Google、ChromeにClickFix攻撃の検知機能を導入　Geminiによる詐欺サイト対策とHTTP接続保護も強化

Google、ChromeのClickFix対策と不審サイト検知を強化

Googleは2026年10月20日から21日にかけて、Chromeのセキュリティ機能を強化する複数の取り組みを発表した。今回の発表では、ClickFix攻撃への対策、Geminiを活用した詐欺サイトの検知、不審なWebサイトに対する警告の追加、暗号化されていないHTTP接続への保護強化などが取り上げられている。これらは、フィッシングやソーシャルエンジニアリングによる攻撃に加え、通信の傍受や改ざんにつながるリスクを低減することを目的としている。

Chromeのセーフブラウジングにおける「保護強化機能（Enhanced Protection）」では、Geminiを利用した詐欺サイトの検知機能が拡張された。従来の端末上での分析から、より高度なサーバー側のGeminiモデルを利用する方式へと移行し、テクニカルサポート詐欺に加えて、偽のウイルス対策ソフトやブラウザ更新を装う詐欺にも対応する。GeminiはWebページに記載されたブランド名や内容、詐欺の可能性などを分析し、Google Safe Browsingがドメインの評価情報やほかのセキュリティ情報と組み合わせて最終的な判定を行う。

また、保護強化機能を有効にしている利用者向けに、新たな「不審なサイト」の警告も導入された。従来の危険なサイトに対する警告とは異なり、悪意があると断定できないものの、不正な誘導に使われる可能性があるWebページについても注意を促す仕組みとなっている。警告の表示形式やアイコンなどを区別することで、利用者がサイトの危険性を判断しやすいように設計されている。

ClickFix攻撃への対策では、利用者がWebページ上の指示に従って不審なコマンドをコピーした場合、その内容を検知する機能が追加された。ClickFixは、偽のエラーや問題の修復を口実に、PowerShellなどの正規のシステムツールを使って悪意のあるコマンドを実行させる手法である。Chromeは、コピーされたコマンドから個人を特定できる情報を除去したうえでSafe Browsingによる分析を行い、危険と判定された場合に警告を表示する。この機能は、保護強化機能を有効にしている利用者を対象としている。

暗号化されていないHTTP接続についても、Chromeの保護機能が拡張された。Googleは10月21日、HTTPSに対応していないサイトへ接続する前に、利用者の承認を求める仕組みを標準で有効にしたと発表した。この機能は、それまで保護強化機能の利用者に先行して提供されていたもので、今回、標準設定の利用者にも適用範囲が広がった。Googleによると、デスクトップ版Chromeでは、1週間のうちにHTTP接続に関する警告を一度も表示されない利用者が約95％に上るという。警告は初回のHTTP接続時などに表示される一方、ローカルIPアドレスなど、一部の接続先は対象外となる。

これらの機能強化とは別に、Googleは10月20日、Chrome 156の安定版をWindows、macOS、Linux向けに公開した。今回の更新には複数の修正や改善が含まれているが、公開時点の公式リリースノートでは、セキュリティ修正の詳細が後日更新される予定とされている。原文では353件の脆弱性を修正し、そのうち6件がCriticalに分類されたほか、研究者への報奨金として合計5万ドルが支払われたとしているものの、これらの数値については公式情報との照合が必要となる。

今回の発表では、詐欺サイトの検知、悪意のあるコマンドの実行を誘導する攻撃への対策、HTTP接続時の警告など、異なる攻撃経路に対応する機能が示された。特にClickFixへの対策は、ブラウザからマルウェアを直接ダウンロードさせるのではなく、利用者自身にシステムコマンドを実行させる攻撃を検知対象とした点に特徴がある。企業や組織では、Chromeの更新状況に加え、Safe Browsingの保護設定やHTTP接続に関するポリシーを確認することで、これらの保護機能の適用状況を把握できる。