ClickFixとは？

ClickFix（クリックフィックス） とは、ユーザーが悪意のあるソフトウェアやスクリプトに対して「許可」や「実行」などの操作を意図せず行い、セキュリティを突破される現象です。

これは技術的なゼロデイではなく、“人間の判断ミス”による脆弱性のすり抜けが本質であり、企業では特に見落とされがちです。

実例：実際に起きたClickFixのケース

ケース① 業務効率ツールに見せかけたマルウェア

  • 社員が便利ツールとされる.exeファイルをインストール
  • 「ファイアウォール例外の許可」などの確認にすべて「はい」と操作
  • PowerShell経由で不審なC2通信が発生し、後日MDEで検出
  • schtasks による常駐化も行われていた

⇒ EDRをすり抜けた“ユーザー承認型マルウェア”の典型例

ケース② macOSにてxpcproxyを用いた常駐プロセスの潜伏

  • 開発用Mac端末で外部アプリをGUIでインストール
  • xpcproxy 起点で /tmp 配下スクリプトが定期実行状態に
  • Defender for Endpoint でプロセスチェーンから発見

⇒ macOSでも発生するClickFix。GUIを通じて“許可”されるとMDEのブロック対象外になることも。

企業が行うべき対策

1. ユーザー権限の制限

  • ローカル管理者権限の剥奪（LAPSやIntuneで制御）
  • 許可なきソフトウェアインストールを禁止
  • PowerShellやターミナルの制限と監査

2. アプリケーション制御の導入

  • AppLockerやWindows Defender Application Control（WDAC）
  • Intune・GPOで制限されたソフトウェアポリシーを適用

3. Microsoft Defender for Endpoint（MDE）の導入

  • 不審なプロセスの関係性をDeviceProcessEventsで追跡
  • curl/powershell/wscript などからの不審通信をDeviceNetworkEventsで可視化
  • シグネチャだけでなく振る舞い検知（behavioral detection）による保護

SOC監視による24時間のリスク対応体制を

ClickFixは「検知されない」リスクであるため、EDRを導入した後の監視体制が極めて重要です。

24時間365日監視の必要性

  • 社員の操作によってセキュリティ制御がバイパスされた場合、即時の異常検知・封じ込めが求められます。
  • SOC（Security Operation Center）との連携で、アラート→解析→対応のプロセスを自動化・即応体制に。

ご相談・導入支援のご案内

  • Microsoft Defender for Endpoint の導入支援
  • ClickFix対策を含むEDR運用のベストプラクティス
  • 24時間対応のSOCサービス連携

Colorkrew Securityに是非お問い合わせください。