Internet Infrastructure Review（IIR）Vol.69
2026年3月

IIJのSOCにおいてもClickFixを用いた攻撃を検出しています。以下では、実際に検出した具体的な事例を紹介し、ClickFixの攻撃パターンを2つ解説します。

最初に紹介するのはClickFixの最も一般的な攻撃パターンとなっているものです。今回検出したサイトはフリーマーケットサイトを装ったもので、検索エンジン経由でアクセスされていました。このサイトにアクセスすると、偽のCAPTCHA画面が表示されます（図-1）。ここで「私はロボットではありません」のチェックボックスをクリックすると、コマンドがクリップボードにコピーされ、次の画面（図-2）に遷移します。この画面には、コピーしたコマンドを実行させる手順が記載されています。具体的には、Windowsキー+Rで「ファイル名を指定して実行」ダイアログを開き、Ctrlキー+Vでコマンドを貼り付け、Enter キーで実行するように指示されています。これに従うと、図-3 のコマンドが実行され、Windows Installerを利用して指定されたURLからマルウェアを含むMSIファイルが取得され、インストールされます。

今回取り上げた画面は日本語表記となっていますが、これは図-4のように攻撃者が偽のCAPTCHA画面で表示される文言を日本語を含めた複数の言語で用意しており、使用する言語を閲覧者のブラウザの言語設定に合わせて自動的に切り替える仕組みとなっているためです。

拡大する

図-4 指示用文言の言語切り替えの実装部分（一部抜粋）

次に紹介するのは、ClickFixの派生であるFileFixと呼ばれる手法を用いた攻撃です。FileFixは、コマンドを実行させる際に「ファイル名を指定して実行」ダイアログではなく、ファイルエクスプローラを利用する手法です。ファイルエクスプローラは「ファイル名を指定して実行」ダイアログに比べ、日常的に利用される機能であり、攻撃者はユーザに操作の違和感を抱かせないようにしていると考えられます。

今回検出したものは日本国内のサイト起因で発生していました。まず前述のClickFixのパターンと同様に偽のCAPTCHA画面が表示され、ユーザがチェックボックスをクリックすると図-5の画面に遷移します。ここで指示されている内容が前述のものとは異なります。最初に、「Open File Explorer」と書かれたボタンをクリックさせ、ファイルエクスプローラを開かせます。このタイミングで図-6のコマンドがコピーされます。次に、Ctrlキー+Lでアドレスバーにフォーカスを移動させ、Ctrlキー+Vでコマンドを貼り付け、Enterキーで実行させます。この操作を行うと、PowerShellコマンドが実行され、指定されたURLからローダが取得されます。その後、ローダによりマルウェアがダウンロードされ、実行されます。

今回検出した事例では、実行のハードルを更に下げるため、攻撃者はコマンドの後ろに余分なスペースを多数含むコメントを挿入していました。これにより、図-7のようにアドレスバー上ではコマンド部分が隠され、Enterキーを押すように促すコメント部分のみが表示されます。

脆弱性の評価指標とは、脆弱性がもたらすリスクの程度を、深刻度・悪用可能性・影響範囲などの観点から定義された基準に基づいて数値や段階で表現し、対応判断や優先度付けを行うための指標です。今回紹介する脆弱性の評価指標は、公開された脆弱性を一意に識別するための識別子であるCVE-IDごとにスコアなどが与えられる仕組みとなっています。

CVSS（Common Vulnerability Scoring System）は、情報システムの脆弱性の深刻度を、特定のベンダーや製品に依存せず、客観的かつ定量的に評価するためのオープンな業界標準として策定されました。CVSSは、脆弱性の評価項目が定められた共通の基準（Metrics）によって評価し、情報システムの脆弱性の深刻度を数値化するシステムです。CVSSは深刻度を0.0から10.0の数値で示し、数値が高い程深刻度が高いことを示します。また、スコアに応じてCritical・Highなどのような深刻度のレベル分けができ、どの脆弱性から優先的に対応すべきかの指標の1つとなりえます。CVSSに関する情報は、CVE-IDをアサインする権利を持ったベンダーがスコアを付け、NIST（米国国立標準技術研究所）が評価し、提供されています。2005年にバージョン1.0が公開されて以降、多くの組織では、脆弱性対応の優先順位付けの判断材料としてCVSSを用いてきました。例として、クレジットカード情報を安全に取り扱うために策定されたセキュリティ基準であるPCI DSS（Payment Card Industry Data Security Standard）では、CVSSのスコアが4.0以上の脆弱性について解決する必要があります^（注11）。しかし、CVSSは脆弱性のリスクではなく、脆弱性そのものの深刻度を表す指標のため、CVSSのスコアを単独で対応の優先順位付けに使用するのは推奨されていません^（注12）。また、CVSSのスコアのみを活用した対応の優先順位付けを行うと非効率になる可能性がいくつかの研究で指摘されています。例えば、CVSSスコアが高いという理由のみで脆弱性対応を行うことは、ランダムに脆弱性を選択して対応するのと同等だと報告している研究があります^（注13）。更に、近年の脆弱性の傾向からスコア7.0以上（深刻度がHigh以上）に分類される脆弱性の割合が高いため、CVSSスコアのみを活用した対応の優先順位付けを行った場合、対応数が多くなってしまう可能性もあります。図-8は、NVDが公開している情報を元に独自に集計したものであり、2025年に発行された脆弱性48,185 件のうちの22,184件（46.0%）がスコア7.0以上となっており、脆弱性数も年々増加していることが分かります^（注14）。そのため、例えば、「CVSSのスコアが7.0以上（深刻度がHigh以上）であれば脆弱性対応の対象とする」というような運用であれば、多数の脆弱性を同時に対象とすることとなり、対応の優先順位付けやトリアージに要する負担が大きくなる可能性があります。加えて、脆弱性数も年々増加傾向にあるので、この運用の場合、今後も対応の対象となる脆弱性が増加すると推測できます。

KEV（Known Exploited Vulnerabilities catalog）は、サイバーセキュリティコミュニティやネットワーク防御担当者の利益や、組織が適切に脆弱性を管理することを目的として作成されました^（注15）。KEVとは、実際に攻撃で悪用されていることが確認された脆弱性の一覧のことで、CISA（米国サイバーセキュリティ・社会基盤安全保障庁）が公開・管理しています。通常の脆弱性情報は非常に多岐にわたり、すべての脆弱性に優先順位を付けて対処することは現実的ではありません。KEVは、その膨大な脆弱性の中から「既に悪用が確認されている」という最も緊急性の高い情報を選別し、組織が優先的に対処すべき脆弱性を明確にするための重要な指標となっており、多くの組織が脆弱性管理に利用しています。しかし、実際に悪用が確認された脆弱性の中の数パーセントしかKEVに掲載されていないというCisco社の報告があり、網羅性に不安があります^（注16）。例えば、Sky社が提供する企業向けのクライアント運用管理ソフトウェア「SKYSEA Client View」の脆弱性「CVE-2016-7836」は、2016年12月22日時点でこの脆弱性を悪用した攻撃活動が報告されていましたが、KEVに追加されたのは2025年10月14日でした^（注17）。

EPSS（Exploit Prediction Scoring System）は、脆弱性が実際に悪用される可能性という未来の脅威を予測するために作成されました。EPSSとは、「今後30日以内に、その脆弱性が実際にサイバー攻撃によって悪用される確率」を予測するための評価システムのことです。世界各地の政府機関・民間企業・教育機関などのCSIRTがメンバーとして参画しているFIRSTという団体が開発・管理しています。FIRSTは、機械学習を用いて算出した今後30日以内に脆弱性が悪用される確率を示すEPSS のスコアや、EPSSのスコアを順位へ変換したパーセンタイルを提供しています。EPSSの論文によると、EPSSではCVSS Metricsの項目や公開されている攻撃コード、外部センサーネットワークで観測した悪用通信の有無の情報など、様々な情報を活用しています（表-3）。CVSS Metricsの項目や公開されている攻撃コード、KEVといったCVEについて言及しているリストやサイトなどの情報は、モデルの入力で利用されているとのことです。更に、悪用通信の有無の情報は、表-3にlabels と書かれていることから、推論時のモデルの入力ではなく学習時の教師データとして目的変数に使用しており、Fortinet やGreyNoiseなどの外部センサーネットワークを情報源としています。また、EPSSのスコアとパーセンタイルは毎日再計算され、最新の脆弱性関連情報が反映されるため、数値が日々変動します。EPSSのスコアを算出する機械学習モデルの再学習や特徴量の増加などによるバージョン更新が不定期でされており、直近では2025年3月にEPSSのバージョン3からバージョン4への変更が行われています。

CVEが発行された当初はスコアが低いですが、数日後にスコアが急激に伸びており、約1ヵ月後にKEVに追加されています。EPSSを活用した運用では、基本的にEPSSのスコアについて閾値を定め、その閾値を超えた脆弱性についてどう対応するかを決定する形になるので、例えば「EPSSのスコアが0.6以上であれば脆弱性対応」という運用であれば、KEVに追加される日より前にCVE-2025-3248を対応できます。このように、EPSSは脆弱性対応の優先付けの判断材料の1つになりえる指標と考えられます。

しかし、EPSS導入と活用に関する事例が公式にまとめられておらず、脆弱性対応を決定するスコアの閾値は組織ごとに設定する必要があり、どこに線を引くかは組織次第で、明確な基準がありません^（注19）。例えば、CVSSなら深刻度がHigh以上の脆弱性、KEVならリストに追加された脆弱性というように基準を立てやすいですが、EPSSのスコアを活用する場合は0 〜1のどこかに値を設ける必要があります。更に、その設定した値がどの程度信頼できるかの判断も組織ごとに考慮する必要があります。また、EPSSのスコアは機械学習モデルで算出しており、機械学習に使用するデータセットや学習済みモデル、ソースコードの公開もされていないため、算出されたスコアの説明可能性がほとんどありません^（注20）。そのため、スコアが高い、または低い理由を特定することはできず、原因を推測することしかできません。

LEV（Likely Exploited Vulnerabilities）は、従来のKEV（悪用された事実）やEPSS（将来の予測）を補完することを目的に策定されました。KEVは前述のようにすべての悪用された脆弱性が記載されているわけではなく、KEVのみでは対応漏れがある可能性があります。また、EPSSは将来悪用される確率を示しており、過去に悪用されたかどうかの情報は含みません。LEVとは、過去に悪用された可能性を定量的に推定する評価システムで、2025年にNISTが提案した新しい指標です。LEVは、過去のEPSSのスコアを積算し、「脆弱性が過去に悪用された確率」を推定します。これにより、特定の時点のスコアを基に判定するEPSSとは異なる時間軸の情報を得ることができ、EPSSでは拾いにくい「中程度のスコアが継続していた脆弱性」なども累積的に評価されます。その結果、KEVに掲載されていない脆弱性を補足できる可能性があり、対応漏れを減らす観点で補完的に活用し得る指標と考えられます。しかし、LEVのスコアは過去のEPSSスコアに大きく依存するため、EPSSの予測誤差や過小評価・過大評価が存在する場合、それらの誤差がLEVにも累積して反映される可能性があります。

SSVC（Stakeholder-Specific Vulnerability Categorization） は、組織の脆弱性に対する対応行動を標準化・透明化することを目的に策定されました。SSVCとは、組織が自身の状況とリスク許容度に基づいて、脆弱性への対応を迅速かつ効率的に決定するための意思決定ツリーフレームワークのことです。これまでの（KEVを除く）脆弱性の評価指標が何らかの脅威度を数値化していたのに対し、SSVCでは、特定の組織（ステークホルダー）ごとに脆弱性の対応方針を導くための決定木が用意されており、決定木の分岐点ごとに評価してたどっていくことで「脆弱性への対応方針」を導くことができます。しかし、決定木の分岐点となっているMission ImpactやSafety Impactを判断するには組織固有の情報が必要で、評価者の資産・構成管理情報の理解度によって対応方針の判定が変わってしまう可能性があります^（注21）。この判断を正確に行うためには資産・構成管理情報を把握しておく必要があり、評価者ごとに判定の揺れが起きにくくしなければなりません。

前項で述べたとおり、IIJのSOCではEPSSを中心とした評価指標の活用を検討しました。本項では、EPSSの活用方法を検討した際に明らかになったEPSSの利点と課題について、様々な脆弱性の事例を用いて紹介します。

まず、EPSSの良い点として、検証を通して、EPSSのスコアの絶対値が高い脆弱性やスコアが上昇している脆弱性が、攻撃コードの公開などの悪用リスクに関連する事象と相関していることが多いことを確認しました。これらの相関は、脆弱性が実際に悪用される可能性を示すシグナルとなりえるため、SOCアナリストが優先的に把握すべき対象を絞り込む際の判断材料として有用です。

ここで、なぜEPSSのスコアの絶対値や上昇値に注目するのかを説明します。ここで言うEPSSのスコアの上昇値は、EPSSのスコアが最初に計算された日からどれだけ上昇したかを示す変化量を指します。EPSSスコアの絶対値と上昇値は、EPSSスコアの定義に基づき、以下のような意味になります。

以上の具体例のように、スコアの絶対値が高い・スコアが上昇している脆弱性は、悪用リスクに関連する事象と相関する可能性が高いです。そのため、スコアの絶対値や上昇値を基に脆弱性を特定するルールを作成すれば、攻撃リスクの高い脆弱性を早期に把握できます。

これまで説明してきた事例以外にも、モデル変更による影響も考慮する必要があります。EPSSはバージョン3からバージョン4へのモデル変更で精度が向上しましたが、固定の閾値で脆弱性を特定する場合、モデル変更時に閾値を調整する必要があります。モデル変更の影響を把握するには、開発者の情報発信の確認や、検証用のスコアデータをある程度の期間収集する必要があります。

本節では、EPSSを脆弱性対応の評価指標として活用できるかを検討する過程で明らかになった利点と課題について、複数の脆弱性の事例を基に確認しました。

まず、EPSSの有用な点として、スコアの絶対値が高い脆弱性や、スコアが上昇している脆弱性は、悪用リスクに関連する事象と相関する可能性が高いことが挙げられます。このため、EPSSのスコアやその変化を継続的に監視することで、将来的に悪用される可能性の高い脆弱性を把握しやすくなる点は、脆弱性対応において大きな利点と言えます。

一方で、課題も存在します。脆弱性の悪用報告があるが、スコアが上昇しない脆弱性が存在する点です。特に、日本など特定の地域で主に利用されている製品については、実際に悪用が確認されていてもスコアが上昇しない場合があることを確認しました。また、前述のEPSSの説明のとおり、スコアの閾値の設定は組織ごとに設定する必要があり、その設定した値がどの程度信頼できるかの判断もする必要があります。それに加えて、EPSSはバージョンアップのたびにモデルが更新され、スコアの分布や傾向が変化する可能性があるため、閾値を決めること自体が課題となる場合があります。

以上を踏まえると、EPSSは、組織内における脆弱性対応の優先順位付けに役立つ有効な指標です。ただし、把握すべき製品の脆弱性が正しくEPSSに反映されないこともありますので、セキュリティベンダーが発信する脆弱性に関するレポートや、SNSなどを通じて日本など特定地域での悪用情報を収集し、複数の情報を組み合わせて判断することが重要です。また、EPSSは単体では判断が難しい場面もあるため、従来から利用されているCVSS やKEVといった指標と併せて活用することが望ましいです。