SecurityHeroblog
セキュリティの基本12閲覧

インストールファイルの代わりに『貼り付けてください』が出たら、その画面が詐欺です

認証バッジ付きの公式アカウントの広告を押したのに、インストールファイルの代わりにコマンドを貼り付けろという画面が出ました。貼り付ける手は自分の手ですが、出ていくのは自分のパスワード・メモ・仮想通貨ウォレットです。二日間で108件が投稿されたこの手口を、学校のロッカー一つで解きほぐします。

学校のロッカーにメモが貼ってあるとしましょう。学校の印鑑が押されています。「ロッカーを新しく割り当てます。移動するには、今使っている鍵の番号を下の欄に書いて扉に貼っておいてください。」印鑑が本物なので疑いません。番号を書いて貼ります。その夜、ロッカーは空にされます。

鍵を壊した人はいません。番号を書いたのは自分の手です。そして学校は、そんなメモを貼りません。

今週ニュースに出た手口がまさにこれです。メモは広告で、印鑑は認証バッジで、番号を書いて貼る行為はコマンドの貼り付けでした。順を追って見ていきます。

何が起きているのか — 自分の画面で

事実 Reddit(海外のコミュニティサイト)に広告が一つ表示されます。投稿したアカウントはHBO Max(米国のストリーミングサービス)の公式アカウントです。認証バッジも付いています。認証バッジとは「このアカウントは本当にその会社のものだ」とサイトが確認してくれた印です。広告は「Mac用HBO Maxアプリ」をダウンロードするよう促します。

事実 広告を押すと、本物に似せて作られたサイトに飛びます。ダウンロードボタンを押します。ところがインストールファイルは落ちてきません。代わりに灰色の案内画面が出ます。「ターミナルを開いて、下のコマンドを貼り付けてEnterを押してください。」ターミナルとは、Macで文字によってコンピュータに命令を出す黒い画面です。Windowsユーザーには別の案内が出ます。「ファイル名を指定して実行」(プログラム名を打ってすぐ開く小さな窓)やPowerShell(Windowsでターミナルの役割をする青い画面)に貼り付けるよう指示されます。

ここでロッカーのメモを思い出してください。メモは「番号を書いて貼れ」と指示しました。この画面は「コマンドを貼り付けろ」と指示します。どちらも自分の手でやらせます。それがこの手口のすべてです。

なぜ通用するのか

推定 第一に、印鑑が本物だったからです。アカウントは偽物ではなく、乗っ取られた本物の公式アカウントでした。認証バッジは「このアカウントがその会社のもの」という意味であって、「今このアカウントを使っている人がその会社の人」という意味ではありません。ロッカーのメモの印鑑が本物でも、印鑑を盗んだ人が押したかもしれないのと同じです。

推定 第二に、アプリを探していた人の心理をそのまま利用したからです。「インストールするにはこれをしてください」という言葉は、インストール画面でよく見る言葉です。だから一段階多く付いていても、おかしいと感じにくいのです。しかし正常なインストールはファイルを受け取れば終わりです。.dmgや.exeのようなインストールファイルが落ちてくるか、App Storeに移るか。どちらかです。コマンドを自分にやらせることはありません。

事実 第三に、餌が一つではなかったからです。同じアカウントが投稿した広告108件のうち、HBO Maxアプリに見せかけたものは46件です。残りはOpenAI CodexのようなAI開発ツール(47件)とMacのディスク整理アプリ(15件)でした。ストリーミングアプリを使わない人には、別のメモが貼られていたわけです。メモの内容は「ロッカー割り当て」だったり「給食申し込み」だったりと変わりますが、最後の一行はいつも同じです。「番号を書いて貼ってください。」

事実 広告のアドレスも手がかりでした。公式アドレスではなく、hbomaxxのように綴りが一文字違うアドレスでした。急いで押すと見逃しやすい違いです。

貼り付けると何が出ていくのか

ロッカーの中に何が入っていたのか見てみましょう。実際に盗まれるのはこういうものです。

事実 Macでは情報窃取マルウェアがインストールされます。情報窃取マルウェアとは、コンピュータに保存された秘密情報をかき集めて外に送るプログラムです。今回のもの(MacSync)が狙ったリストはこうです。ブラウザに保存したパスワード。Cookie(ログイン状態を記憶する小さな札 — これを盗まれるとパスワードなしでも自分のアカウントに入られます)。Firefoxのプロファイル。Telegramのデータ。Appleのメモ。そしてMac自体のパスワード。ロッカーで言えば、財布、携帯電話、日記まで全部持っていかれたということです。

事実 Windowsではローダー(InstallFix)が先に入ってきます。ローダーとは、本物のマルウェアを後から呼び込む使い走りです。その後に情報窃取マルウェア(Amatera)がメモリに載ります。ファイルとして残さず、実行中のプログラムの中に隠れて動く方式です。コンピュータを起動するたびに再実行されるよう、スケジュールタスクも仕掛けておきます。一度入れば、再起動しても出ていかないという意味です。

事実 仮想通貨を使う人は、もう一度やられます。クリッパー2種が一緒にばらまかれました。クリッパーとは、自分がコピーしたコインウォレットのアドレスを、貼り付ける瞬間に攻撃者のアドレスにすり替えるプログラムです。送金ボタンを押す手は自分の手なのに、お金は見当違いの場所へ行きます。さらにLedger・Trezor Suite・Exodus(仮想通貨ウォレットのプログラム)を真似た偽アプリもありました。この偽アプリはリカバリーフレーズを狙います。リカバリーフレーズとは、ウォレットを丸ごと復元できる秘密の文章です。これを渡せばウォレット全体が渡ります。

事実 研究者はこの活動をより大きな作戦の一部と見ています。偽ダウンロード、情報窃取、クリッパー、そして頻繁に変わる指令サーバー(マルウェアが次の指示を受け取りに行くサーバー)を一つにまとめて「PasteSwitch」と名付けました。HBO Maxの広告は、その作戦が表に出たきっかけにすぎません。

数字で見た規模

数字はすべて一次ソース(Hudson Rockの報告書)にあるものだけを持ってきました。右の欄を見てください — 数字一つが何を意味するのかを添えてあります。

数字 何 比べると
108件 乗っ取られた公式アカウント一つが投稿した悪性広告の数 二日間なので一時間に二件以上新たに投稿された計算。一度出て消えたのではなく、フィードにずっとあった
約48時間 広告が回っていた期間 金曜の夜から日曜の夜まで。誰かがおかしいと通報するまで、週末が丸ごと開いていた
46 / 47 / 15 HBO Max偽装 / AI開発ツール偽装 / Mac整理アプリ偽装 HBO Max偽装は**半分に満たない。**AIツール偽装のほうがむしろ一件多い。ストリーミングアプリを使わなくても引っかかりうる
2種 一緒にばらまかれたコインアドレスすり替えクリッパーの数 一つだけ捕まえても、もう一つが残る

表から見えるのは二つです。この広告は間違って一度投稿されたのではなく、二日間ずっと継続的に投稿されました。そして餌の半分以上はHBO Maxとは無関係のアプリでした。

事実 この広告108件は、広告が表示されたという数字です。何人が押したのか、何人が実際にコマンドを貼り付けたのかは、どこにもありません。露出数と被害者数は別の値です。

広告は9月6日ごろ始まったと報じられました。最初に異変に気づいたのはr/cybersecurity(Redditのセキュリティコミュニティ)の利用者だったと報じられました。公式アカウントが「Mac用HBO Maxアプリ」の広告を投稿したこと自体を不審に思ったそうです。Redditは報告を受けた後、広告を取り下げてアカウントを保護措置し、調査中だと報じられました。この三点は報道ベースであり、Reddit公式文書では照合できていません。

自分が今やること

ロッカーのメモの話に戻ります。学校は鍵の番号を書いて貼れとは言いません。アプリもコマンドを貼り付けろとは言いません。やることは二つです。

1. 「コマンドをコピーして貼り付けろ」と言われたら、その画面を閉じる。 アプリのインストールであれ、エラー解決であれ、「私はロボットではありません」の確認であれ、名目は関係ありません。例外なく閉じます。正常なインストールはファイルを受け取れば終わりです。自分に作業をやらせる瞬間が合図です。

2. アプリは広告リンクではなく、App Storeやメーカーの公式アドレスを直接打って受け取る。 広告を押して行くのではなく、アドレスバーに直接打ちます。認証バッジがあっても、アカウント自体が乗っ取られている可能性があります。バッジは安全の保証ではありません。

すでに貼り付けてしまったなら。 ブラウザに保存されたパスワードを今すぐ変えます。仮想通貨ウォレットがあるなら、新しいウォレットに移します。盗んだ側が先に使う前にやらなければなりません。ロッカーの番号を書いて貼ったと気づいたら、先にやるのは荷物を移すことであって、メモを剥がすことではありません。

私たちが分からないこと

この記事は他者の取材をもとに書きました。まだ分からないことは分からないと書きます。

  • HBO MaxのRedditアカウントがどのように乗っ取られたのか。 情報窃取マルウェアに感染したログインなのか、パスワードの使い回しなのか、内部事情なのか — 報道も一次ソースも明らかにしていません。原因を断定しません。
  • 実際にコマンドを貼り付けて感染した人数。 どこにもありません。108件は広告数であって被害者数ではありません。
  • 韓国の利用者にこの広告が表示されたのか。 確認されていません。「韓国でも表示された」とは書きません。
  • 攻撃主体。 PasteSwitchは研究者が付けた作戦名であって、組織名ではありません。国籍・所属は推定しません。
  • HBO Max・Warner Bros. Discoveryの公式見解。 報道機関の問い合わせに回答しなかったと報じられました。
  • Redditの広告審査が、なぜ乗っ取られたアカウントの広告108件を通過させたのか。 明らかになっていません。

確認されていないこと:アカウント乗っ取りの経緯、感染者数、韓国での露出の有無、攻撃主体、HBO Max側の見解、Reddit広告審査の経緯。広告の開始時期・最初の発見者・Redditの対応は報道ベースであり、一次文書では照合できていません。

出典

一次ソースから記します。

この記事は2026-09-17のニュースブリーフをもとに書きました。私たちのハニーポット観測ではなく、上記出典の報告書・報道から事実だけを取り出し、私たちの言葉で書き直しました。数字はHudson Rockの一次ソースにある値だけを使い、報道にしかない内容は「報じられました」で区別しました。この記事にはIP・認証情報・悪性アドレス・コマンドを載せていません — 真似できる記事にならないようにするためです。