ClickFixがブラウザに侵入 — TalosがGoogleスプレッドシートをC2に悪用する暗号資産窃取キャンペーンを報告

Cisco Talosは2026年9月8日、Google Visualization APIと公開されたGoogleスプレッドシートを指令サーバー（C2）に悪用し、ブラウザ内で暗号資産の入金を窃取するClickFix派生キャンペーンを公表した。攻撃者は存在しない暗号資産取引所のAPI脆弱性を装う文書で標的を誘い、ChromeのアドレスバーやTampermonkey（ブラウザ拡張機能）へコードを貼り付けさせて難読化されたJavaScriptを注入していた。注入されたスクリプトは取引サイトの画面と通信を改ざんし、入金先を攻撃者が管理するウォレットへすり替える。

誰が何を狙ったのか — 架空の「API脆弱性」で欲を突く手口

Talosによると、このキャンペーンは遅くとも2025年10月上旬に始まり、2026年3月からGoogle Visualization APIの悪用が始まった。標的は暗号資産取引やソフトウェア開発、ハッキング関連フォーラムの利用者で、特に「脆弱性を悪用して儲けたい」と考える層を狙う設計だった。

誘い文句は、文書共有サイトやダークウェブフォーラム「DarkForums」、Telegramチャンネルなどで配布されたGoogle Docs文書だ。文書は脆弱性報告書の体裁で、SwapZone[.]ioやSimpleSwap[.]ioといった暗号資産スワップ集約サイトに残る旧APIの欠陥を突けば約38%や25%の上乗せ（ボーナス）が得られると主張した。文書内には paste[.]sh 上のスクリプトへのリンクがあり、標的に「Chromeのアドレスバーに javascript: から始めて貼り付けろ」あるいは「Tampermonkeyをインストールして貼り付けろ」と指示していた。

Telegramチャンネルは管理者のみが投稿でき、古い投稿を削除して同じ手口の再投稿を隠す運用だった。誘導メッセージは少なくとも月2回の頻度で波状的に拡散され、Pastebinなどのコメント欄にも拡散されていた。

GoogleホストのC2 — Visualization APIで難読化コードを配送

Talosが追跡したC2の核心は、公開設定されたGoogleスプレッドシートとVisualization APIの組み合わせだった。Visualization APIは2008年から提供されるGoogle Sheetsの読み取り専用APIで、公開済みスプレッドシートの内容を https://docs.google[.]com/spreadsheets/d/[ID]/gviz/tq?tqx=out:json&tq=SELECT B のようなURIでJSONとして取得できる。

攻撃者はスプレッドシートのセル2つにXORやBase64などで難読化したJavaScript断片を格納し、白文字・白背景やシート下部への押し込みでカジュアルな閲覧から隠していた。第一段階のローダー（paste[.]sh上のスクリプト）は、このAPIをChromeブラウザの正規通信として呼び出し、2つのセルを取得して連結・復号し、第二段階のペイロードをブラウザセッションへ注入する。Talosは2026年4月から6月末までに21種類の第二段階サンプルを回収し、いずれも同じ機能を持ちつつXOR鍵や変数名をランダム化してシグネチャ回避を図っていたと報告している。スプレッドシートは報告後にGoogle側でブロックされても、攻撃者は1週間以内に新しいシートとpaste[.]shスクリプトで活動を再開していた。

ブラウザ内で何が起きるか — fetch乗っ取りとクリップボード窃取

第二段階スクリプトは、ウェブスキマー（Web skimmer）に近い手法で取引サイトの画面と通信を改ざんする。Talosが確認した主な動作は次の通りだ。

• DOMとUIの改ざん: MutationObserverでページ変化を監視し、入金アドレス表示を書き換える。取引額が増えたように見せる偽の「ボーナス」表示も描画する。
• 通信の横取り: ブラウザのfetch APIを上書きし、ウォレットや入金エンドポイントに関わるJSONレスポンスを検査する。data-testid="recipientAddressContainer" などの要素に対応する入金アドレスが含まれていれば、攻撃者が用意したBitcoin Bech32形式のウォレットアドレス（サンプル内で30件が同一セットとして使い回し）に置換する。
• クリップボードの乗っ取り: 利用者が入金アドレスをコピーする操作を監視し、コピーされた値を攻撃者のアドレスに置換する。ランダムに選ばれたアドレスが使われるため、毎回同じアドレスが表示されるわけではない。
• 持続化: DOMの定期走査で改ざんを維持する。Tampermonkey版では拡張機能内にローダーが残るため、SimpleSwap[.]ioへアクセスするたびに自動で悪性コードが読み込まれる。

初期版ローダーはChrome拡張機能に関連する <script> 要素を探し、見つかればランダムな拡張機能スクリプトへ、なければページ内のランダムな <script> へペイロードを注入していた。後期版はTampermonkeyへの依存で注入が容易になり、持続性も高まった。

被害規模と検知の難しさ

Talosはキャンペーンで使われた49件のBTCウォレットアドレスを特定した。2026年4月から6月末のサンプルで共通して使われた30件のうち、24件で計0.159BTC（2026年8月上旬のレートで約1万ドル相当）の入金が確認された。4月以前のサンプルは回収できておらず、実際の被害はこれを上回る可能性がある。資金はその後30以上のウォレットを経由し、さらに3,000以上のアドレスを巻き込む複雑な取引でミキシング（資金洗浄）されていた。

検知が難しい理由は、C2通信がChromeブラウザからの docs.google[.]com への正規HTTPS通信に見える点にある。通常、Googleサービスへの不審な通信はDNSやプロセス単位で検出されるが、ブラウザセッション内で発生すると正規トラフィックとの区別が困難になる。Talosは4月に標的サイトとGoogleへ通報し文書は一時ブロックされたが、活動は縮小しつつも継続した。paste[.]sh側は7月にシグネチャ検出を自動化したが、攻撃者はGoogle Docsへホストを移して回避した。8月11日時点でも関連するGoogle文書は稼働していた。

対策 — Talosが推奨する防御策

Talosは、この手口が暗号資産窃取に留まらず、サプライチェーン攻撃やeコマースのウェブスキミングに応用される恐れを指摘し、組織に対して次の対策を推奨している。

• ブラウザと拡張機能を管理する: 役割に応じて開発者機能や拡張機能の導入を制限する。
• Google DocsへのHTTPリクエストを監視する: 不明なアプリや通常のGoogle Docs利用を伴わないブラウザセッションからの docs.google[.]com へのリクエストを検知する。
• サードパーティ依存を定期的に検証する: 従業員向け・顧客向けウェブアプリで、難読化された不自然なJavaScriptが混入していないか点検する。
• ソーシャルエンジニアリングへの注意喚起を行う: ブラウザの挙動を変えるコードのコピー＆ペーストの危険性を従業員や顧客へ周知する。

TalosはClamAVで Js.Downloader.ClickFix-10060510-0 などのシグネチャを提供し、IOC（侵害指標）は同社のGitHubリポジトリで公開している。安易な「儲け話」に乗ってブラウザへコードを貼り付ける行為が、入金を直接失う結果につながることを同社は強調している。

出典

• ClickFix moves into the browser: Cryptocurrency theft with Google-hosted C2（Cisco Talos Blog、2026年9月8日）