「私はロボットではありません」は本物？ウイルス感染するかも！偽reCAPTCHA詐欺と対処法

警視庁より注意喚起！偽reCAPTCHA詐欺

「警視庁サイバーセキュリティ対策本部」のエックスアカウントの投稿が話題になっていましたので情報を共有したいと思います。
「私はロボットではありません」にチェックをいれるだけで認証できるタイプですね。以下適宜、このシステムの名称である「reCAPTCHA」を使います。

この方法が出たときは、画期的だと言われていたのを覚えています。
それまではアルファベットやひらがを入力しなくてはならなくて、視認性が敢えて悪くしてある文字に辟易している人も多かったんですよ。私もだけど。

他にはタイル状に表示された数枚の画像から「信号機が写っている画像を選択」といったのもありますよね。
「もう一枚見つからないじゃん！」と思ったら、かなり見切れていて騙された気分になったり(笑)。

そんな便利な認証システムである「CAPTCHA」を悪用し、マルウェアをインストールさせる手口が増えているとして、警視庁サイバーセキュリティ対策本部は注意喚起しています。

偽のreCAPTCHAに先日遭遇

私自身も「偽のreCAPTCHA」に先日遭遇したばかりだったんですよ。

お客様への重要なお知らせ：LINEアカウントに関する再認証からの迷惑メール

もともとフィッシング目的だと思われる迷惑メールでしたから、「出た！偽物！」とすぐに気づきました。
こちらがその時登場した「偽のreCAPTCHA画面」をスクショしたものです。

悪質サイトを実名とドメインをあわせて掲載するかたわら、悪質サイトが閉鎖していないかとか、サイト名やドメインが変わっていないかといったチェックを定期的にしてます。
その時によくこの「偽のreCAPTCHA画面」に遭遇するんですね。

それを考えると、偽物の「私はロボットではありません」には随分前から遭遇していることにもなるんだわ。
それと偽の警告画面詐欺にも。

【詐欺】スパイウエアソフトを感知 050-5532-2883 思わず失笑【電話しないで】

【サイトからのメッセージ】やっと画面を保存した【システム警告】

私の場合は自分の経験もあって、「私はロボットではありません」が表示されても偽物だとすぐにわかるので、チェックを入れたことがありません。
アクセスしたURLも何が表示されているかなども見る癖がついているというのもあります。

私自身が登録している、もしくはこれから登録するウエブサイトではないのですから、「reCAPTCHA」が表示されること自体違和感を覚えます。
そういった「偽物と本物の見分け方」も掲載していますヨ。

Googleなどのパスワードマネージャーを利用しているからなのか、以前に比べると「reCAPTCHA」の出現率が減ったなと感じていたのですが、さらに進化していたんですね。
そのせいなのかな？この記事を書くにあたり、「reCAPTCHA」自体についても詳しく解説していますので、興味のある方は読んでみてね。

reCAPTCHA自体の解説は別にいらないよという方は目次から読みたい場所に飛んでください。
私たちがとる安全対策、たとえば上に書いた「偽物と本物の見分け方」あたりはなるべく読んでほしいかな。見慣れた画面だからこそ注意してくださいね。

詐欺サクラの心配一切なし！
ワクワクメールへＧＯ

目次へ

そもそもCAPTCHAとは何？

CAPTCHA（Completely Automated Public Turing test to tell Computers and Humans Apart）は、ウェブサイトへのアクセス主体が人間か、それとも自動化されたプログラム（ボット）かを判別するために設計されたセキュリティ技術です。

後に「CAPTCHA」が「ReCAPTCHA」へと進化して、「reCAPTCHA v3」となり、企業向けに「Enterprise」が出ています。

• 目次
• ・CAPTCHA・reCAPTCHAの歴史
• ・進化するreCAPTCHA
• ・・reCAPTCHA v2
• ・・画像選択チャレンジ
• ・・reCAPTCHA v3
• ・・reCAPTCHA Enterprise
• ・なぜreCAPTCHAは進化し続けるのか

CAPTCHA・reCAPTCHAの歴史

「CAPTCHA」が「ReCAPTCHA」へと進化していった過程をAIのClaudにまとめてもらいました。
「CAPTCHA」が誕生したのは1997年、それ以来ずっと進化を続けていてるのがわかります。

📅1997年 - CAPTCHA誕生
AltaVistaが検索エンジンへのボットによるスパム投稿を防ぐために開発。効果は劇的で、スパムを95%削減。

📅2000年 - 学術的確立
カーネギーメロン大学の研究者らが「CAPTCHA」という名称を正式に命名。

📅2007年 - reCAPTCHA登場
ルイス・フォン・アンが創設。単なるセキュリティツールを超えて、古い本や新聞のデジタル化に人間の認証作業を活用する革新的アイデアとなる。

📅2009年 - Google買収
GoogleがreCAPTCHAを買収し、Googleブックスやストリートビューの文字認識精度向上に活用。

📅2014年 - reCAPTCHA v2
「私はロボットではありません」チェックボックス登場。画像選択チャレンジも導入。

📅2018年 - reCAPTCHA v3
ユーザーに何もさせない「見えない認証」を実現。行動パターンをAIで分析してスコア化。

📅現在 - Enterprise版
企業向けの高度なセキュリティ機能を提供 文字読み取り → 画像選択 → 見えない認証、という進化を辿り、セキュリティと使いやすさの両立を目指し続けています。

Googleが提供するreCAPTCHAは、バージョンアップを重ねてきました。
2014年にリリースされたreCAPTCHA v2では、「私はロボットではありません」というチェックボックスのクリックを求め、その際のユーザーの行動（マウスの動きやクリックのタイミングなど）を分析することで人間を識別するようになりました。

さらに、より高度なボットが疑われる場合には、画像内の特定の物体（例：交通信号）を選択させるタスクが追加で提示されることもあります。  

Google
・reCAPTCHA による bot 攻撃からの保護とオンライン不正行為の防止より

reCAPTCHA は、スパム、不正使用、不正行為からウェブサイトを保護する強力な bot ブロッカーです。
ユーザーの行動やその他の要素を分析して、アクションが人間によって実行されているのか、bot によって実行されているのかを判断します。
不審なアクティビティが検出された場合、reCAPTCHA は不正アクセスを防ぐために、チャレンジの提示やインタラクションのブロックなどの措置を講じることがあります。
これにより、正規ユーザーへの中断を最小限に抑えながら、ウェブサイトの保護を維持できます。

進化するreCAPTCHA

reCAPTCHA（リキャプチャ）は、私たちがウェブサイトを利用する際に「人間である証明」を求める認証システムです。
その基本的な考え方は「人間には簡単だけど、コンピュータ（ボット）には難しい課題」を出し、自動化された悪意のあるアクセスを防ぐためです。

reCAPTCHA v2

私たちが見慣れた「私はロボットではありません」というシンプルなチェックボックス方式。警視庁サイバーセキュリティ対策本部は注意喚起しているのも、この「reCAPTCHA v2」なんですね。

あなたや私、世界中の人が経験したであろう「私はロボットではありません」のチェックボックス。
実は、このシンプルなクリック一つの背後では、非常に高度な分析が行われています。

多くの場合、この分析だけで人間かボットかを判断でき、チェックボックスをクリックするだけで認証が完了します。
あなたがスマホをタップしたり、パソコンでチェックボックスにカチッとする、ほんのわずかな時間で、一瞬にして「人かロボットか」を判断してしまうのです。

画像選択チャレンジ

チェックボックスだけでは判断できない場合、これまた、おなじみの画像選択が表示されます。
中には、信号機を支えるバーの部分も、信号機として選ばなくちゃいけない画像があって、イラッとさせられることも。

最近ではX（エックス）で、かなり久々に画像選択チャレンジしました。
正直、画像選択チャレンジって、まだやってたんだ・・・と思いました。

このような作業は、人間の視覚認識能力と常識的な判断力を必要とするため、現在のAI技術でも完全に自動化はできないとされています。

ちなみにこちらの画像はGeminiに作ってもらいました。
特に詳しく指示しなかったので、どの画像にも信号機が表示されちゃってますね(笑)。

reCAPTCHA v3

革新的な「タスクなし」認証が登場しているんですね。
やはりこの記事を書いて良かった。何らかの記事を書こうとするとき、自分の知識を増やせるというのは単純に嬉しくて、私のモチベの一つになっています。

reCAPTCHA v3では、私たちユーザーは特に何もする必要がないのです。
ウェブサイトを普通に利用しているだけで、背後でシステムが「人間らしさ」を常時監視・評価しています。

なんとこのシステムはあなたの行動を0.0〜1.0のスコアで評価するんですよ？びっくりしちゃいました。ひたすら感心。

「おそらく人間」にはちょっと笑ってしまいますが、こんな風に知らぬ間に「人かロボットか」を判断しているとは、恐れ入りますね。

詐欺サクラの心配一切なし！
ワクワクメールへＧＯ

目次へ

reCAPTCHA Enterprise

更には企業レベルのセキュリティとして「reCAPTCHA Enterprise」もあり、金融機関、ECサイト、政府機関など、より高いセキュリティが求められる組織向けに開発された企業版となっています。

なぜreCAPTCHAは進化し続けるのか

アタッカーの技術が向上すれば、それに対抗してセキュリティ技術も進化する必要があり、終わることのない技術競争です。
特にこれからは「AI」を使った攻撃を防ぐ対策が急務となっています。

reCAPTCHAは今後も進化を続け、私たちユーザーにとってより使いやすく、同時により安全なインターネット環境の実現を目指しています。
今後の展開として、このようなものが考えられます。「生体認証との組み合わせ」実に頼もしいではありませんか。

あなたが日常的に接するreCAPTCHAは、実は最先端のAI技術とセキュリティ技術の結晶なのです。

詐欺サクラの心配一切なし！
ワクワクメールへＧＯ

目次へ

偽reCAPTCHAの攻撃方法とメカニズム

次に、偽の「私はロボットではありません」の悪用と、その目的をまとめてみたいと思います。
なぜ「偽reCAPTCHA」が存在するのか？多くはフィッシング詐欺やマルウエアなどで、最終目的はお金。

• 目次
• ・フィッシング詐欺への誘導
• ・より危険な手口「ClickFix」の脅威
• ・・攻撃方法
• ・・あなたが自ら危険をおかす仕組み
• ・その他の悪用手口と攻撃者の仕組み
• ・毎日大量に作成する詐欺サイト
• ・・AIでの自動生成も可能な時代

フィッシング詐欺への誘導

偽reCAPTCHAを使った詐欺の最も一般的な手口は、やはりフィッシング詐欺への誘導になります。
私自身も「偽のreCAPTCHA」に先日遭遇したばかりだったんですよ。

お客様への重要なお知らせ：LINEアカウントに関する再認証からの迷惑メール

アタッカーはまず、偽のメールや広告を使ってあなたを偽サイトに誘導します。
そのサイトを開くと、「このサイトにアクセスするにはCAPTCHAを完了してください」という指示が現れ、本物そっくりの見慣れた認証画面が表示されます。

あなたが認証作業を完了すると、今度は正規のサービスとそっくりな偽のログイン画面に移動させられます。
そこであなたのユーザー名やパスワード、クレジットカード情報などを入力してしまうと、その情報はすべてアタッカーに盗まれてしまいます。

結果として、アカウント乗っ取りや、不正利用の被害に遭う可能性があります。
このような詐欺サイトは、HTMLやJavaScriptという技術を使って本物そっくりに作られているため、私たちが危険なサイトにいることに気づくのは非常に困難です。

より危険な手口「ClickFix」の脅威

最近では、偽reCAPTCHAを使ったより巧妙で危険な攻撃手法が登場しています。
警視庁も注意を呼びかけている「ClickFix」という手口は、単に情報を盗むだけでなく、あなたに危険なソフトウェアを実行させる、極悪攻撃です。

攻撃方法

最初の誘導
偽のメールや広告から誘導された詐欺サイトで、「私はロボットではありません」というボタンが表示されます。

これらの指示は一見すると普通のシステム確認作業のように見えるでしょ？
実際には「ファイル名を指定して実行」という機能を開き、先ほどコピーされた危険なコマンドを実行させるための恐ろしい罠なんですよ。

あなたが自ら危険をおかす仕組み

この攻撃の最も危険な点は、あなた自身が「自分のパソコンを危険にさらす操作」を自ら行ってしまうこと。
多くの人は、これらの指示がどれほど危険かをすぐには理解できません。

従来の攻撃では、アタッカーが一方的に情報を盗んでいましたが、この手口ではあなたが「操作を言われたとおりにしてしまう」という人間の心理を悪用して、より積極的にシステムに侵入してきます。

その他の悪用手口と攻撃者の仕組み

偽reCAPTCHAは、他にも様々な悪用方法があります。
例えば、危険なファイルをダウンロードしようとすると、通常はブラウザが警告を表示しますが、アタッカーはあなたにこの警告を無視させる方法も使っています。

具体的には、「B、S、Tab、A、F、Enter」といった特定のキーを順番に押すよう指示し、あなたが無意識のうちに警告をスキップして、危険なファイルをダウンロードしてしまうよう誘導するのです。

毎日大量に作成する詐欺サイト

このような攻撃を支えているのは、攻撃者が毎日大量に作成する新しい詐欺サイトです。
攻撃者は以下のような様々な入り口を用意して、私たちを偽reCAPTCHAサイトに誘導しようとしています。

これらさまざまな経路を通じて、あなたは知らずしらずのうちに偽reCAPTCHAの罠に引っかかり、被害に遭ってしまう可能性があるのです。

AIでの自動生成も可能な時代

特に生成AIは、ウェブサイトのコードやコンテンツを自動生成する能力を持っているので、大量の詐欺サイトをあっという間に作れてしまいます。
AIが詐欺サイト作成に利用される主な方法はこんな感じ。

【ScamAgent】とは？AIが世界一の詐欺師になるかもしれない

詐欺サクラの心配一切なし！
ワクワクメールへＧＯ

目次へ

私たちが今日からできる偽reCAPTCHA対策

偽reCAPTCHAを使った攻撃は非常に巧妙で、見慣れた画面でもあるため、どんなに注意深い人でも騙される可能性があります。
しかし、正しい知識と対策を身につければ、被害に遭うリスクを大幅に減らせます。

• 目次
• ・日常的な習慣をつける
• ・操作指示に従わない
• ・ブラウザやデバイスでの対処法
• ・技術的な対策

日常的な習慣をつける

指示に従ってしまうとマルウェア感染という被害に遇うわけですから、「私はロボットではありません」と表示されていても、本物かどうか疑う必要があります。

関連記事にもフィッシング詐欺対策やマルウェア対策を詳しくまとめていますので、よくわからないと感じるなら、この機会に熟読してくださいね。
知識は重荷になりません、この先もあなたを支え続けてくれますよ。

ブラウザ上部のアドレスバーでURLをチェックする方法は、こちらの画像でわかるでしょうか？
特にスマホ画面で見るアドレスバーは表示範囲が狭いので、しっかり確認しましょう。

• ・上が偽物の佐川急便URL
• https://managerify.k8aoipj.cn/
• ・下が本物の佐川急便URL
• https://www.e-service.sagawa-exp.co.jp/

【偽物佐川急便】ご不在連絡票に記載されている！Web再配達受付サービス！

危険なリンクをクリックする前に！あなたの身を守るURLチェック術

あなた自身で判断できない場合は、ブラウザのタブやウィンドウを強制的に閉じましょう。
「ReCAPTCHA画面が表示されただけ」なら何も起こらないので大丈夫。

フィッシング被害に遇ったら？フィッシングを防ぐ確実な方法とは

危険な罠を見抜け！【SNSフィッシング詐欺】の最新手口と自衛策

巧妙化する【SMSフィッシング】の脅威と対策あなたのスマホは大丈夫？

操作指示に従わない

覚えておいてほしいのは、正規のサービスが、このような複雑なキーボード操作をユーザーに求めることは絶対にないということです。

もしも偽のReCAPTCHA画面と気づかずにチェックボックスをクリックし、「Windowsキー＋R」の指示が出たとしても従わなければ大丈夫。
その指示には絶対に従わず、ブラウザのタブやウィンドウを強制的に閉じましょう。

この記事では「Windows」を例としてあげていますが、OSに関係なく、偽警告はウェブサイトやブラウザの脆弱性を利用して表示されるため、WindowsだけでなくMacのユーザーも標的になります。
またパソコンでもスマホでも起こりえますので、デバイスも関係ありません。

ブラウザやデバイスでの対処法

一応、それぞれの対処法を書いておきますね。

そして何度も書きますが「絶対に指示に従わない」ということが何よりも大切ですね。

技術的な対策

AIの進化により、攻撃者の手口はますます巧妙になっています。
見慣れた画面だからこそ疑い、正しい対処法を身につけ、常に自己防衛意識を高く持てば、それらの攻撃を恐れることはないのです。

あなたを守るのはあなた自身。
これを機に、ご家族とも情報を共有して安全なネットライフを楽しんでくださいね。

関連記事

【マルウェア対策】感染の兆候や感染予防まとめ【感染したかも？！】

お客様への重要なお知らせ：LINEアカウントに関する再認証からの迷惑メール

フィッシング被害に遇ったら？フィッシングを防ぐ確実な方法とは

目次へ