いつも見ているサイトを開いたら、見慣れた「私はロボットではありません」のチェックボックスが出た。クリックすると、続けてこんな「確認ステップ」が表示された。
人間であることを確認するため、次の手順を実行してください。
1. Windows キー + R を押す
2. Ctrl + V を押す
3. Enter キーを押すこれは偽物です。押してはいけません。 ClickFix（クリックフィックス）と呼ばれる手口で、警察庁も2025年10月の「サイバー警察局便り 2025 Vol.7「私はロボットではありません」偽画面に注意！」で、この3つのキー操作をそのまま図にして注意を呼びかけています。
この記事の結論を先に書きます。本物の確認画面が、キーボードでWindowsの機能を開かせることはありません。 ブラウザの中で済むはずの確認に「Windowsキー」「ファイル名を指定して実行」「PowerShell」が出てきた時点で、その画面は偽物と決めてかまいません。もう押してしまった人は、Enterを押したかどうかで対処が大きく変わります。Enterの前なら閉じるだけで済み、Enterの後なら「感染した前提」で、パスワードを変えるだけでは足りない後始末が要ります。
もとにしたのは、この手口を紹介した無料動画です。手口の中身は、Microsoft Threat Intelligence の分析記事「Think before you Click(Fix): Analyzing the ClickFix social engineering technique」（2025年8月、英語）と、2026年10月時点のMicrosoft Learnで確かめました。
何が起きているのか
3つのキー操作は、それぞれ次の意味を持っています。
| 押すキー | 実際に起きること |
|---|---|
Windows + R |
「ファイル名を指定して実行」が開く。ここに打った命令は、そのままパソコンで実行される |
Ctrl + V |
クリップボードの中身を貼り付ける。中身は、偽の画面をクリックしたときにサイトが勝手にコピーした命令 |
Enter |
貼り付けた命令を実行する |
ポイントは2つ目です。Webサイトは、ボタンを押したときなどにクリップボードへ文字列をコピーできます。偽のチェックボックスをクリックした瞬間に、ウイルスを取ってきて動かす命令がクリップボードに入ります。動画の43秒あたり（無料）で、この「クリックした時に、クリップボードに命令文が入る」流れを記事の図で説明しています。
そして Windows + R の「ファイル名を指定して実行」は、命令を何でも動かせる入口です。動画の1分24秒あたりで、「ここで実行すると何でも実行できちゃう。環境によっては管理者の権限として実行できちゃう」と説明しています。Microsoftの分析によると、貼り付けさせる命令には PowerShell や mshta などWindowsに最初から入っているプログラムが使われ、最後に送り込まれるのは、Lumma Stealer に代表される情報を盗むタイプのマルウェアや、遠隔操作ツールが多いとされています。
貼り付けた中身は、見えるところだけ「確認コード」になっている
Microsoftの分析には、貼り付けさせる命令の中に「I am not a robot - reCAPTCHA Verification ID: …」のような、確認画面らしい文言を混ぜる例が載っています。「ファイル名を指定して実行」の入力欄は1行しかないので、貼り付けた直後に目に入るのは、こうした「それらしい部分」だけということが起こります。入力欄の中身を見て判断しようとしないでください。 見るべきなのは中身ではなく、「確認画面がWindowsの機能を開かせている」という状況そのものです。
見分け方は1つだけ
偽物を見分けるために覚えておくことは、次の1点で足ります。
ブラウザの中の確認や修復で、キーボード操作を指示されることは無い。
動画の3分46秒あたりで、「ブラウザ上で何かやってる時にキーボード操作って絶対に必要ないので、それが出た時点でもう怪しい」と言い切っています。指示されるキーは Windows + R に限りません。動画の3分30秒あたりで紹介しているように、Windows + X（そこからPowerShellやターミナルを開かせる）や、Macの Command + Space を使う変種もあります。
見た目も「ロボットではありません」だけではありません。動画の2分56秒あたりでは、デバイスのエラー、採用面接、セキュリティ通知、脆弱性の報告を装ったものが並んでいます。Microsoftの分析にも、ブラウザが落ちたときの「エラーが発生しました」画面や、「Wordの拡張機能が見つかりません」を装った例が挙がっています。「エラーを直すには、この手順で」「表示されない場合は、この手順で」と、利用者に直させる形をとるのが共通点です。ClickFix（直すためにクリックする）という名前はここから来ています。
「いつものサイトだから」は当てにならない
怪しいサイトにだけ出るとも限りません。動画の2分23秒あたりで触れているように、改ざんされた正規のサイトにこの画面が仕込まれることがあります。ブックマークしているいつものサイトで出てきたら、知らない人ほど指示どおりにしてしまいます。
実際、侵入の入口として「Webサイトが乗っ取られていて、そこからやられる」経路は珍しくありません。M-Trends 2026 の初期侵入経路を開いた動画の2分34秒あたり（無料）で、メールのフィッシングが6%まで下がった一方、Webサイトの侵害が入口の1つとして並んでいるのを画面で確かめられます。
ウイルス対策ソフトや設定が止めてくれない理由
「セキュリティソフトを入れているから大丈夫」と考えたくなりますが、この手口が厄介なのは命令を実行しているのが本人だという点です。動画の2分8秒あたりで「結局これは自分で操作しているだけ」と言っているとおりで、Microsoftも、人が実行の引き金を引くために従来の自動的な防御をすり抜けうる、と書いています。
PowerShellの実行ポリシーも、ここでは守ってくれません。PowerShellで「スクリプトの実行が無効」と出る記事で扱った実行ポリシーは、.ps1 のようなスクリプトファイルを動かすかどうかの設定です。「ファイル名を指定して実行」に貼り付けた1行の命令は、ファイルではないので止まりません。Microsoft Learnの「about_Execution_Policies」も、実行ポリシーはセキュリティ境界ではないと明記しています。
最後の防波堤は、結局のところ人の判断です。だから「キーボード操作を指示されたら偽物」という1点を、家族や職場の人に伝えておく価値があります。
もう押してしまったとき：どこまで進んだかで分ける
| どこまで押したか | 何が起きたか | やること |
|---|---|---|
Windows + R だけ |
「ファイル名を指定して実行」が開いただけ。何も実行されていない | Esc で閉じ、そのページのタブを閉じる |
Ctrl + V まで |
入力欄に命令が入っただけ。まだ実行されていない | Esc で閉じる。クリップボードには命令が残っているので、別の文字をコピーして上書きしておく |
Enter まで |
命令が実行された | 感染した前提で、下の手順へ |
Enterを押していなければ、慌てる必要はありません。逆にEnterを押したなら、画面に何も起きていないように見えても、裏で何かが動いた前提で動きます。情報を盗むタイプのマルウェアは、目立つ症状を出さずに仕事を終えるからです。
Enterまで押してしまったら
- ネットワークから切り離す。 Wi-Fiを切るか、LANケーブルを抜きます。電源は切らなくてかまいません
- 何を実行したかを残す。 もう一度
Windows+Rを押し、入力欄の右にある▼を開くと、これまでに実行した命令の履歴が並びます（Enterは押さないこと）。Microsoftの分析でも、この履歴（レジストリの RunMRU）が、何を実行したかの手がかりになるとしています。スマートフォンで写真を撮っておくと、相談するときに役立ちます - 別の端末から、パスワードを変えて、すべてのセッションからサインアウトする。 感染したかもしれないパソコンでは作業しません。ブラウザに保存していたパスワードのあるサービスから順に、とくにメール、Microsoftアカウント、ネットバンキング、通販サイトを優先します
- パソコンをスキャンする。 Windows セキュリティの「ウイルスと脅威の防止」にある Microsoft Defender オフライン スキャン は、Windowsを起動しない状態で調べるので、隠れようとするマルウェアを見つけやすくなります。スキャンで何も出なくても、すでに盗まれたものは戻りません
- お金に関わるものを確かめる。 クレジットカードやネットバンキングの利用履歴を確認し、身に覚えのないものがあればカード会社・銀行へ連絡します。動画の6分6秒あたりでも、騙されたとしても最悪止められる手段を持っておく大切さに触れています
会社のパソコンや会社のアカウントでやってしまったなら、1の次にすぐ情報システム部門へ連絡してください。 自分で片付けようとして時間をかけるより、管理者が会社のアカウントのセッションを止めるほうが早く、確実です。
パスワードを変えるだけでは足りない理由
3で「サインアウト」まで書いたのには理由があります。情報を盗むマルウェアが持っていくのは、パスワードだけではなく、ブラウザに残っているサインイン済みの状態（セッションのクッキーやトークン） も含まれます。これがあれば、攻撃者はパスワードもMFAも通さずに「サインイン済みのあなた」として入れます。
MFAが突破される仕組みを解説した動画の10分8秒あたり（無料）で、「盗まれるのはパスワードではなくセッションのクッキーやトークンなので、パスワードを変えてもすぐに取り消すことにはならない」と説明しています。同じ動画の12分46秒あたりでは、フィッシングに強いMFAを入れても、攻撃は「端末からトークンを盗み出す」方向へ移っていく、と続けています。ClickFixで送り込まれる情報窃取型のマルウェアは、まさにこの「端末から盗む」側の道具です。
会社のアカウントでは、管理者がMicrosoft Entra IDでユーザーのセッションを取り消せます。Microsoft Learnの「Microsoft Entra ID で緊急時にユーザー アクセスを取り消す」に手順があり、同時に、すでに発行されたアクセス トークンは既定で1時間有効なため、取り消してもすぐに全部が止まるわけではないことも書かれています。連絡が早いほど、この時間差の中で起きることを減らせます。
会社として打っておける手
情報システム部門の立場で、この手口に備えるなら次の順で考えます。
- 周知は「1点だけ」に絞る。 「キーボード操作を指示する確認画面は偽物」「押してしまったらEnterの前でも後でもすぐ連絡」の2行で足ります。長い注意喚起より、覚えて帰れる短い文のほうが効きます
- 使わない人からは「ファイル名を指定して実行」を取り上げる。 Microsoftは、日常業務で要らないなら、グループポリシーで
Windows+Rとスタートメニューの「ファイル名を指定して実行」を無効にすることを勧めています。警察庁の資料も、企業のシステム担当者向けに、PowerShellなど悪用されがちな正規プログラムの実行監視や利用制限を求めています - PowerShellの動きを残す。 Microsoftは、難読化した命令を後から読めるよう PowerShell のスクリプトブロックのログを有効にすること、Microsoft Defender の攻撃面の縮小（ASR）ルールで難読化の疑われるスクリプトの実行を止めることを挙げています
起きてしまったあとの調べ方も、先に決めておくと慌てません。偽の画面へはメールのリンクから誘導されることも多く、Microsoft Defender for Office 365 でフィッシングのインシデントを調べる手順を読み解いた動画の9分49秒あたり（メンバー限定）では、悪意のあるURLがテナント内の何通のメールに含まれ、何人がクリックし、どの端末で検出されたかを1画面で確かめ、狙い撃ちか広範囲かを見分ける流れを見せています。誰に連絡し、誰のセッションを止めるかを決める材料はここで揃います。同じ動画の13分15秒あたり（メンバー限定）では、「調べ続けるより、疑わしければユーザーもデバイスもリセットする」という割り切りと、それを可能にするための前提（データをクラウドに置く、端末をいつでも初期化できるようにしておく）を話しています。調査の深さをどこで止めるかは、画面の手順よりもこの判断のほうが難しいところです。
そして、1台でやられたときにそこから横へ広がらない状態にしておくことも大切です。ClickFixの命令は、操作した人の権限で動きます。全社のパソコンのローカル管理者パスワードが同じだと、1台が乗っ取られた時点で他のパソコンにも入られます。Windows LAPSでローカル管理者パスワードを1台ずつ別にする動画の3分44秒あたり（メンバー限定）では、イメージ展開でパスワードが全台同じになっているよくある構成から、1台の乗っ取りが横移動につながる様子を図で説明し、LAPSがパスワードを1台ずつ別に作ってActive DirectoryやEntra IDに保管する仕組みと、その保管場所の管理者IDを守ることが前提になる、という注意まで整理しています。
メールのリンクから来た偽画面も、入口は同じ
この偽の確認画面には、メールのリンクから誘導されることもあります。メールのリンクをクリックすることの危険を実例で話した動画の7分13秒あたり（無料）では、どうしても気になる内容のメールなら、リンクを押さずに、検索や別のタブから自分で公式ページを開いて確かめる、という自衛のしかたを勧めています。偽の確認画面にたどり着く手前で止める、もう1つの方法です。
まとめ
- 「Windows + R → Ctrl + V → Enter」を指示する確認画面は、すべて偽物。本物の確認でキーボード操作を求められることは無い
- 中身は、クリックした瞬間にサイトがクリップボードへ仕込んだ命令。入力欄の文字を見て判断しない
- ウイルス対策ソフトも実行ポリシーも止めてくれない。止められるのは、Enterを押す前の自分の判断だけ
Windows+RやCtrl+Vまでなら、Escで閉じれば何も起きていない- Enterを押したら、ネットワークを切り、別の端末からパスワード変更と全セッションのサインアウト。会社の端末なら、すぐ情報システム部門へ
手口そのものを職場や家族に伝えたいなら、無料動画の最初の4分が、偽の確認画面と3つのキー操作が載った記事の図を見せながら説明しているので、そのまま共有の材料に使えます。
