CAPTCHAでPowerShellやターミナルにコマンドを貼れと言われた。実行して大丈夫？

結論：CAPTCHAのためにコマンドを実行する必要はありません

Webページに「人間であることを確認する」「セキュリティチェックを完了する」「エラーを修正する」などと表示されても、PowerShell、Windows Terminal、ターミナル、その他のシステム用ツールを開き、Webページが用意した文字列やコマンドを貼り付けて実行するよう求められたら、その操作は中止してください。

MicrosoftやJPCERT/CCは、偽のCAPTCHAや確認画面を使い、利用者自身に不正なコマンドを実行させるClickFix系の攻撃を確認しています。2026年8月にMicrosoftが報告したTerminalFixでは、偽のCloudflare確認画面からPowerShellやWindows Terminalでの操作へ誘導し、実行後に複数段階の侵害へつながる事例が観測されました。

本物らしいロゴ、チェックボックス、進捗表示が出ていても、それだけでは安全とは判断できません。CAPTCHAはCAPTCHAの画面内で完結するものとして考え、OSのコマンド実行まで求める指示には従わないのが安全です。

なぜ「自分で貼り付けて実行」が狙われるのか

この手口では、攻撃者が勝手にプログラムを実行するのではなく、利用者へ「確認に必要な操作」と思わせて、自分の手で実行させます。Microsoftは、偽CAPTCHA、偽エラー、緊急のセキュリティ警告などを使い、クリップボードへ用意されたコマンドを実行させるClickFixを重大なソーシャルエンジニアリング手法として説明しています。

実行される内容によっては、マルウェアの取得・起動、認証情報やセッショントークンの窃取、機密ファイルへのアクセス、端末内への永続化、さらに組織内ネットワークへの侵入につながる可能性があります。2026年のMicrosoftの調査では、ClickFixを入口としてブラウザーの認証情報や認証トークン、機密文書を狙う活動も確認されています。

画面上に表示された文字列が読みにくい、長い、意味が分からない場合でも、「確認用だから大丈夫」と実行してはいけません。このCheckでは、攻撃に使われる具体的なコマンドや再現手順は掲載しません。

まだ実行していないなら、そのまま離れて大丈夫です

まだコマンドを実行していないなら、まず実行しないことが最優先です。ページを閉じ、表示された手順の続きを行わないでください。クリップボードへ何かがコピーされたように見えても、それをPowerShellやターミナルなどへ貼り付けて実行しなければ、ClickFixの典型的な実行段階には進んでいません。

必要だったサービスへ戻る場合は、怪しいページのボタンやリンクをそのまま使わず、普段のブックマーク、公式アプリ、検索結果から確認した公式サイトなど、信頼できる経路から入り直します。

「セキュリティ機能を一時的に切る」「警告を無視する」「ウイルス対策を停止する」といった追加指示が出ても従わないでください。作業用PCなら、同じ画面が再び出る、社内サイトから誘導された、ブラウザーが不自然な動きをした、といった場合は社内のIT・セキュリティ担当へ共有します。

すでに貼り付けて実行してしまった場合

すでに実行した場合は、「何も起きなかったように見える」ことを安全の根拠にしないでください。TerminalFixやClickFixでは、画面上では確認が完了したように見せながら、裏で別の処理が進む手口が確認されています。

まず、怪しいページの追加指示には従わず、それ以上のコマンド実行や設定変更を止めます。可能であれば、アクセスしたURL、だいたいの時刻、表示内容などを記録しておくと、後の確認に役立ちます。ただし、証拠を残すために怪しいページを再度開いたり、同じ操作を再現したりする必要はありません。

個人所有のWindows PCでは、Windows セキュリティや利用中の信頼できるセキュリティ製品を最新状態にし、フルスキャンを行います。Microsoftは、マルウェア感染が疑われる場合のフルスキャンや、必要に応じたMicrosoft Defender オフラインスキャンを案内しています。

ブラウザーに保存したパスワード、認証情報、セッショントークンなどが影響した可能性もあります。端末の安全確認・駆除を先に行い、その後、必要なアカウントのパスワード変更、サインイン中セッションの確認、MFA設定の確認などを、信頼できる端末・経路から行います。Microsoftも侵害されたアカウントの復旧では、PCのマルウェアスキャンを行った後にパスワードを変更する順序を案内しています。

会社・学校・団体の端末なら、自分だけで直そうとしない

仕事用PCや組織管理の端末で実行してしまった場合は、できるだけ早くIT・情報システム・セキュリティ担当へ連絡してください。 自分だけで履歴やファイルを消したり、見つけたものを片端から削除したりすると、調査に必要な情報を失うことがあります。

TerminalFixのような事例では、1台の端末だけで終わらず、組織内の認証情報やネットワークへ影響が広がる可能性があります。Microsoftも、影響を受けた組織端末では侵害範囲を十分に調査し、アクセス可能だった認証情報のローテーションなどを優先するよう案内しています。

担当者へ伝えるときは、「偽CAPTCHAらしい画面からコマンドを実行した」「おおよその時刻」「利用していたブラウザーやサービス」「その後に見えた変化」など、分かる範囲の事実だけを伝えれば十分です。技術的な原因を自分で特定してから報告する必要はありません。

覚えておきたい判断基準

偽CAPTCHAやClickFixの画面は、本物のサービスに似せて作られたり、正規サイトが改ざんされて表示されたりすることがあります。そのため、「見た目が本物か」を見抜くことだけに頼るのは難しい場合があります。

代わりに、Web上の確認なのに、OS側のコマンド実行まで求めていないかを判断基準にしてください。

• CAPTCHAや人間確認のためにPowerShellやターミナルを開かせる
• Webページが用意した文字列を、別のシステム用ツールへ貼り付けさせる
• 「修復」「確認」「更新」などを理由に、意味の分からないコマンドを実行させる
• セキュリティ機能や警告を無効にするよう求める

こうした指示が出たら、その場で止めます。「確認のための操作だから例外」と考えないことが、ClickFix／TerminalFix型の攻撃を避ける一番分かりやすい基準です。