攻撃者がSteamディスカッションフォーラムに偽のトラブルシューティング投稿を仕込み、ユーザーにWindowsの「ファイル名を指定して実行」ダイアログへ悪意あるコマンドを貼り付けさせ、XMRig暗号通貨マイニングソフトウェアを配信している。技術的なペイロード自体は平凡だが、配信手法こそがセキュリティ責任者が懸念すべき点である。

ClickFixは従来の脅威の前提を逆転させる。システムを騙してコードを実行させる代わりに、人間を説得して自発的に実行させることで、メールゲートウェイ、マクロ制御、そしてマルウェアがファイルとして到着すると想定するエンドポイントスタックの大部分を回避する。被害者が実行主体となる場合、シグネチャベースおよび添付ファイルスキャン型の防御は何も検知しない。これが、この手法がフィッシングページからCAPTCHA偽装を経て、今やオーガニックトラフィックと暗黙の信頼を持つコミュニティフォーラムへと急速に移行している理由である。

企業にとっての戦略的シグナルは、ユーザー生成コンテンツプラットフォームがソーシャルエンジニアリングの配信インフラとなりつつあることだ。サポートフォーラム、Discordコミュニティ、マーケットプレイスのコメントセクションを運営する企業は、いまやSteamが直面するのと同じ責任を負う――攻撃者に悪用される評判である。ゲーミングは消費者の問題に見えるが、同じ従業員が企業ネットワークにVPN接続する個人マシンでゲームをしており、同じコマンド貼り付けパターンがすでにITヘルプデスクのシナリオで発生している。暗号通貨マイニングは今日の低リスクペイロードだが、同一のパイプラインは明日には情報窃取型マルウェアやランサムウェアローダーを配信する。

推奨される対策は3つの前線に集約される。第一に、OS層での緩和策:セキュリティチームは、管理者以外のユーザーに対して「ファイル名を指定して実行」ダイアログとPowerShellを無効化または制限するグループポリシーまたはMDM制御を展開すべきであり、これが最も効果的な修正策である。Microsoft、Valve、Discord、Redditは、摩擦やクリップボード警告プロンプトをネイティブに追加する圧力に直面している。第二に、意識向上プログラムの再訓練。ほとんどのプログラムは依然として「リンクをクリックしない」を教えており、「自分で書いていないコマンドを決して貼り付けない」を教えていない。第三に、プラットフォーム運営者は、スパムだけでなくコマンドインジェクション誘導にも対応した積極的なコンテンツモデレーションに投資しなければならない。

投資家にとって、これはレガシーな境界防御ツールよりも、アイデンティティ・行動セキュリティやブラウザ分離ベンダーへのシフトを裏付けるものである。CrowdStrike、SentinelOne、KnowBe4のようなヒューマンリスクプラットフォームは、攻撃対象がネットワークから人間の判断へと決定的に移行する中で恩恵を受ける立場にある。ClickFixは2025年の脅威レポートで名前の付いたカテゴリとなり、規制当局はプラットフォームにモデレーションの注意義務について問い始めることが予想される。