#75 そのCAPTCHA、本物？ 偽の認証画面を悪用する「ClickFix」とは

第75回目の放送です。今回のテーマは「ClickFix」。いつものように「私はロボットではありません」にチェックを入れたところ、続けて「認証を完了するために、Windowsキー＋Rを押してください」と表示されたら、あなたは指示に従いますか？ JPCERT/CCが2025年7月に公開したレポートでは、改ざんされたウェブサイトに偽のCAPTCHAを表示し、利用者自身の手で攻撃者のコマンドを実行させる手口が報告されています。Ctrl＋Cを押した覚えはないのに、Ctrl＋Vで貼り付けられるものの正体とは。チェックボックスの裏で動く仕掛けを解き明かし、Windows標準のMSHTAが悪用された事例にも触れながら、利用者が立ち止まるべきポイントと、アプリケーション制御やEDRといった組織側の対策を整理しました。止めすぎれば業務が回らない、という実行制御の設計の悩ましさにも踏み込んでいます。オープニングは、信号機やバイクの画像選びで迷うCAPTCHAあるあるから。「人間であることを証明してください」と求められ、ウサギのまさるが抱える葛藤とは？ 迷う動きこそが人間らしさ、という話の行き先もお楽しみください！ オープニング｜CAPTCHAで迷うのは人間の証？ ‎00:00:00 ClickFixとは｜偽のCAPTCHAが攻撃の入口に ‎00:05:35 「Windowsキー＋Rを押してください」に従いますか？ ‎00:07:20 JPCERT/CCの事例｜改ざんサイトに表示される偽CAPTCHA ‎00:08:34 クリップボードの仕掛け｜コピーしていないのに貼り付けられるもの ‎00:10:10 対策｜立ち止まる・報告する・アプリケーション制御とEDR ‎00:12:53 MSHTAの悪用｜実行制御と業務のバランス ‎00:16:05 スリーウェイハンドシェイク｜ミドリンクさんのコメント ‎00:20:29 イベント告知とエンディング ‎00:25:39 presented by まさる ＆ かとこ 感想やコメントはYoutubeへ ━━━━━━━━━━━━━━━━━━━━ まさるの勉強部屋 公式LINE ━━━━━━━━━━━━━━━━━━━━ 学習に役立つ情報やお知らせを配信しています ぜひお気軽にご登録ください！ https://lin.ee/xirUlvH