✅この記事では、Xのスポンサー広告からMac用マルウェアが配られていた件について、手口と本物の見分け方を整理します。
- 要点まとめ：認証バッジを信じた先に、マルウェアがあった
- 認証済みアカウントの広告が、DynamicLakeになりすました
- 手口の中心は、ターミナルにコマンドを貼らせる「ClickFix」
- 署名も公証もあるのに、なぜ止まらないのか
- 認証バッジとX広告審査という、もう一つの穴
- 本物を見分けるには、公式サイトとターミナルの一線
- 海外の反応：警告よりも、人の手順のほうが破られやすい
- ひとこと：バッジが信頼の証だった時代の、静かな終わり
- まとめ：OSの穴ではなく、信頼の隙が狙われた
どうも、となりです。
Xを眺めていたら、見覚えのあるMacアプリの広告が流れてくる。しかも青い認証バッジ付きの、フォロワーが多いアカウントから。これなら「ちゃんとした広告だろう」と、ふつうは思ってしまう場面です。
ところが今回、その広告の先で待っていたのがMac用のマルウェアだった、という報告が出ました。セキュリティ企業の調査部門が見つけたもので、狙われたのは実在する人気アプリの名前と、認証済みアカウントに対するぼくらの信頼そのものでした。
要点まとめ：認証バッジを信じた先に、マルウェアがあった
- Appleのセキュリティ研究部門ではなく、セキュリティ企業Jamf Threat Labsが、X上のスポンサー広告経由でMac用マルウェアが配られていたと報告しました
- 広告は実在するMacアプリDynamicLakeを装い、リンク先の偽サイトでターミナルにコマンドを貼り付けさせる「ClickFix（クリックフィックス）」という手口が使われていました
- 仕込まれていたのは、情報を盗むAtomic Stealer（アトミック・スティーラー）の亜種「MacSync」で、一部では別のスティーラー「DigitStealer」も確認されています
- 問題の広告はフォロワーの多い認証済みアカウントから出ており、X自身の広告審査を通り抜けて配信されていました
- 署名・公証された正規アプリが、ユーザーにターミナル操作を求めることはありません。ここが本物と偽物を分ける、いちばん確実な見分け方です
認証済みアカウントの広告が、DynamicLakeになりすました
9to5Macによると、Jamf Threat Labsが見つけたのは、X上でスポンサー広告として流れていたClickFix型の攻撃でした。発信元は、それなりのフォロワーを持つ認証済みアカウントです。
広告がなりすましていたのは、DynamicLakeという実在アプリでした。これはMacBookのノッチ（画面上部の黒い切り欠き）を、iPhoneのDynamic Islandのように使えるようにする、ちゃんとした人気ユーティリティです。名前も見た目も本物に寄せてあるので、パッと見では偽物だと気づけません。
広告に表示されているリンクは本物っぽく見えますが、Jamfの調査では、そこをクリックするとdynamicmacisland[.]comという偽サイトへ飛ばされます。本物とよく似せてあるだけで、実際のアプリとは何の関係もないドメインです。ちなみに本物の配布元はDynamicLake.comひとつだけ。似た名前のサイトが出てきたら、その時点で一度立ち止まっておきたいところです。
手口の中心は、ターミナルにコマンドを貼らせる「ClickFix」
偽サイトにたどり着くと、そこには「インストールの手順」がていねいに並んでいます。ターミナルを開いて、用意されたコマンドをコピーし、貼り付けて実行してください、という流れです。この一連の誘導が、ClickFixと呼ばれるソーシャルエンジニアリング（人の心理や手順を突く攻撃）の典型です。
ここで貼り付けたコマンドが、裏でマルウェアを静かにダウンロードして動かします。画面の指示だけ見ていると「アプリを入れているつもり」なのに、実際には自分の手で感染の引き金を引かされている。ここがClickFixの怖いところです。
Appleもこの手口を放置しているわけではありません。macOS 26.4では、他のアプリからターミナルへコマンドを貼り付けるときに警告を出す仕組みが入りました。まさにこの「貼り付けさせる」動きを止めにいく機能です。ただ、警告が出ても、手順に従うつもりの人は押し切ってしまう。仕組みだけで全部は防ぎきれない、という前提は持っておきたいところです。
署名も公証もあるのに、なぜ止まらないのか
「Macってアプリを入れるとき警告が出るし、わりと守りが堅いよね」という感覚は、基本的には正しいです。macOSにはGatekeeper（ゲートキーパー）や公証（Notarization＝Appleが配布前のアプリを審査する仕組み）があって、素性の怪しいアプリはふつう止まります。
今回の攻撃がやっかいなのは、その守りを正面から破っていない点です。仕込まれたペイロードは、以前にも正規アプリに見せかけて公証をすり抜けたことがあるMacSyncという、Atomic Stealerの亜種でした。ただ今回はそれ以前の話で、ユーザー自身にターミナルでコマンドを実行させてしまえば、アプリの審査というチェックポイントをまるごと迂回できるわけです。
言い換えると、狙われているのはソフトの脆弱性ではなく、キーボードの前にいる人間の手順です。だからこそ覚えておきたいのが、Appleが署名・公証した正規アプリは、インストールのためにターミナルへコマンドを貼れとは絶対に言わないということ。逆に言えば、ターミナルを使わせようとしてきた時点で、相手が何を名乗っていても疑ってよい合図になります。
認証バッジとX広告審査という、もう一つの穴
今回いちばん引っかかったのは、広告の出どころでした。9to5Macによると、広告を出したアカウントの持ち主自身も、それを正当な広告だと信じて承認していたそうです。悪意はなく、まさか偽サイトへ誘導するものだとは思っていなかった、と。青い認証バッジと見慣れた名前は、どこの誰とも分からないアカウントには出せない安心感を与えます。その信頼が、そのまま攻撃の土台に使われたという構図です。
もう一段の問題は、X側の審査を通ってしまったことです。この広告はXの広告システムを、チェックも含めて通過し、プロモート投稿として実際にユーザーへ届きました。本物そっくりのドメインと一度だけのリダイレクトが、自動スキャンをかいくぐる役目を果たしたとみられています。そして、実際にすり抜けた。
この既視感は、Macを使っている人ほど強いかもしれません。少し前にも、Google検索のスポンサー広告から偽のAppleサポートへ誘導する手口が確認されていて、去年は偽のHomebrew（Mac向けのソフト管理ツール）が検索広告の上位でばらまかれた例もありました。「検索や広告の一番上だから安全」という前提が、もう当たり前には成り立たない。今回のXの件は、その舞台が検索からSNSへ広がっただけ、とも読めます。なお9to5MacはXにコメントを求めていますが、今のところ返答はないとのことです。
本物を見分けるには、公式サイトとターミナルの一線
むずかしい防御は要りません。今回の件から持ち帰れる目安は、だいたい次の3つに収まります。
ひとつ、アプリは公式サイトや正規のストアからだけ入れる。DynamicLakeなら本物はDynamicLake.comだけで、決済もGumroad（ガムロード＝海外の販売プラットフォーム）を通して安全に処理される、と開発者本人が説明しています。広告のリンクをそのまま踏まず、名前で検索して公式にたどり着く。この一手間がいちばん確実です。
ふたつ、インストールのためにターミナルへコマンドを貼れと言われたら、そこで手を止める。正規アプリはこの操作を求めません。相手が認証済みでも、見た目がどれだけ整っていても、ここは例外なしの合図として扱って大丈夫です。
みっつ、DynamicLakeの開発者は「偽物は数か月ごとに新しいものが出てくる」と話していました。今回たまたま名前を使われたのがこのアプリだっただけで、明日は別の人気アプリが同じ手口に使われてもおかしくありません。個別のアプリ名を覚えるより、入口（広告か公式か）と途中でターミナルを使わせるかという二つのチェックを、体に入れておくほうが長く役立ちます。
海外の反応：警告よりも、人の手順のほうが破られやすい
今回の件そのものへの直接の反応はまだ多くないので、広告からターミナルにコマンドを貼らせるClickFixという同じ手口や、Appleが入れた貼り付け警告をめぐる海外の声から拾いました。
And it just goes to show how strong the basic level of security we all enjoy is. And also shows why security researchers reporting some novel complex multiple step exploit is cute. 🙂 Yes, it's an exploit, but when an attacker can simply ask the person at the keyboard to perform a more reliable and powerful attack, the likelihood of anyone actually using their science experiment in the wild becomes incredibly low.
これはむしろ、ぼくらが当たり前に享受している基本的なセキュリティがどれだけ強いかを示している。そして、研究者が新しくて複雑な多段階のエクスプロイトを報告してくるのが、なんだか微笑ましく見える理由も分かる。確かにそれもエクスプロイトではある。でも、攻撃者がキーボードの前の本人に頼んで、もっと確実で強力な攻撃をやらせられるなら、そんな“実験”が実際に使われる可能性はごく低くなる。
技術の穴より人の手順という指摘です。凝ったエクスプロイトを探すより、本人にコマンドを打たせるほうが確実だという話は、今回のClickFixがなぜ通用したのかをそのまま言い当てています。
It's nice but don't underestimate people's ability to ignore warnings when told to do so If you've ever seen a YouTube video about tech support scammers you'll know how ineffective all those "Never give this code to anyone you don't know" warnings are when the two people involved are a senior citizen who's worried they've been hacked and some scumbag insisting "the warning is because this is a robotic support server ma'am, just click accept"
悪くはないけど、人が“やれと言われたら警告を無視できてしまう”力を甘く見ないほうがいい。テクニカルサポート詐欺のYouTube動画を見たことがあれば、「知らない相手にこのコードを教えないで」みたいな警告がどれだけ通用しないか分かるはず。ハッキングされたかもと不安になっている高齢者と、「その警告はこれがロボットのサポートサーバーだから出ているだけです、承認を押して大丈夫ですよ」と言い張る悪党、という二人が相手ならなおさらだ。
警告は万能ではないという現実的な声です。macOS 26.4の貼り付け警告のような対策が入っても、相手にうまく言いくるめられた人は結局押し切ってしまう。仕組みと油断は、別のレイヤーの話だと分かります。
Glad to see that the browser developers and Apple are on top of the situation and offering countermeasures. I only started noticing this attack vector this year. ClickFix is a downright stupid method of infecting a system, but it's surprising how many people fall for it.
ブラウザの開発元やAppleがこの状況をちゃんと把握して、対策を出してきているのは嬉しい。ぼくがこの攻撃の入口に気づいたのも今年に入ってからだ。ClickFixって、システムを感染させる方法としては本当にバカげているのに、これだけ多くの人が引っかかるのは驚きだよ。
雑なのに刺さるという戸惑いです。手口としては単純なのに引っかかる人が多い、という驚きは、たぶん多くの人の実感に近いところだと思います。
It would be helpful if the dialog actually showed what is being pasted, so that the user could decide whether they want to "Paste Anyway"… Since the clipboard can contain multiple contents with different mime types, and what exactly gets pasted depends on the receiving application, an accurate preview can be essential.
ダイアログが実際に“何が貼り付けられるのか”まで見せてくれたら助かる。そうすれば「それでも貼り付ける」かどうかを自分で判断できる……クリップボードは異なる種類の中身を同時に持てるし、実際に何が貼られるかは受け取る側のアプリ次第だから、正確なプレビューは欠かせないはずだ。
警告のつくり込みへの注文です。ただ止めるだけでなく、何が貼られようとしているのかを見せてほしいという指摘は、対策を一歩前に進めるうえで筋が通っています。
ひとこと：バッジが信頼の証だった時代の、静かな終わり
今回いちばん頭に残ったのは、マルウェアそのものより、広告を承認したアカウント主が「悪意なく」加担させられていた部分でした。認証バッジは、かつては「少なくとも素性ははっきりしている」という目印でした。それが今は、攻撃側にとって信頼を借りる道具にもなりうる。
ぼく自身、SNSで見慣れた名前の広告が流れてくると、つい警戒がゆるみます。その感覚こそが狙われているんだな、と読んでいて背筋が伸びました。派手なゼロデイの話より、こういう「信頼の借用」のほうが、生活のすぐ隣にある気がします。
まとめ：OSの穴ではなく、信頼の隙が狙われた
今回の一件は、Macの防御が破られたというより、その手前にある人の信頼と手順が突かれた話でした。認証済みアカウントの広告も、本物そっくりのサイトも、最後の一歩は「自分でターミナルにコマンドを貼る」ところに集約されています。
だから、覚えることは多くありません。アプリは公式から入れる。そして、インストールのためにターミナルを使えと言われたら、そこで止まる。この二つさえ引けていれば、次にどんな人気アプリの名前が使われても、入口で気づける可能性はぐっと上がります。
ではまた！
Yubico セキュリティキー YubiKey 5C NFC USB-C/FIDO2/WebAuthn/U2F/2段階認証/高耐久性/耐衝撃性/防水
今回のようなスティーラーが狙うのは、保存したパスワードやログイン情報です。Apple IDやGoogleなど手放したくないアカウントだけでも、USB-CとNFCで使える物理キーを二段階認証に足しておくと、万一パスワードが漏れても入られにくくなります。
AmazonSource：9to5Mac、Jamf Threat Labs、MacRumors Forums①、MacRumors Forums②、MacRumors Forums③、MacRumors Forums④
