ClickFix攻撃の新潮流：検索広告×生成AIの「手順誘導」から認証コードを守る方法
2026年2月15日更新 · 読了時間12分
最近の脅威トレンドとして注目されているのが、検索広告や生成AIの「成果物」を足がかりに、ユーザー自身に危険な操作をさせる ClickFix 型の攻撃です。セキュリティ製品の警告や派手な添付ファイルに頼らず、「それっぽい手順」や「親切な解説」を提示して、被害者に実行させてしまう。これが厄介な点です。さらに、侵入後のゴールがメールボックスの乗っ取りや認証コード（OTP）窃取になっているケースでは、あなたのアカウントは短時間で連鎖的に奪われます。
本記事では、直近のセキュリティ報道で話題になった「生成AIの成果物（例：説明ページやサンプル）を悪用して、macOS向けインフォスティーラーへ誘導する」タイプのClickFix攻撃を手がかりに、捨てメール／使い捨てメールを使った“認証コード隔離”という実践的な防御を解説します。ポイントは、怪しいリンクを踏まないという精神論ではなく、踏んでしまっても被害が拡大しにくい設計にしておくことです。
ニュースの要点：ClickFixは「クリック」より「手順」が武器
今回の話題で重要なのは、攻撃者がユーザーに対して「この通りにやれば直る」「このコマンドを貼り付ければOK」といった手順誘導を行う点です。リンクをクリックするだけで終わる古典的フィッシングではなく、被害者の心理をうまく使い、自分の手で実行させることで防御をすり抜けます。
検索広告、レビューサイト、偽のトラブルシューティング記事、そして生成AIが作った「もっともらしい説明」は、どれも「安心して作業してよい」と思わせる材料になります。結果として、利用者が不正なスクリプト実行や偽ログイン画面への入力、ブラウザ拡張の追加などをしてしまい、最終的にメールアカウントの資格情報やセッション情報が奪われます。
なぜメールが狙われるのか
攻撃者にとってメールは「鍵束」です。多くのサービスが、パスワード再設定やログイン承認、2段階認証のバックアップ導線にメールを使っています。つまり、メールが奪われると：
- EC、SNS、クラウド、金融系など複数サービスのパスワードを再発行される
- OTP（ワンタイムコード）がメールで届く設定だと、そのまま突破される
- 過去の受信履歴から、本人確認に使われる情報（住所・請求情報・ID）が推測される
防御の基本方針：認証コード（OTP）を「同じ受信箱」に置かない
ここで現実的な結論を先に言います。認証コードをメールで受け取る運用は、隔離なしでは危険です。もちろん認証アプリやハードウェアキーが理想ですが、すべてのサービスが対応しているわけではありませんし、仕事の都合でメールOTPを使わざるを得ない場面もあります。
そこで有効なのが、メールアドレスを用途別に分けること。さらに一歩進めて、OTP専用の受信経路を分離し、普段の登録・ニュースレター・問い合わせに使うアドレスと混ぜない設計にします。攻撃者がどこかの入口であなたのアドレスを掴んでも、横展開しにくくなります。
TempForwardで作る「三層メール分離」モデル
TempForwardのような捨てメール／使い捨てメール（転送型）を使うと、実運用で扱いやすい分離が作れます。ここでは、覚えやすく、管理しやすく、そして事故に強い三層モデルを提案します。
三層モデル（おすすめ）
第1層：捨てメール（登録・検証・無料体験用）
新しいサービス登録、キャンペーン応募、資料DLなど「とりあえず試す」用途。ここが汚れても本体が無事なら復旧が楽です。
- スパムが増えたらワンクリックで遮断
- 同一アドレスを使い回さず、用途ごとに切り替える
第2層：連絡用（取引先・請求・重要連絡）
人間とのやり取り、請求書、契約、サポート窓口など、履歴が必要な用途。ここは露出を最小化し、登録先を厳選します。
- 公開プロフィールや掲示板には載せない
- 不審なログイン通知の“確認先”に使わない（第3層へ）
第3層：認証コード隔離（OTP・復旧コード・承認リンク専用）
ここが肝です。OTPや復旧関連のメールを、他の用途と混ぜない。ClickFixのような攻撃で“どこか”がやられても、最後の砦が残りやすくなります。
- このアドレスは登録先を最小限にし、漏洩面を減らす
- メール転送のルールを厳格化（件名や送信元でフィルタ）
ClickFixに強くなる実践チェックリスト（10項目）
ここからは、今日から実行できるチェックリストです。目的は「騙されない」ではなく、騙されたとしても致命傷にならないこと。特にメールと認証コードの取り扱いにフォーカスします。
- 1) 検索結果の上部（広告枠）は、まず疑う。公式サイトはブックマークから開く。
- 2) 「手順を貼り付けて実行」系の説明は、出所を二重確認。特にコマンドの意味を読めないなら実行しない。
- 3) ブラウザ拡張の追加は最終手段。権限（読み取り/書き込み/全サイト）を見て、不要なら拒否。
- 4) メールのログインは、メール本文のリンクではなく、アプリ/公式サイトから行う。
- 5) 「OTPをメールで受け取る設定」のサービスを棚卸しし、可能なら認証アプリへ移行。
- 6) 移行できないサービスは、OTP専用の受信経路（第3層）に寄せる。
- 7) OTPのメールは、受信箱で検索しやすいように、件名ルール・送信元ドメインをメモしておく。
- 8) 連絡用メール（第2層）には「パスワード再設定」通知を集めない。重要な復旧は第3層へ。
- 9) 怪しい操作をした直後は、パスワード変更より先に「メール転送設定」「フィルタ」「ログイン中セッション」を確認する。
- 10) 1つのアドレスを“万能”にしない。使い捨てメールで入口を細分化し、被害範囲を小さくする。
「捨てメール＝怪しい」ではない。設計次第で“守りの道具”になる
捨てメールや使い捨てメールと聞くと、「匿名で悪いことをする人が使う」といったイメージを持つ人もいます。しかし、現実には逆です。私たちは日常的に、フォーム入力、無料体験、検証、資料請求などでメールアドレスを求められます。そこに本アドレスを入れ続ければ、スパムが増えるだけでなく、どこかで漏洩した瞬間に標的型メールの精度が上がります。
TempForwardのような転送型の使い捨てメールは、「受信専用の入口を分ける」ことで、あなたの本体（重要連絡やOTP）を守るための防御装置として機能します。ClickFixのように“手順”で人間を動かす攻撃が増えるほど、技術だけでなく運用設計が効いてきます。
まとめ：手順誘導の時代は、メールの分離が効く
ClickFix型の攻撃は、見た目の派手さよりも「納得させる説明」と「行動させる手順」を武器にします。検索広告、AI生成の説明ページ、トラブル解決の手順…。どれも、急いでいる時ほど引っかかりやすい。
だからこそ、怪しいリンクを踏まない努力と同じくらい、踏んだ後に被害が広がらない構造を作るべきです。捨てメール／使い捨てメールで入口を分け、OTPや復旧導線は隔離する。この「分離」は、最も費用対効果が高い対策の一つです。