Sorabun

セキュリティ

あなたのWordPressが加害者に？ 改ざんサイトで訪問者をだます「ClickFix」と、今日の確かめ方【2026年10月】

公開 ・ 読了の目安 約15分 ・ Sorabun 編集部

あなたのWordPressが加害者に？ 改ざんサイトで訪問者をだます「ClickFix」と、今日の確かめ方【2026年10月】

サイトを開くと、見慣れた「私はロボットではありません」の画面。チェックすると「Windowsキー＋Rを押して、Ctrl＋Vで貼り付けて、Enter」と指示される——。これは、訪問者に自分でウイルスを実行させる 「ClickFix」 という手口です。

そして、この偽の画面は、改ざんされた普通のWebサイトから出てくることがあります。WordPressのサイトが乗っ取られると、運営者が知らないうちに、訪問者をだます道具にされてしまうのです。

この記事では、警察庁やセキュリティ会社の発表をもとに、ClickFixの手口、改ざんされたサイトが使われる仕組み、2026年10月に悪用されたWordPressの脆弱性、乗っ取られたときに起きること、そして自分のサイトの確かめ方と初動をまとめます。

1. ClickFixとは

警察庁の「サイバー警察局便り」（2025年10月）は、ClickFixを次のように説明しています。

  1. メールやWebサイトから、「私はロボットではありません」などの偽の認証画面に誘導される
  2. チェックすると、その間に不正なコマンドがコピーされる
  3. 画面の指示どおり Windowsキー＋R（「ファイル名を指定して実行」）→ Ctrl＋V（貼り付け）→ Enter と操作すると、自分でコマンドを実行してしまい、ウイルスに感染する

感染すると、IDやパスワード、データを盗まれ、ネットバンキングやクレジットカードを不正に使われるおそれがあります。会社のパソコンなら、ランサムウェアの入口になることもあります。

日本が世界最多

ESETの「2026年上半期脅威レポート」によると、ClickFix（同社の検知名 HTML/FakeCaptcha）の検知は、前の半期から108%増えました。国別の検知では、日本が全体の14%で世界最多です。

数字の読み方に注意が要ります。

2. 偽の画面は、改ざんされたサイトに仕込まれる

セキュリティ会社のSucuriは、改ざんされたWordPressサイトに、ClickFixの偽の画面を出すコードが仕込まれていた例を、何度も報告しています。

時期 仕込み方
2025年2月 ランダムな5文字の名前の偽のプラグイン、テーマの functions.php、.htaccess。同じ仕込みのあるサイトが5,200以上見つかった。Googleの警告の原因にも
2025年5月 すべてのテーマの header.php から、偽の Cloudflare の確認画面を読み込ませる
2025年8月 データベース（WPCodeプラグインの保存領域）に隠し、Windowsの人にだけ、1人に最大3回、偽の「人間であることを確認」の画面を出す
2026年1月 偽のプラグインで、Windowsで管理画面を開いた管理者にだけ、偽のブラウザ更新の画面を出す（一般の訪問者には見せない）

ESETも2026年上半期のレポートで、改ざんしたWordPressサイトで、サイトの管理者にClickFix風の画面を見せる手口を挙げています。

相手を選ぶので、運営者は気づきにくい

Windowsの人だけ、1人3回まで、管理者だけ——。このように相手を選んで画面を出すので、運営者が自分のサイトを開いても、何も見えないことがあります。

3. サイトは、どうやって改ざんされるのか（2026年10月の例）

入口の多くは、プラグインやテーマ、WordPress本体の脆弱性です。2026年10月も、悪用が続きました。

対象 何が起きたか 出典
Bricksforge（CVE-2026-85097） ログインせずにファイルを送り込み、PHPを実行できる。深刻度は最高の10.0。3.1.8.9以下が影響を受け、3.1.8.10で修正。10月7日（日本時間8日）に悪用を確認、63のIPアドレスから Patchstack
WPC Product Bundles for WooCommerce・Ninja Forms ログインせずに仕込めるスクリプトが、管理者が管理画面を開いたときに動く。10月4〜5日から悪用 Patchstack
Rank Math SEO PRO 3.0.123 10月15〜16日に配られた更新の一部に、マルウェアが入っていた（3.0.124で修正） Wordfence・Rank Math
WordPress本体（CVE-2026-87902） 9月22日の修正（7.1.2ほか）から数時間で、様子見の攻撃が始まった Patchstack・WordPress.org

入り直すための「裏口」を、いくつも作る

Patchstackが分析した10月の攻撃では、入り込んだ攻撃者が、あとで入り直すための裏口を4つ作っていました（同社の言う「four ways back in」）。

  1. 目に見える管理者アカウント
  2. ユーザーの一覧に出てこない、隠れた管理者アカウント（MUプラグインで一覧から消す）
  3. 元の持ち主としてログインできる、裏口のログインURL
  4. ログインせずに使える、ファイルの管理機能

ファイルの日付も、WordPressより古く見えるように偽装されていました。

更新するだけでは、解決しない

改ざんに気づいて、怪しいプラグインを消し、更新しても、こうした裏口が残っていれば、また入られます。Rank Mathの件でも、Wordfenceは「更新するだけでは不十分」としています。最初に入られた入口を直し、裏口を探して消す必要があります。

4. 乗っ取られると、何が起きるか

訪問者に

運営者に

5. 自分のサイト、今日の確かめ方

  1. Search Console で、「セキュリティの問題」と「手動による対策」を見る
  2. Googleで 「site:自分のドメイン」 を検索し、見覚えのないページが出ないか確かめる
  3. スマホで、Googleの検索結果から自分のサイトを開いてみる（スマホや検索から来た人だけを別のサイトに飛ばす仕込みがあるため。シークレットモードでも）
  4. 管理者アカウントを、データベースでも確かめる（隠れた管理者は、管理画面のユーザー一覧に出ないため）。support・updater などの名前や、見覚えのないメールアドレスに注意
  5. 見覚えのないプラグイン、mu-plugins（プラグインの画面に出ない）、uploadsフォルダの中のPHPファイル、.htaccess・header.php・functions.php の変更を探す
  6. WP-CLIが使えるなら wp core verify-checksums で、本体のファイルを公式のものと照合する

Googleは「セーフブラウジングで問題が出ていなくても、改ざんされていないとは限らない」としています。ファイルの更新日時も偽装されることがあるので、信用しすぎないでください。

6. 改ざんされていたら、運営者がやること

  1. まずサイトを止めて、被害を広げない（IPAは、ウイルスを配っているような場合はまず停止するよう求めています。利用者に被害が出た場合は、速やかな公表も望まれるとしています）
  2. ログと、改ざんされたままのコピーを残す
  3. すべてのパスワードを変える（WordPressの管理者・FTP・サーバーの管理画面・データベース）。wp-config.php の秘密鍵（ソルト）も新しくする
  4. 不正なコードを取り除き、入られた入口の脆弱性を直す。本体・プラグイン・テーマを更新する
  5. 直したら Search Console で審査を依頼する
  6. 困ったら、IPA の情報セキュリティ安心相談窓口、JPCERT/CC、警察に相談する

JPCERT/CCは「Web サーバを保全の上、Web サイト更新に関連するアカウント、パスワードを変更し、警察または JPCERT/CC に相談する」よう案内しています。

7. 訪問者として、だまされないために

8. ソラブンなら：怪しいファイルを毎日調べる

WordPressのAIプラグイン Sorabun（ソラブン） は、入っているプラグインを公式のファイルと突き合わせ、書き換わったファイルや、元に無いPHPを毎日自動で調べます。手元のデモサイトで実際に調べると、251個のファイルを確かめて「怪しいファイルは見つかりませんでした」と表示されました。

入口をふさぐ設定（セキュリティの修正を含む更新だけを自動で当てる、管理者に2段階認証を必須にする、ほかのサイトから漏れたパスワードを使わせない、ログインの総当たりを締め出す、など）も、同じ画面にまとまっています。設定のしかたはマニュアル（セキュリティ）にあります。

自分のサイトに古いプラグインやテーマが残っていないかは、無料のセキュリティ診断でURLを入れるだけで確かめられます。WordPressの守りの基本はWordPressの保守・セキュリティ対策を徹底解説にもまとめています。

よくある質問

自分のサイトを開いても何も変わりません。改ざんされていないということですか？

そうとは限りません。改ざんされたサイトの中には、Windowsの人だけ、スマホや検索から来た人だけ、管理者だけ、のように相手を選んで偽の画面を出したり、別のサイトに飛ばしたりするものがあります。Search Consoleの「セキュリティの問題」や、スマホで検索結果から開く確認もしてください。

怪しいプラグインを消して更新しました。これで大丈夫ですか？

まだ安心はできません。隠れた管理者アカウントや裏口のログインURLなど、入り直すための仕掛けが残っていることがあります。管理者アカウントをデータベースでも確かめ、すべてのパスワードとwp-config.phpの秘密鍵を変え、入られた入口の脆弱性を直してください。

Googleの警告が出てしまいました。どうすれば消えますか？

まず改ざんを直し、裏口を消してから、Search Consoleの「セキュリティの問題」レポートで審査を依頼します。直さないまま申請すると長引きます。審査には数日から数週間かかります。

ClickFixの偽の画面で、コマンドを実行してしまいました。

すぐにパソコンをネットワークから切り離し、別の端末から、IDやパスワードを変えてください。会社のパソコンなら、すぐに情報システムの担当者に知らせます。個人なら、IPAの情報セキュリティ安心相談窓口や、警察の相談窓口（#9110）に相談できます。

まとめ

出典（2026年10月18日に確認）

ほかのコラム

セキュリティ スマホ乗っ取りの正体は「アカウント」だった。iPhone・Android・LINEで今日やる設定と確かめ方【2026年10月】 スマホの乗っ取りで実際に狙われているのは、スマホの中のアカウントと電話番号。警察庁・IPAの数字（ID盗用の検挙399件中スパイウェアは3件）、LINEの投票型乗っ取り、SIMスワップ、よく聞く話の確かめ、iPhone・Android・電話番号・LINEで今日やる設定、確かめ方ともしものときまで。 セキュリティ パスキーでも証券口座が乗っ取られた？ 本当の原因と今日やる設定【2026年10月】 パスキーでも証券口座が乗っ取られた？ 2026年9月末から相次いだ証券各社の注意喚起を、各社・Google・Apple・金融庁の一次情報で整理。パスキーは破られたのか、本当に狙われたGoogle・Appleのアカウント、Google・iPhone・証券口座で今日やる設定、乗っ取られたときの連絡先まで。 セキュリティ 【2026年】相次ぐ個人情報漏えい、何が起きている？ 原因の「事実」と今日やる対策 2026年9月から相次ぐ個人情報の漏えい（タイムズカー・ローソン・ソースネクストほか）。何が起きているのかを各社の発表と国の機関の資料で整理し、確認された手口、「AIのせい」は本当か、漏れたら個人が今日やること（免許証の本人申告）、サイトを持つ人の対策までまとめました。

コラムの一覧へ