要点
- ChatGPT や Claude など27の AI の名前を打ち間違えると、偽サイトに行き着く。セキュリティ企業 Island は、そうした偽ドメインを186個確認した。
- 186個の中から、「人間か確認する」と称して利用者自身にコマンドを実行させたり、怪しいアプリを入れさせたりする行き先に至った例が見つかった。
- 検索先を勝手に書き換える拡張機能も見つかった。表示上の利用者数は合計で約97万人にのぼる。
何が起きたか
セキュリティ企業 Island は2026年11月12日、「TypoPrompting」と名付けた調査結果を公開した。調査の基準日は11月3日だ。
AI サービスの名前を少し間違えたドメインが、186個見つかった。対象は27の AI ブランドである。数が多いのは ChatGPT（25個）、Claude（18個）、DeepSeek（16個）だ。Claude を狙う cloude[.]ai のように、2023年7月に登録されたものもある。
この186個の中から、利用者は大きく3つの道に振り分けられた例が確認されている。186個すべてが誘導先に至ったわけではない。
- ClickFix: 偽の Cloudflare 認証画面を出し、コマンドを貼り付けて実行させる。Island が確認した例では、そのコマンドが外部からスクリプトを取得し、PowerShell で隠し窓のまま起動する作りだった。Island は Windows 向けの例を確認した。macOS 向けの偽の端末画面や、圧縮ファイルの配布もあるとしている。
- 偽の「セキュリティチェック」アプリ: Wi-Fi の安全確認をうたう Net Guard を入れさせる。Island の分析では、このアプリは Microsoft Store で配布され、署名も正規のものだった。それでも、アイドル中にブラウザの検索先を変えたり、外部から届くスクリプトを実行したり、拡張機能を入れたりする機能があるという。これらは初期設定で有効だった。
- 検索の乗っ取り:
preplexity[.]aiから Chrome の拡張機能に誘導され、既定の検索先が攻撃者のサイトに変わる。Island は、検索語を通じて社内のホスト名やプロジェクトの情報が漏れうると指摘している。
Island によると、この拡張機能は30個ある一群の1つだ。13個はすでに削除され、残る17個の表示上の利用者数は合計972,000人だった。なお記事中の図の説明は、残りを16個としている。
さらに Island は、銀行・保険・業務ソフトの名前を使う別の入口を211ドメイン確認した。AI だけを狙う話ではない。
日本の利用者への影響
日本の利用者や組織への被害は、Island の報告には書かれていない。ただし、ChatGPT や Claude などは日本でも広く使われている。名前の打ち間違いは言語を問わず起こる。同じ手口に当たる可能性はある。偽の認証画面は6つの言語で用意されていたが、日本語が含まれるかは、確認できなかった。
今すぐやること
- AI サービスは、検索や打ち込みではなく、ブックマークや公式アプリから開く。Island も、承認済みツールへの固定の入口を用意することを勧めている。
- 「人間であることの確認」などと表示され、コマンドの貼り付けや実行を求められたら、すぐ閉じる。Island が確認した偽画面は、Windows の「ファイル名を指定して実行」を開いて貼り付けさせる流れだった。
- 「Wi-Fi の安全確認」「セキュリティチェック」をうたうアプリを、偽サイトの案内で入れない。Microsoft Store にあっても、安全とは限らない。Island は「Store の署名だけでは、ブラウザへの動きは分からない」としている。
- ブラウザの検索先と拡張機能を見直す。身に覚えのない検索先や拡張機能があれば、削除する。会社では、拡張機能を管理者が一括で管理するのが望ましい。
- すでにコマンドを実行してしまったら、ネットから切り離して情報システム部門に連絡する。保存したパスワードは別の端末から変更し、重要なサービスは再ログインや二段階認証の見直しをする。
背景
ClickFix は、攻撃者が自分で侵入するのではなく、利用者本人に実行させる手口だ。
今回の特徴は、入口が打ち間違いのドメインであることだ。誰かにだまされて開くのではなく、自分で打ち間違えて開く。Island は、打ち間違いドメインの駐車ページ（使い道のないページ）から、訪問者の場所・OS・ブラウザに応じて行き先を振り分ける仕組みが関わっているとしている。Infoblox も2025年12月に、同様の仕組みを報告している。
検索乗っ取り拡張機能については、Socket が2026年10月29日に調査を公開している。Island によると、30個のうち22個を悪質と判定している。
技術者向けの詳細
- 基準日は2026-11-03。偽ドメイン186個、AI ブランド27。入口ドメインは別に211個（550件のスキャン記録、2025年4月〜2026年11月）。
- ClickFix の例（
cloude[.]ai）: 振り分けbiomimicrydevtech[.]buzz、確認ゲートblockchainfuturedev[.]buzz、配信元185.138.88[.]3、ファイル名W901.ps1。IP が10進数表記で書かれる点を、Island は検知の手がかりとしている。 - 直接配布の例:
chatlgpt[.]comのInstaller_ChatGPT.zip（MetaDefender 16エンジン中9が検出）。 - Net Guard 1.0.9.0（Microsoft Store ID
9MX3CH3BQ44Q、発行元 Myflixly App）。Privacy Keeper（9N1B4VPCS2S2）、MyFlixly Browser（9PG42QDLFW8T）も同じ SDK を使う。 - Net Guard SHA-256:
bdddb50204d6867b4bd73d9cfe93cbc98c4518342da104e4608f04e675ac6cb3 - 検索乗っ取り:
quickflashtool[.]com、find.flashysearches[.]com。拡張機能 IDlihnhjjcdlfdomjliljlommppbfacmbj、nlmpdomhofmjdidcghodlgneobojdjfm。権限を要求しなくても、検索先の上書きは可能だった。 - Island の付録に、選ばれた指標（IOC）が載っている。
