ですが、攻撃者はマルウェア感染後にOSやソフトウェアの脆弱性を悪用して被害を拡大させる場合もあります。

そのため、ソフトウェアを最新の状態に保つことは、被害の拡大を防ぐうえでも重要です。

企業や組織では、脆弱性に関する情報を定期的に確認し、セキュリティパッチを速やかに適用できる運用体制を整備しましょう。

また、手動で更新を行うと適用漏れが発生する可能性があるため、自動更新機能などを活用し、常に最新バージョンを維持することをおすすめします。

不審なCAPTCHAや指示に従わない

前述の通り、正規のCAPTCHAは、チェックボックスの選択や画像認証などの操作だけで認証が完了します。

そのため、「Windowsキー＋Rを押してください」「Ctrl＋Vで貼り付けてください」「PowerShellを開いてください」など、認証とは関係のない操作を求められた場合は、指示に従わず速やかにページを閉じましょう。

また、不審なサイトであると判断した場合は、ファイルのダウンロードや個人情報の入力も行わないことが重要です。

多要素認証（MFA）を設定する

多要素認証（MFA）とは、ユーザー本人であることを確認するために、「知識情報」「所持情報」「生体情報」のうち、2つ以上の認証要素を組み合わせる認証方式です。

知識情報	パスワードなどの特定のユーザーのみが知っている情報
所持情報	スマートフォンやICカードなど利用者本人が所持している情報
生体情報	指紋や静脈、顔、虹彩など、本人固有の身体情報

偽CAPTCHAによる攻撃では、IDやパスワードなどの認証情報が盗まれるケースがあります。

しかし、多要素認証（MFA）を設定しておけば、仮にID・パスワードが漏洩した場合でも、追加の認証が必要になるため、不正ログインされるリスクを大幅に低減できます。

そのため、メールやクラウドサービス、社内システムなど、多要素認証に対応しているサービスでは積極的に有効化することが推奨されます。

従業員へのセキュリティ教育を実施する

企業においては、従業員一人ひとりが偽CAPTCHAの手口や特徴を理解していることが重要です。

定期的なセキュリティ研修や注意喚起を実施し、不審なWebサイトや認証画面を見分けるための知識を従業員に定着させましょう。

また、攻撃者はフィッシングメールやSNSのメッセージ、オンライン広告などを利用して、偽CAPTCHAが表示されるWebサイトへ誘導するケースがあります。

そのため、不審なメールやメッセージの見分け方を共有したり、標的型攻撃メール訓練やフィッシングメール訓練を実施したりすることも効果的です。

従業員のセキュリティリテラシーを継続的に向上させることで、偽CAPTCHAをはじめとしたソーシャルエンジニアリング攻撃による被害の防止につながります。

EDRなどのセキュリティソリューションを導入する

EDR（Endpoint Detection and Response）とは、PCやスマートフォンなどのエンドポイントで発生する異常やインシデントの兆候をリアルタイムで検知し、迅速な調査・対応を支援するセキュリティソリューションです。

偽CAPTCHAによる攻撃では、利用者が不正なコマンドを実行することでマルウェアへ感染するケースがあります。

そこで、EDRを導入しておくことで、マルウェアの実行や不審な挙動を検知し、被害の拡大を防止できる可能性があります。

ただし、EDRはマルウェアの侵入防止ではなく、侵入後の検知・対応を主な目的とした製品です。

そのため、アンチウイルスや次世代アンチウイルス（NGAV）などのマルウェア対策製品と組み合わせ、多層的なセキュリティ対策を実施することが重要です。

偽CAPTCHAの被害にあった場合の対処法

偽CAPTCHAの指示に従ってしまった場合は、マルウェア感染や認証情報の漏洩につながる恐れがあります。

ここでは、万が一偽CAPTCHAの指示に従ってしまった場合に、被害を最小限に抑えるための5つの対処法を紹介します。

特に企業や組織では、初動対応が遅れると、マルウェアの感染や情報漏洩の被害が組織全体へ拡大する可能性があります。

一人で判断して対応を進めるのではなく、速やかにセキュリティ担当者へ報告し、適切な手順に沿って対処することが重要です。

デバイスをネットワークから切り離す

マルウェア感染の疑いがある場合は、まずデバイスをインターネットや社内ネットワークから切り離しましょう。

LANケーブルを抜いたり、Wi-Fiを無効化したりして通信を遮断することで、情報の外部送信や攻撃者との通信を停止できる可能性があります。

また、マルウェアが社内ネットワーク上の他のデバイスへ感染を広げたり、攻撃者が組織内で不正な活動を継続したりするリスクを抑えるためにも、早期にネットワークを遮断することが重要です。

ID・パスワードを変更する

偽CAPTCHAの指示に従ってしまった場合は、ブラウザに保存されていた認証情報や、入力したID・パスワードなどが窃取されている可能性があります。

そのため、利用しているサービスやシステムのパスワードは、速やかに変更することが重要です。

また、同じパスワードを複数のサービスで使い回している場合は、それらのアカウントについてもあわせて変更しましょう。

さらに、多要素認証（MFA）を有効にすることで、万が一認証情報が漏洩した場合でも、不正ログインのリスクを低減できます。

セキュリティ担当部門へ速やかに報告する

業務用デバイスで偽CAPTCHAの指示に従ってしまった場合は、自己判断で対応を進めず、情報システム部門やセキュリティ担当者などへ速やかに報告し、指示を仰ぎましょう。

マルウェア感染の有無や影響範囲の調査、必要な封じ込め対応には専門的な知識やツールが必要となるため、個人で対処しようとすると被害を拡大させてしまう恐れがあります。

早期に報告することで、感染したデバイスの隔離や影響範囲の調査を迅速に進められるほか、同様の被害が他の従業員へ広がることを防ぎ、組織全体への被害拡大を抑えることにつながります。

不審なプログラムや通信がないか確認する

デバイス内に見覚えのないアプリケーションがインストールされていないか、不審なプロセスが実行されていないかを確認しましょう。

また、見覚えのない通信先との通信や、通常とは異なるネットワーク通信が発生していないかを確認することも重要です。

こうした不審な挙動が確認された場合は、マルウェアに感染している可能性があります。

自己判断で対応せず、速やかに情報システム部門やセキュリティ担当者へ報告し、組織の手順に従ってアンチウイルスソフトやEDRによる調査を実施することが重要です。

アンチウイルスソフトやEDRでデバイスを調査する

アンチウイルスソフトやEDRを利用してデバイスの詳細なスキャンを実施し、不正なプログラムや不審な挙動がないかを調査しましょう。

マルウェアが検出された場合は、組織の運用手順に従って隔離や駆除などの対応を実施し、デバイスの安全性を確認することが重要です。

偽CAPTCHAによる被害は、初動対応の早さによって被害規模が大きく変わる場合があります。

そのため、少しでも不審な操作を実行してしまった場合は、「問題ないだろう」と自己判断せず、速やかに必要な調査や対処を進めることが重要です。

偽CAPTCHA対策に役立つ「Auroraシリーズ」

従業員が偽CAPTCHAにだまされ、不正なコマンドを実行してしまった結果、デバイスがマルウェアに感染するケースもあります。

こうしたリスクに備えるには、マルウェアの侵入を防ぐ対策だけでなく、万が一侵入された場合に異常を検知し、迅速に対応できる体制を整えることが重要です。

そこで本記事では、企業・組織のエンドポイントセキュリティ強化を支援する「Auroraシリーズ」について紹介します。

Auroraシリーズでは、以下3種類の製品・サービスを提供しています。

アンチウイルスによる侵入防止に加え、EDRによる検知・対応、さらに専門家による監視を組み合わせることで、自社の体制に応じた多層防御を構築できます。

それぞれの特徴について、詳しく見ていきましょう。

次世代型アンチウイルス「Aurora Protect」

「Aurora Protect」は、AI（人工知能）を活用した次世代型アンチウイルス製品（NGAV）です。

AIの機械学習によってマルウェアの特徴を自動分析し、その結果をもとに、未知・亜種を含む最新のマルウェアやランサムウェアを、実行前に検知・隔離できます。

また、従来のシグネチャ型アンチウイルスのような頻繁な定義ファイルの更新が不要なため、運用負荷の軽減にもつながります。

さらに、CPU使用率は平均0.3％と低く、業務への影響を抑えながら運用できる点も特長です。

AIアンチウイルス統合型EDR「Aurora Focus」

「Aurora Focus」は、「Aurora Protect」とあわせて導入できるAIアンチウイルス統合型のEDRサービスです。

「Aurora Protect」と組み合わせることで、アンチウイルスによる侵入防止に加え、侵入後の不審な挙動や未知の脅威を検知・調査し、多層的なエンドポイントセキュリティの構築に役立ちます。

また、不審なプロセスや異常な挙動を可視化することで、インシデント発生時の迅速な原因調査や対応をサポートできます。

専門家が24時間365日監視するMDR「Aurora Managed Endpoint Defense」

EDRは、エンドポイントに侵入した脅威の検知・対応に有効な対策ですが、24時間365日の監視やアラート分析、インシデント対応など、高度な運用が求められます。

そのため、「社内に十分な運用体制を確保できない」「セキュリティ担当者の負担が大きい」といった課題を抱える企業・組織も少なくありません。

「Aurora Managed Endpoint Defense」は、そのような企業・組織向けに提供するMDR（Managed Detection and Response）サービスです。

セキュリティの専門家が24時間365日体制でEDRを監視・分析し、脅威の早期検知やインシデント対応を支援することで、担当者の負担軽減にもつながります。

「Auroraシリーズ」は、3製品を組み合わせた運用はもちろん、アンチウイルス単体や、アンチウイルス＋EDRといった構成にも柔軟に対応可能です。

偽CAPTCHAのようなソーシャルエンジニアリング攻撃では、従業員へのセキュリティ教育だけでなく、マルウェアの侵入防止、侵入後の検知・対応までを見据えた多層的な対策が重要です。

エンドポイントセキュリティの強化を検討している企業・組織の方は、自社の運用体制に適したソリューションの導入を検討してみてはいかがでしょうか。

マルウェア感染時の迅速な復旧に「インシデント対応パッケージ」

「マルウェアに感染したかもしれない」「Webサイトやサービスへ不正ログインされた形跡がある」など、サイバー攻撃を受けた可能性がある場合は、被害状況を正確に把握し、迅速に復旧へ向けた対応を進めることが重要です。

そのような場合は、セキュリティの専門家が調査から復旧までを支援する「インシデント対応サービス」の活用も選択肢の一つです。

「LANSCOPE サイバープロテクション」のインシデント対応パッケージでは、フォレンジック調査の専門家がお客様の環境を調査し、感染状況や影響範囲を特定します。

さらに、マルウェアや脅威の封じ込め、復旧支援、再発防止に向けた対策の提案まで、一連のインシデント対応をサポートします。

インシデント対応パッケージの詳細については、下記のページをご覧ください。

まとめ

本記事では、「偽CAPTCHA」をテーマに、被害リスクや見分け方、具体的な対策、万が一だまされてしまった場合の対処法について解説しました。

偽CAPTCHAは、正規のCAPTCHAと見た目がよく似ているため、違和感を覚えないまま操作してしまうケースも少なくありません。

そのため、企業・組織では、情報セキュリティ教育を通じて、偽CAPTCHAの手口や見分け方を従業員へ周知するとともに、不審な操作を求められた際の対応方法についても共有しておくことが重要です。

また、万が一偽CAPTCHAの指示に従ってしまった場合に備え、アンチウイルスやEDR、MDRなどを組み合わせた多層的なエンドポイントセキュリティ対策を講じておくことも重要です。

本記事で紹介した「Auroraシリーズ」は、企業・組織のエンドポイントセキュリティ強化を支援する3つのソリューションを提供しています。

3製品を組み合わせた運用だけでなく、アンチウイルス単体やアンチウイルスとEDRを組み合わせた構成など、企業・組織のセキュリティ要件や運用体制に応じて柔軟に導入できます。

エンドポイントセキュリティの強化を検討している企業・組織の方は、ぜひご活用ください。