対策は？

　もし、電卓ソフトを起動してしまった方が一人でもいれば、この攻撃手法の有効性が高いことが分かるでしょう。クイズのように見えるかもしれませんが、社内で誰か一人でも引っ掛かってしまえば、攻撃者に侵入の糸口を与えてしまうことになります。なかなかずる賢い手法ですね。

　対策は、上記のラックの記事にもあるように、情報システム部門や管理部門などが、業務に支障のない範囲で「PowerShell」や「ファイル名を指定して実行」などの“コマンド実行ツール”を制限するグループポリシーを設定することです。

　おそらく、多くの一般社員は［Win］＋［R］の機能を日常的に活用しているわけではないと思われます。ClickFixのような脅威が現実に迫っている今、この機能に一時的な制限を加えるという判断について、社内で受け入れてもらえるよう調整を進めることが、最も安全な対応といえるかもしれません。

　また、この手法を「知っておく」ことが何よりも重要です。サイバー攻撃は激化するとともに、その手法も日々進化しています。ClickFixは比較的新しい攻撃手法であるため、まずはその存在を知識として知っておくことが大切です。さらに、例えば、画面に表示される指示が「これまでに見慣れない手順」であった場合は、いったん立ち止まり、社内に確認することを習慣付ける必要があります。

　この手法は、組織だけでなく「個人」も対象としている点に注意が必要です。多くの場合、正規のWebサイトに表示される広告や、受信したメール内のURLを開いた際に、このような指示が表示されることがあります。例えば、「動画サービスを無料で見る方法を教えます！」といった“裏技”を装い、今回紹介したような手順を実行させようとするケースも考えられます。そのような場面で「おかしい！」と気付くためには、あらかじめこの手法の存在を知っておくことが重要です。可能であれば、今回の内容をお子さまや同僚、仲間内にも共有し、警戒の準備を進めておいてください。

　かつて「オレオレ詐欺」といえば、高齢者が引っ掛かる詐欺という印象が強くありました。若い世代の多くは、「なぜこんな手法に引っ掛かるのだろう？」と思っていたはずです。しかし現在では、若者を狙った詐欺も横行しており、フィッシング詐欺や、今回紹介したようなマルウェア混入型の手法など、年齢を問わず誰もが被害に遭う可能性のある詐欺が登場しています。詐欺被害に遭った人を笑ってはいけません。いずれ自分も、同じ道をたどるかもしれないのです。

　以前までは、PCの脅威といえばマルウェアが代表的でしたが、今ではフィッシングを含めた詐欺こそが、最も深刻な脅威となっています。このような脅威は、ソリューションだけでは完全に対応することができず、一人で立ち向かうのも困難です。社会全体で守っていくためには、まず「学ぶこと」から始めることが大切です。ぜひ、今回の内容を職場でも話題にしていただき、周囲と一緒に備えるきっかけとしていただければ幸いです。

著者紹介：

宮田健（みやた たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門「木曜日のフルット」と学ぼう！＜漫画キャラで学ぶ大人のビジネス教養シリーズ＞』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる本です。

筆者より：TechFactoryでの本連載では、ITセキュリティの「あるべき論」「正論」だけでなく、モノづくりに携わる方たちに「気楽に」「楽しく」セキュリティを考えていただけるように、さまざまな話題を取り上げたいと思います。「セキュリティっていわれてもねえ……」と思わず考えてしまった皆さんに覚えていただけるようなコラムにしたいと思います。お楽しみに！