macOSは安全だから大丈夫、という前提だけでは足りなくなっています。Microsoftが2026年5月に公開した調査では、ClickFix campaign uses fake macOS utilities lures to deliver infostealersとして、偽のmacOSユーティリティ修正手順を使い、利用者に悪意あるTerminalコマンドを実行させる攻撃が確認されています。結論から言うと、管理者がまず確認すべきなのは「ユーザー教育」「Terminal・curl・osascript・Base64の監視」「Microsoft Defender for EndpointなどEDR/XDRでのmacOS検知」「Keychain・ブラウザ資格情報・暗号資産ウォレット周辺の保護」です。Microsoftは、この攻撃がMacsync、Shub Stealer、AMOSなどのインフォスティーラーを配布し、iCloudデータ、Keychain、ブラウザ資格情報、暗号資産ウォレット関連情報を窃取する可能性があると説明しています。(Microsoft)
Microsoftが公開したClickFix macOS攻撃の概要
Microsoft Defender Security Research TeamとMicrosoft Defender Expertsは、macOSユーザーを狙うClickFix型のインフォスティーラー配布キャンペーンを報告しました。記事上の公開日は米国時間で2026年5月6日です。日本時間では2026年5月7日前後に確認した読者もいるため、社内アナウンスでは「2026年5月公開のMicrosoft公式情報」として扱うと混乱を避けやすいでしょう。(Microsoft)
ClickFixとは、ユーザーに「問題を修正するには、このコマンドを実行してください」と思わせ、実際にはマルウェアを起動させるソーシャルエンジニアリング型の攻撃です。今回の特徴は、macOSのディスク容量最適化やシステムユーティリティ導入のような自然な文脈を使い、ブログ、ユーザー投稿型サイト、ノート共有サービスなどに悪意ある手順を掲載している点です。(Microsoft)
従来の不審なアプリ配布と異なり、今回の攻撃ではユーザー自身がTerminalにコマンドを貼り付けます。そのため、アプリバンドルをFinderから開く際に働くGatekeeperのような確認とは異なる経路で実行され、従来型の防御だけでは見落としやすくなります。Microsoftは、Terminalから直接ダウンロード・実行されるスクリプトが、アプリバンドルと同じ評価を受けない点を重要なリスクとして挙げています。(Microsoft)
何が変わったのか：DMG配布から「Terminalに貼り付ける手順」へ
今回の変更点を一言で表すと、攻撃者が「不審なアプリを開かせる」よりも、「正規の操作に見えるTerminal手順を実行させる」方向へ寄せていることです。
Microsoftによると、過去のキャンペーンでは、ユーザーに.dmgファイルを手動インストールさせる手口が使われていました。今回の活動では、Terminalコマンドを使ってリモートコンテンツを取得し、スクリプトベースのローダーを実行する手口に移っています。(Microsoft)
| 観点 | 従来型の配布 | 今回確認されたClickFix型 |
|---|---|---|
| ユーザーに見える行動 | アプリやDMGをダウンロードして開く | Web上の修正手順を見てTerminalに貼り付ける |
| 攻撃の見え方 | 不審なインストーラーに見える場合がある | 「Macの不具合を直すコマンド」に見える |
| 主な実行経路 | アプリバンドル、インストーラー | curl、Base64、Gunzip、osascript、shellなど |
| 防御上の難しさ | ファイル検査や署名確認で止められる可能性 | ユーザー操作と正規ツール悪用が混ざりやすい |
| 管理者の監視ポイント | ダウンロードファイル、アプリ実行 | Terminal、スクリプト実行、外部通信、資格情報アクセス |
この変化は、管理者にとって重要です。macOS端末にEDRを入れていても、「ユーザーが正規ツールを使って実行した処理」と「攻撃者が誘導した悪性処理」を区別できるログ設計やアラート設計がなければ、初動検知が遅れる可能性があります。
攻撃の流れ：偽の修正手順から情報窃取まで
今回のClickFixキャンペーンは、単純なダウンローダーではありません。Microsoftは、少なくとも3つの実行パスとして、ローダーインストールキャンペーン、スクリプトインストールキャンペーン、ヘルパーインストールキャンペーンを整理しています。いずれも目的は、機密データの収集、永続化、外部送信です。(Microsoft)
偽のmacOSユーティリティや修正記事で誘導する
攻撃者は、macOSの問題解決を装った投稿を使います。たとえば、ディスク容量の最適化、隠しファイルの修正、ユーティリティの導入など、Macユーザーが検索しやすい悩みに寄せた内容です。Microsoftは、MediumやCraftのようなプラットフォーム、独立したWebサイト上にClickFix手順が掲載されていた事例を報告しています。日本語を含む複数言語で表示されるページも確認されています。(Microsoft)
実務上は、以下のような案内が出た時点で危険信号と考えるべきです。
- 「このコマンドをTerminalに貼り付ければMacが最適化されます」
- 「ストレージ不足を直すために以下のスクリプトを実行してください」
- 「Base64でエンコードされた手順をコピーしてください」
- 「パスワードを入力するとヘルパーツールをインストールできます」
- 「公式ユーティリティのように見えるが、提供元が確認できない」
Terminalコマンドでローダーを実行する
ユーザーがコマンドを貼り付けると、curlなどで攻撃者のインフラからスクリプトを取得し、Base64やGzipで隠されたペイロードを展開して実行します。Microsoftは、osascriptによるAppleScript実行、shell経由でのパイプ実行、Mach-O実行ファイルの取得など、複数のパターンを確認しています。(Microsoft)
管理者が特に注意すべきなのは、これらのコマンド単体は業務や開発でも使われる点です。curl、base64、osascript、dscl、launchctlをすべて禁止すればよい、という単純な話ではありません。重要なのは、不自然な組み合わせを検知することです。
| 監視したい組み合わせ | 疑うべき理由 |
|---|---|
curlで外部から取得した内容をそのままshellやosascriptへ渡す | ペイロードをディスクに残さず実行する手口で使われやすい |
base64 -dやGunzipの直後にスクリプト実行 | 難読化された命令の展開と実行が疑われる |
dsclでユーザー認証を確認した後に外部通信 | 入力されたmacOSパスワードの悪用が疑われる |
/tmp配下に実行ファイルやZIPが作成される | 一時フォルダでのステージングやデータ圧縮が疑われる |
launchctlやplist作成がTerminal操作直後に発生 | 永続化の準備が疑われる |
資格情報、Keychain、ウォレット、iCloudデータを狙う
Microsoftの調査では、マルウェアがブラウザ資格情報、メモ、メディアファイル、Telegramデータ、暗号資産ウォレット、Keychainエントリ、iCloudアカウントデータなどを収集する動きが確認されています。さらに、2MB未満の文書ファイルを収集対象にし、PDF、DOCX、wallet、key、kdbx、seedなどの拡張子を狙う動きも説明されています。(Microsoft)
特に危険なのは、暗号資産ウォレットアプリの改ざんです。Microsoftは、Ledger Wallet、Trezor Suite、Exodusなどの正規アプリが攻撃者管理のトロイの木馬化されたアプリに置き換えられるケースを報告しています。ユーザーが感染に気づかず使い続けると、その後の取引まで危険にさらされます。(Microsoft)
影響範囲：誰が優先して確認すべきか
今回のClickFix macOS攻撃は、Microsoft製品の設定変更だけで完結する問題ではありません。影響を受けるのは、macOS端末を業務利用している組織全体です。特に、Microsoft Defender for Endpoint、Microsoft Defender XDR、Microsoft Security Copilot、Microsoft Intuneなどを使っている組織では、検知・調査・封じ込めの運用を見直す価値があります。
| 対象 | 影響 | 優先対応 |
|---|---|---|
| 一般のmacOS利用者 | 偽の修正手順に従ってTerminalコマンドを実行するリスク | 不明なコマンドを貼り付けない教育、怪しい記事の報告導線 |
| 情シス・セキュリティ管理者 | 正規ツール悪用により初動検知が難しくなる | EDR/XDRのアラート、Terminal監視、外部通信監視 |
| 開発者 | curl、shell、osascriptを日常的に使うためノイズが多い | 開発端末向けの例外設計と高リスク操作の監査 |
| 経理・役員・暗号資産関連業務の端末 | ウォレット、ブラウザ、Keychainの窃取リスクが高い | 端末分離、MFA、ウォレット利用ルールの明確化 |
| SOC運用担当 | Base64、plist、launchctl、HTTP POSTなどの相関分析が必要 | ハンティングクエリとIOCの定期確認 |
「Macだから対象外」と考えている企業ほど、今回の情報は優先度を上げて確認すべきです。攻撃者はOSの脆弱性だけでなく、ユーザーの検索行動と作業習慣を狙っています。
管理者が確認すべきMicrosoft Defender関連の設定
Microsoftは、今回の脅威に対する軽減策として、Microsoft Defender Antivirusのクラウド提供保護、Microsoft Defender for EndpointのEDR in block mode、自動調査と修復のフル自動化、改ざん防止機能の有効化などを推奨しています。(Microsoft)
クラウド提供保護を有効にする
クラウド提供保護は、新しい攻撃ツールや変化の速い手口に追随するための重要な設定です。今回のように配布インフラやスクリプトが変化する攻撃では、端末内の静的な検知だけに頼ると対応が遅れる可能性があります。(Microsoft)
管理者は、Defender for EndpointにオンボードされたmacOS端末で、クラウドベースの保護やサンプル送信、EDRセンサーが期待どおり機能しているかを確認してください。
EDR in block modeを確認する
EDR in block modeは、Microsoft Defender Antivirusがパッシブモードで動作している場合でも、Defender for Endpointが検知した悪性アーティファクトをブロック・修復できるようにする機能です。Microsoftは今回の脅威に対して、この設定の有効化を推奨しています。(Microsoft)
既存の他社AV製品と併用している環境では、Defenderが「ログを見るだけ」になっていないかが重要です。検知後にブロックできる状態なのか、アラートだけで運用担当者の手作業に依存しているのかを切り分けてください。
自動調査と修復をフル自動にする
Microsoftは、Defender for Endpointの自動調査と修復をフル自動モードにすることも推奨しています。インフォスティーラーは、感染後すぐに資格情報やウォレット関連データを送信する可能性があるため、アラート確認から手動隔離までの時間が長いほど被害が広がります。(Microsoft)
ただし、開発端末では正規のスクリプト実行も多いため、いきなり全端末で厳格化すると業務影響が出る場合があります。まずは高リスク部門、管理者権限を持つ端末、機密データを扱う端末から段階的に適用し、誤検知の傾向を確認するのが現実的です。
改ざん防止とローカル除外設定を見直す
Microsoftは、攻撃者がセキュリティサービスを停止したり、ローカル管理者権限で除外設定を追加したりするリスクに対し、改ざん防止機能とDisableLocalAdminMerge設定の組み合わせに触れています。(Microsoft)
端末管理の現場では、「一部ユーザーにローカル管理者権限を付けている」「開発者が自由に除外設定を追加できる」といった運用が残りがちです。今回のような攻撃では、ユーザー自身が実行したコマンドを起点に権限悪用や永続化へ進むため、ローカル除外設定の扱いを再点検してください。
macOS側で確認すべき設定と運用ポイント
Microsoftの記事では、Apple XProtectがこの脅威に対するシグネチャを更新していること、さらにmacOS 26.4以降ではClickFixの配布メカニズムに直接対応する緩和策が導入されていることが説明されています。Terminalへ潜在的に悪意あるコマンドを貼り付けようとすると、貼り付けがブロックされる旨の警告が表示されるとされています。(Microsoft)
管理者は、macOSのアップデートを「機能追加」ではなく「ClickFix対策」として説明すると、ユーザーの理解を得やすくなります。
| 確認項目 | 管理者の判断基準 |
|---|---|
| macOSの更新状況 | 業務アプリ互換性を確認しつつ、可能な端末から新しいセキュリティ緩和策を取り込む |
| XProtectの更新 | セキュリティアップデートが止まっている端末を洗い出す |
| Terminal利用者 | 開発者、情シス、データ分析担当などを分け、通常利用パターンを把握する |
| 管理者権限 | 常時管理者権限を付与している端末を減らす |
| 暗号資産ウォレット | 業務利用の有無、端末分離、バックアップ、取引承認手順を確認する |
注意したいのは、macOSの保護機能が更新されても、すべての攻撃が自動的に止まるとは限らない点です。攻撃者は手順を変え、別のアプリ、別のスクリプト、別の誘導文を使う可能性があります。OS更新は重要ですが、ユーザー教育とEDR監視を組み合わせて初めて実効性が高まります。
開発者が注意すべきポイント
開発者は、Terminal、curl、shell、Base64、Git、パッケージマネージャーを日常的に使います。そのため、今回のClickFix攻撃は「初心者だけが引っかかる手口」とは言い切れません。むしろ、コマンド操作に慣れている人ほど、短いワンライナーを深く確認せず実行してしまうことがあります。
コピペ実行前に見るべき3つのポイント
開発者向けには、「知らないコマンドを実行しない」だけでは現実的ではありません。代わりに、実行前の確認観点を明文化してください。
| 確認ポイント | 危険な例 | 安全側の行動 | ||
|---|---|---|---|---|
| 取得元 | 個人ブログ、短縮URL、投稿サイト、用途不明ドメイン | 公式ドキュメントやリポジトリの原文を確認する | ||
| 実行形式 | curl ... | sh、curl ... | osascript | いったんファイルに保存し、中身を読んでから実行する | ||
| 権限要求 | パスワード入力、sudo、Keychainアクセス | 目的と処理内容が一致するか確認する |
特に、curlで取得した内容をそのままshやosascriptへ渡すパターンは、今回の攻撃のように悪用されやすい形式です。業務ルールとして、外部スクリプトのパイプ実行を禁止またはレビュー対象にするだけでも、リスクを下げられます。
開発端末のログを「全部怪しい」にしない
開発端末では、curlやBase64の利用が多く、単純な検知条件だけではアラート疲れが起きます。実務では、以下のような条件を組み合わせると調査しやすくなります。
- 外部ドメインから取得したスクリプトが即時実行された
- Terminal操作の直後にKeychainやブラウザプロファイルへのアクセスが発生した
/tmp配下でZIP作成後、HTTP POST通信が発生したLaunchAgentsやLaunchDaemonsに新しいplistが作成された- Google Updateなど正規ソフトに見える名前で永続化された
Microsoftの記事では、~/Library/Application Support/Google/GoogleUpdate.app/Contents/MacOS/GoogleUpdateや~/LaunchAgents/com.google.keystone.agent.plistなど、正規アップデートに見える名前を使う永続化も説明されています。(Microsoft)
Microsoft Defenderで使える検知・ハンティング観点
Microsoftは、Defender利用者向けに関連アクティビティを探すハンティングクエリを公開しています。例として、loader.sh?build=やpayload.applescript?build=を含むネットワークイベント、/tmp/helperや/tmp/updateへの取得、curlと/api/bot/heartbeatを含むプロセス実行、osascript経由の実行などが挙げられています。(Microsoft)
WordPress記事として詳細なKQL全文を掲載するより、実務では次の観点でSOCや運用チームに連携するとよいでしょう。
| 調査観点 | 見るべきログ |
|---|---|
| 初期侵入 | Terminal、shell、curl、osascript、Base64の実行履歴 |
| ペイロード取得 | 不審ドメインへのHTTP/HTTPS通信、script.sh取得 |
| 永続化 | LaunchAgents、LaunchDaemons、plist作成、launchctl実行 |
| 資格情報アクセス | Keychain、ブラウザプロファイル、SSHキー、クラウド認証情報へのアクセス |
| データ持ち出し | ZIP作成、/tmp配下のステージング、curlによるHTTP POST |
| 痕跡削除 | ステージングフォルダ削除、実行後の一時ファイル削除 |
Microsoft Defender Antivirusの検知名としては、Trojan:MacOS/Multiverze、Trojan:MacOS/SuspMalScript、Behavior:MacOS/SuspAmosExecution、Behavior:MacOS/SuspOsascriptExec、Behavior:MacOS/SuspDownloadFileExecなどが示されています。データ収集や外部送信に関しても、Behavior:MacOS/SuspPassSteal、Behavior:MacOS/SuspInfoExfil、Trojan:MacOS/SuspMacSyncExfilなどが挙げられています。(Microsoft)
展開・移行時の注意点：macOS端末をどう守るか
今回の情報は、単にIOCをブロックリストへ追加して終わるものではありません。攻撃者のインフラは変わるため、展開・移行の観点では「検知できる運用」に変えることが重要です。
Microsoft Defender for EndpointのmacOS展開を見直す
macOS端末が社内にあるにもかかわらず、Defender for Endpointのオンボーディング対象外になっているケースは珍しくありません。特に、デザイナー、開発者、役員、外部委託メンバーのMacが抜けやすい領域です。
確認すべき項目は以下です。
- すべての業務用Macが資産管理台帳に登録されているか
- Microsoft Defender for Endpointにオンボードされているか
- センサーが正常に稼働しているか
- クラウド保護、EDR、改ざん防止が有効か
- IntuneなどのMDMでmacOS更新と設定配布を管理できているか
- ローカル管理者権限の付与が最小限か
「Windows端末は管理済み、Macは自己管理」という状態では、今回のような攻撃の検知が遅れます。Microsoft 365やEntra IDのアカウントを同じMacで利用している場合、端末侵害はクラウドID侵害にもつながります。
既存ルールの移行では「Windows前提」を外す
Windows向けに作った検知ルールを、そのままmacOSへ移しても十分ではありません。macOSでは、osascript、LaunchAgents、LaunchDaemons、Keychain、.appバンドル、/tmp配下の挙動など、見るべきポイントが異なります。
たとえば、WindowsのPowerShell監視に力を入れている組織は、macOS版として以下の監視を追加する必要があります。
- Terminalやzsh/bashからの外部スクリプト取得
osascriptによるAppleScript実行~/Library/LaunchAgentsと/Library/LaunchDaemonsへのplist作成- Keychainやブラウザ保存情報への不審アクセス
/tmp配下での実行ファイル作成、ZIP作成、削除- 正規サービス名を装った永続化
macOS対応を「Windows Defenderの延長」としてではなく、macOS固有の攻撃面を前提に設計し直すことが大切です。
ユーザー教育で伝えるべきメッセージ
ClickFix対策では、ユーザー教育が非常に重要です。ただし、「怪しいサイトに注意しましょう」だけでは行動に結びつきません。社内向けには、次のように具体的な判断基準として伝えると効果的です。
| ユーザーに伝える内容 | 具体的な言い方 |
|---|---|
| Terminalにコマンドを貼り付けない | Web記事やチャットで案内されたコマンドは、情シス確認なしに実行しない |
| Macの最適化ツールを勝手に入れない | ディスク整理、メモリ解放、隠しファイル修正をうたうツールは承認済みのみ利用する |
| パスワード入力を疑う | 修正ツールがmacOSパスワードを求めたら中断して報告する |
| 暗号資産ウォレット端末を分ける | 業務端末でウォレットを扱わない、扱う場合は専用ルールに従う |
| 迷ったらスクリーンショットで報告 | コマンドを実行する前に画面を共有する |
教育資料には、禁止事項だけでなく「どうすればよいか」も入れてください。たとえば、「Macのストレージ不足を解消したい場合は、社内の申請フォームから問い合わせる」「開発ツールのインストールは公式ドキュメントのURLを添えて申請する」といった代替手順を用意すると、現場で守られやすくなります。
インシデントが疑われる場合の初動対応
ユーザーが不審なTerminalコマンドを実行した可能性がある場合、最初の数時間が重要です。インフォスティーラーは、感染後に資格情報を素早く収集・送信するため、端末の隔離だけでなく、アカウント側の保護も同時に進める必要があります。
推奨される初動は以下です。
| 優先度 | 対応 | 理由 |
|---|---|---|
| 高 | 端末をネットワークから隔離する | 追加ペイロード取得や外部送信を止める |
| 高 | Microsoft Defenderポータルで端末タイムラインを確認する | 実行コマンド、外部通信、ファイル作成を追跡する |
| 高 | ユーザーのMicrosoft 365、Entra ID、主要SaaSのセッションを失効させる | Cookieや資格情報窃取後の横展開を防ぐ |
| 高 | パスワード変更とMFA再確認を行う | Keychainやブラウザ保存情報の漏えいを前提にする |
| 中 | LaunchAgents、LaunchDaemons、/tmp、GoogleUpdate偽装を確認する | 永続化の有無を調べる |
| 中 | 暗号資産ウォレットや秘密鍵の利用有無を確認する | トロイの木馬化アプリや鍵漏えいの影響を判断する |
| 中 | IOCとハンティング条件で横展開調査を行う | 同じ誘導を受けた端末を探す |
ユーザーに対しては、責めるのではなく「どの記事を見たか」「どのコマンドを実行したか」「パスワードを入力したか」を早く聞き取ることが重要です。ClickFixは人間の判断を悪用する攻撃なので、報告しやすい雰囲気を作ることも防御の一部です。
今回の情報を社内で展開するチェックリスト
最後に、管理者が今日から確認できる項目をまとめます。
| チェック項目 | 完了の目安 |
|---|---|
| macOS端末の一覧化 | 業務用Mac、BYOD、委託先端末の扱いが明確になっている |
| Defender for Endpointのオンボード確認 | 対象MacがDefenderポータルで可視化されている |
| クラウド提供保護とEDR in block modeの確認 | 推奨設定が有効で、例外設定が棚卸しされている |
| Terminal悪用の検知条件追加 | curl、Base64、osascript、dscl、launchctlの不審な組み合わせを監視できる |
| macOS更新方針の確認 | セキュリティ更新を止めている端末が把握されている |
| ユーザー教育の更新 | 「Terminalに貼り付ける修正手順」を具体例として注意喚起している |
| インシデント手順の整備 | 端末隔離、セッション失効、パスワード変更、横展開調査の手順がある |
今回のClickFix campaign uses fake macOS utilities lures to deliver infostealersで最も重要なのは、攻撃者が「Macの便利な修正手順」に見せかけて、ユーザー自身に侵入経路を作らせている点です。Microsoft DefenderやmacOSの保護機能を最新にするだけでなく、Terminal操作の監視、Keychain・ブラウザ資格情報の保護、開発者向けのコマンド実行ルール、報告しやすい社内フローをセットで整備してください。まずは、社内のmacOS端末がDefender for Endpointで見えているか、そして不審なTerminal実行を検知できるかを確認することから始めるのが現実的です。
コメント