#92 「公式のChatGPTだから安全」カスタムGPTの罠で恥をかいた話

対象読者: 実務層

社内勉強会のフィッシング対策資料に、私は「URLが公式ドメインなら安心」と大きく書いていました。それを見た先輩に「この前のChatGPTの手口だと、そのチェック全部すり抜けるよ」と言われて、言葉に詰まりました。ChatGPTの画面の中で、しかも本物のURLのまま、遠隔操作型のマルウェアを入れさせられる。そんな攻撃が報告されていたんです。恥ずかしさをこらえて調べ直した内容を、カスタムGPTを悪用したClickFix攻撃の流れと、書き直したチェックリストとして整理します。

1. 何が起きたのか：カスタムGPT「Plus 5.6」から始まる感染

報告したのはセキュリティ企業のHuntressです。2026年9月28日に公開された分析によると、攻撃者は「Plus 5.6」という名前のカスタムGPTを用意していました。

カスタムGPTとは、ChatGPTの上で特定の用途向けに設定された、独自版のChatGPTのことです。新しく作成・公開できる範囲はプランや権限によって異なりますが、公開されたものはリンクを知る他の利用者も使えます。名前を見れば、有料版の新しいモデルだと勘違いしそうですよね。

流れはこうです。ChatGPTを検索した人が、Googleの広告枠からこの偽物のGPTにたどり着きます。話しかけると「サービスが一時的に利用できない」という案内が表示され、Google Sitesで作られたページへ誘導されます。そこにはCloudflareの確認画面を装った偽のCAPTCHA（人間かどうかを確かめる画面）があり、指示どおり操作すると、PowerShell（Windows標準のコマンド実行ツール）でマルウェアが入る仕掛けでした。

2. 私のチェックリストが全部すり抜けた理由

先輩の指摘は大げさではありませんでした。最初の入口はchatgpt.com、次はsites.google.com。どちらも本物のドメインです。私の資料にあった「URLを確認する」「見慣れないドメインは開かない」という項目は、一つも引っかかりません。

……って、それじゃ私のチェックリスト、ほぼ飾りじゃないですか。

ドメインは本物で、中身を作ったのが攻撃者だった。この点を、私は完全に見落としていました。カスタムGPTも、Google Sitesも、運営会社ではない第三者が中身を作って公開できる場所です。看板が本物でも、お店の中に立っている人が本物とは限りません。

さらに厄介なのが、最後の一手を利用者自身に打たせる点です。これがClickFixと呼ばれる手口で、「確認のためにこのコマンドを貼り付けて実行してください」と画面で指示し、本人の操作として悪意あるコマンドを動かします。

3. ClickFixが防ぎにくいのは「自分で実行している」から

本人が自分でPowerShellを開いて実行した操作は、セキュリティ製品から見ると普段の作業と区別しにくいんです。怪しいファイルを開かせるのではなく、正規のツールを本人に動かさせる。私にはそこが一番怖く感じました。

今回入れられたのは、遠隔操作型のマルウェア（RAT）でした。画面の中継、カメラやマイクの盗聴、ブラウザ情報の取得、ファイルの検索まで備えていたそうです。……カメラまで？ と思わずノートPCのレンズを指で隠しました。

Huntressのセキュリティ監視チームは、今回のGoogle Sitesのページに関連する被害に少なくとも40件対応し、そのうち2件はカスタムGPTが入口だったと確認しています。この2件という数字を残したのは、少ないから安心という話でもなく、入口を変えながら手口が広がっている途中だと読めたからです。

4. 書き直したClickFix対策チェックリスト

資料のチェックリストは、こう書き直しました。

1. ドメインより「誰が作ったか」を見る
カスタムGPTなら作成者の表示を確認し、公式の提供元でなければ疑います。

2. 「コマンドを貼り付けて」と言われたら止まる
本物のCAPTCHAが、PowerShellへの貼り付けを求めることはありません。この1行を、資料の一番上に置きました。

3. 検索広告からサービスに入らない
よく使うサービスはブックマークから開く習慣をつけます。

技術面では、Huntressが挙げている検知のポイントをもとに、PowerShellからMSI形式のインストーラーが起動される動きや、不審な自動起動設定の監視を、勉強会の補足として載せました。PowerShellの実行ポリシーを厳しくするのも多層防御の一つです。ただ今回の攻撃は、その設定を回避するオプション付きでコマンドを実行させていて、それだけでは防げません。

迷っているのは、PowerShellの扱いです。「利用者は実行しない」と書けば明快ですが、日常的に使う開発者やインフラ担当には現実的ではありません。どこで線を引くか、まだ資料の余白にメモしたままです。

まとめ

• カスタムGPTを悪用したClickFix攻撃は、chatgpt.comなど本物のドメインの上で進むため、URL確認だけでは防げません

• ClickFixは利用者自身にPowerShellのコマンドを実行させるので、本人の操作として見逃されやすい手口です

• 「誰が作ったか」「コマンドの貼り付けを求められたら止まる」「広告から入らない」の3つで、チェックリストを組み直しました

書き直した資料を先輩に見せたら「これなら通る」と言ってもらえました。ただ、次はどの本物のサービスが入口に使われるのか、考えるほど落ち着きません。

最後に…ちょっとだけ宣伝です：一緒に働く仲間を探しています！

この記事を書いているアクシスNWチーム広報部をはじめ、当社では現在、新しいメンバーを積極的に採用しています。 最先端のAIをパートナーに、ワクワクするような挑戦ができる環境が整っています。まずはカジュアルにお話ししませんか？ 新卒の方も、キャリア採用の方も、ぜひお気軽にチェックしてください！
⇒株式会社アクシス人事採用担当(note)
⇒株式会社アクシス求人情報(私の仲間の取材がいっぱいあります)
⇒株式会社アクシス中途採用サイト
⇒株式会社アクシスホームページ

#アクシス　#セキュリティ　#AI　#エンジニア　#スキしてみて　#アクシスNWチーム広報部