暗号資産ユーザーを狙う偽ブラウザ更新・偽CAPTCHAマルウェア

偽CAPTCHAや偽ブラウザ更新の攻撃は、あなた自身にマルウェアをインストールさせる手口です。Webサイトが本物らしい「人間であることを確認してください」というボックスや「ブラウザを更新してください」という警告を表示し、ファイルをダウンロードするか、コマンドをコンピューターに貼り付けるよう指示します。その結果、暗号資産ウォレットのデータ、パスワード、ブラウザのセッションを盗むソフトウェアがインストールされます。本物のCAPTCHAやブラウザ更新が、コマンドウィンドウを開くことや、無関係なサイトからダウンロードしたファイルを実行することを求めることは決してありません。

暗号資産ユーザーが主な標的になるのは、感染したコンピューター1台から、ホットウォレットのファイル、メモに保存したシードフレーズ、取引所のセッション、パスワードマネージャーが流出しうるためです。このガイドでは、これらの攻撃の仕組み、危険信号、そして実行してしまったと思われる場合の対処法を解説します。

偽CAPTCHAの手口の仕組み

セキュリティ研究者の間で「ClickFix」と呼ばれることが多いこの手法は、被害者自身をインストール担当にしてしまいます。

1. 1あるページにたどり着く — ハッキングされたブログ、偽のドキュメントビューアー、海賊版ソフトウェアのサイト、あるいは暗号資産コミュニティのチャットで送られたリンクなどです。
2. 2見覚えのあるチェックが表示される。 有名なCAPTCHAサービスに似せたデザインで、人間であることを確認する必要があると表示されます。
3. 3ボックスをクリックすると、ページはひそかに悪意あるコマンドをクリップボードにコピーします。
4. 4新しい指示が表示される： Windowsでは「Windows + Rを押し、次にCtrl + V、次にEnter」、Macでは、Terminalを開いて貼り付けるよう求める亜種もあります。
5. 5全体を見ないままコマンドを実行する。 コマンドはバックグラウンドでマルウェアをダウンロードし、起動します。
6. 6ページに「認証が完了しました」と表示され、そのまま先へ進めるため、何もおかしくないように見えます。

この手口が成功するのは、多くのブラウザ保護をすり抜けるからです。プログラムを実行するのはWebサイトではなく、あなた自身なのです。

偽ブラウザ更新攻撃の仕組み

偽CAPTCHAの先輩格にあたるのが、偽の更新バナーです。

• 侵害されたサイトや悪意あるサイトが、ブラウザが古い、または更新しないとページを表示できないという全画面メッセージを重ねて表示します。
• ページはお使いのブラウザのブランドを模倣し、ダウンロードボタンを提示します。
• そのファイルはマルウェアで、多くの場合インストーラーや、スクリプトを含む圧縮ファイルに偽装されています。

本物のブラウザは自動で、またはシステム更新を通じて更新されます。たまたま訪れたサイトからブラウザの更新をダウンロードする必要は決してありません。

マルウェアが盗むもの

こうしたキャンペーンの大半は情報窃取型マルウェアを配布します。価値あるデータを素早く収集し、攻撃者に送信するマルウェアです。暗号資産ユーザーの場合、次のようなデータが含まれます。

情報窃取型マルウェアは数秒で動作するため、異変に気づく前に被害が発生することがあります。

架空の事例

以下は複数の事例を組み合わせた説明用の例であり、実際の事件ではありません。

無料のチャートツールを探してダウンロードサイトを開いたAlexを想像してください。CAPTCHAのボックスが表示されます。クリックすると、「認証を完了する」ためにWindows + Rを押して貼り付けるよう指示されます。妙だとは感じたものの、サイトはプロフェッショナルに見えました。数時間後、Alexのブラウザウォレットは空にされ、取引所アカウントには出金の試みが記録されていました。情報窃取型マルウェアは、実行から数分以内にウォレットの暗号化データ、保存済みパスワード、セッションCookieをコピーしていたのです。

危険信号チェックリスト

• 「CAPTCHA」がキーボードショートカットの使用、「ファイル名を指定して実行」・Terminal・PowerShellを開くこと、または何かの貼り付けを求める。
• ブラウザではなくWebサイトが、更新をダウンロードする必要があると言う。
• ダウンロードされるのが、公式ベンダーの通常のインストーラーではなく、スクリプト、ショートカット、見慣れない種類のファイルである。
• 予期しないサイトや検索広告からリダイレクトされた後にページが表示された。
• Discord、Telegram、Xの会話内のリンクが「認証」ステップにつながっている。
• ブラウザやウイルス対策ソフトがファイルについて警告し、ページがそれを無視するよう指示する。

身を守る方法

1. 1理解できないコマンドは決して貼り付けない。 特にWebページからのものは要注意です。
2. 2ソフトウェアの更新は公式の入手元からのみ行う： ブラウザの設定メニュー、OSの更新ツール、またはベンダーの公式サイトです。
3. 3シードフレーズはオフラインで保管する。 メモアプリ、スクリーンショット、クラウド上の文書には絶対に保存しないでください。シードフレーズの正しいバックアップ方法を参照してください。
4. 4まとまった金額にはハードウェアウォレットを使う。 秘密鍵がコンピューター上に置かれることがなくなります。
5. 5強力なマスターパスワードを設定したパスワードマネージャーを使い、取引所とメールではアプリ方式またはハードウェアキーによる2FAを有効にしましょう。
6. 6用途を分ける： ダウンロードや無関係なサイトの閲覧には使わない、暗号資産専用のデバイスやブラウザプロファイルを検討しましょう。
7. 7ソフトウェアや暗号資産ツールの検索広告には注意する。 理由は検索広告を使ったフィッシングのガイドで解説しています。

実行してしまった場合の対処法

1. 1感染したデバイスをインターネットから切断する。
2. 2クリーンなデバイスから、新しいシードフレーズで新しいウォレットを作成し、感染したコンピューター上にあったすべてのウォレットから資金を移します。ウォレットが侵害されたときにすぐやるべきことに従ってください。
3. 3パスワードを変更する。 メール、取引所、パスワードマネージャーのパスワードを、メールから順に変更し、有効なセッションをすべてログアウトします。
4. 4トークン承認を取り消す。 引き続き使う被害ウォレットがあれば、その承認を取り消してください。
5. 5感染したコンピューターを初期化して再インストールするか、専門家に依頼しましょう。情報窃取型マルウェアを手動で除去するのは確実ではありません。
6. 6悪意あるサイトを報告する。 ブラウザのセーフブラウジング報告ツールと、当サイトの報告フォームから報告してください。

まとめ

偽CAPTCHAや偽更新が成功するのは、あなた自身にマルウェアを実行させるからです。本物の認証がコマンドの貼り付けを求めることはなく、本物のブラウザが無関係なページからのダウンロードを必要とすることもありません。鍵は普段使いのコンピューターに置かず、更新は公式の入手元からのみ行い、もし引っかかってしまったら、クリーンなデバイスから迅速に行動しましょう。