ClickLock、パスワードを盗むためMacを使用不能に

Group-IBは、2026年5月から活動するキャンペーンでClickLock Stealerを確認した。33か国で少なくとも100台が標的となり、確認された標的の半数超が欧州にある。初期コマンドはClickFix型ページ経由とみられるが、Group-IBは誘導ページ自体を直接観測していない。

実行後、ClickLockは約210ミリ秒ごとに操作中のアプリを終了させ、偽のパスワード画面を残して入力を迫る。ループは約83時間続く場合があり、別モジュールがブラウザー、キーチェーン、パスワード管理アプリ、暗号資産ウォレットのデータを集め、Telegramへ送信する。

ClickLockは、研究者が「インフォスティーラー」と呼ぶ種類のマルウェアだ。目的は端末への居座りでも身代金でもなく、アクセス権につながるものを短時間で徹底的に集めることにある。ブラウザーに保存されたパスワード、セッションCookie、自動入力データ、暗号資産ウォレットのファイル、システムのキーチェーンなどが対象だ。奪われたデータは通常、数分のうちにまとめて外部へ送り出され、売却されるかアカウント乗っ取りに再利用される。だからこそ、スティーラーの感染は端末の不具合としてではなく、認証情報がまとめて漏れた事案として扱うのが妥当だ。

推定される侵入経路は、ペイロードと同じくらい重要だ。ClickFixは近年広く拡散したソーシャルエンジニアリングの型を指す呼び名で、動画プレーヤーの不具合、CAPTCHA、修復手順などを装ったウェブページが、訪問者に「コマンドをコピーしてターミナルに貼り付ければ問題が直る」と促す。被害者自身がインストールを実行するため、OSがダウンロードしたプログラムに課す警告を回り込めるのがこの手口の要点だ。脆弱性を突いているわけではないので、セキュリティアップデートで塞げる穴も存在しない。

より大きな流れにも合致している。macOSを狙うスティーラーの系統は、プラットフォームのシェア拡大と、Macが抱えるもの——開発者の認証情報、企業のセッション、暗号資産ウォレット——の価値上昇に伴って増えてきた。GatekeeperやXProtectといった標準の防御機構は、主にダウンロードされた悪意あるアプリケーションを想定して設計されている。利用者が自らターミナルにコマンドを打ち込む行為は、これらの仕組みが本来取り締まる対象ではない信頼の水準から始まる。

ClickLockを際立たせているのは、この圧力のかけ方だ。パスワード入力画面を残したまま高速なループでアプリを次々に終了させれば、「パスワードを入れなければ直らないシステム障害」という感覚が作り出される。手法は粗いが心理的には的を射ている。ウィンドウが毎秒何度も消えていく様子を見ている人間は、ダイアログの真偽を吟味できる状態にない。そして本命はパスワードだ。macOSではログインパスワードがキーチェーンを解除し、システムは保存済みの認証情報をそこに集約している。この一つの秘密を吐き出させれば、残りの大半が開く。

切迫した状況でも、見分ける手がかりはある。macOSの正規のパスワード要求は、一定の間隔で繰り返し現れることはなく、再起動後に勝手に居座ることもなく、ウェブページの「このコマンドを実行せよ」という指示から始まることもない。本物のシステムダイアログなら、マシンを終了させれば必ず抜けられる。立ち止まって考える時間を奪うように作られていること自体が、警告のサインだ。

これは画面ロック機能そのものでも、確認済みのmacOS脆弱性悪用でもない。デスクトップを強制的な入力画面に変えるソーシャルエンジニアリングだ。ウェブページの指示でTerminalにコマンドを貼り付けない。異常時はネットワークを切り、Macを終了し、正常な端末からパスワードを変更して専門家に相談する。セーフモードで起動できたことは、駆除できた証拠にはならない。

対処の順番には理由がある。スティーラーは即座に動作し、アーカイブがTelegramへ送られてしまえば、Macを掃除しても盗まれたものは戻らない。だからこそ、汚染されていないと分かっている別の端末からパスワードを変更することが先になる。まずメールと、他のアカウントを再設定できるアカウントからだ。そして、強制を受けたうえで動かし続けてしまったマシンについては、専門家の支援を検討する価値がある。

一方、予防はほぼ習慣の問題だ。ターミナルを開くよう求めるウェブページは、どれほどもっともらしい説明が添えられていても敵意あるものとして扱う。再生の不具合を直すためにも、人間かどうかを確認するためにも、正規のサービスがそのような手順を求めることはない。サイトごとに異なるパスワードを使えるパスワード管理アプリと、重要なアカウントでの二要素認証を組み合わせれば、キーチェーンを一度奪われたときの被害は限定される。組織にとっての教訓は、この種の攻撃がソフトウェアではなく人を狙っている以上、エンドポイント対策と同じくらい、啓発と監視で対抗すべきだということだ。