「私はロボットではありません」でWin＋Rを押してはいけない理由｜偽CAPTCHAの新しい手口

✓この記事でわかること

1通常のCAPTCHAがWin＋Rやコマンドの貼り付けを求めることはない
2偽画面は利用者自身に不正な命令を実行させるために使われる
3実行してしまった場合は通信を切り、専門窓口へ相談する

Webサイトを開いたとき、「私はロボットではありません」という確認画面が表示されることがあります。チェックを入れるだけなら見慣れた操作ですが、その後に「WindowsキーとRを押す」「貼り付ける」「Enterを押す」と案内された場合は、操作を続けてはいけません。

これは、CAPTCHAに見せかけて利用者自身に不正な命令を実行させる「ClickFix（クリックフィックス）」と呼ばれる攻撃の可能性があります。見た目が認証画面に似ていても、Windowsの機能を開いて何かを貼り付けるよう求められた時点で、通常の本人確認とは別の操作です。

Win＋R、貼り付け、Enterを求める偽CAPTCHAポップアップの再現イメージ

NECのClickFix解説に掲載された日本語例を参考に、背景、ブランド、識別番号、危険な命令を除いて再構成した架空の再現イメージです。

先に結論：Win＋R、貼り付け、実行を求められたら中止する

通常のCAPTCHAは、Webページ上でチェック、画像選択、簡単な確認などを行います。Windowsの「ファイル名を指定して実行」を開かせたり、クリップボードに入った文字列を貼り付けて実行させたりする必要はありません。

認証画面を名乗るページから次の操作を求められたら、偽画面を疑ってください。

WindowsキーとRを同時に押す
Ctrl＋Vで内容を貼り付ける
Enterキーを押して実行する
Windows TerminalやPowerShellを開く
「確認を完了するため」などの理由で、コピー済みの命令を動かす

画面に表示された手順を実行せず、そのページを閉じます。ページを閉じるだけでよい段階と、貼り付けた命令を実行してしまった段階では、必要な対応が異なります。

通常のCAPTCHAとWin＋Rを求める偽CAPTCHAの違い

通常の本人確認はWebページ内で完了します。Windows上の操作を求められたら中止してください。

偽CAPTCHAを使うClickFixとは

ClickFixは、エラーの修正や本人確認を装い、利用者にコピー、貼り付け、実行をさせるソーシャルエンジニアリングの手口です。攻撃者がプログラムを自動実行するのではなく、画面を信じた利用者自身にWindowsの操作をさせる点が特徴です。

警察庁は2025年の資料で、メールなどから偽の認証画面へ誘導し、「ファイル名を指定して実行」を開いて不正な命令を貼り付け、実行させる手口をClickFixとして注意喚起しています。JPCERT/CCも、改ざんされたWebサイトに偽CAPTCHAが表示され、WindowsキーとR、Ctrl＋V、Enterの順に操作させる事例を報告しています。

Microsoftによると、入口は偽CAPTCHAだけではありません。フィッシングメール、不正広告、改ざんされたWebサイト、偽のエラー画面などから、同じような実行操作へ誘導される場合があります。見た目の種類を暗記するより、「WebページがWindows上で命令を実行させようとしていないか」を判断基準にする方が有効です。

なぜ貼り付けただけで危険なのか

偽画面では、確認用の文字列を貼り付けるだけのように説明されることがあります。しかし、実際にクリップボードへ入っているものが、本人確認用の番号とは限りません。

ページ上のボタンを押したとき、裏側でクリップボードへ命令がコピーされる例があります。その内容を確認しないままWindowsの実行画面へ貼り付けてEnterを押すと、外部から別のプログラムを取得するなど、攻撃者が用意した処理を自分の操作で開始することになります。

WindowsキーとRで開く機能そのものが危険なのではありません。Windowsに標準搭載された正規の機能を、偽の案内が悪用しています。「Windowsの画面だから安全」「セキュリティソフトが止めていないから安全」とは判断できません。

Microsoftは、ClickFixが利用者の操作を必要とするため、通常の自動的な検出をすり抜ける可能性があると説明しています。実行後には、情報を盗むマルウェアや遠隔操作につながるプログラムなどが導入される場合があります。

偽CAPTCHAから不正な命令を実行させるClickFixの流れ

画面上の操作で内容不明の文字列がコピーされ、利用者自身の貼り付けと実行によって処理が始まります。

どこまで操作したかで対応を分ける

画面を見ただけ、またはチェックを押しただけ

Win＋Rや貼り付けを行っていなければ、画面の指示には進まず、ページを閉じます。同じページへ戻らないようにし、入口になったメール、広告、ダウンロードファイルも開かないでください。

ページを見ただけで、必ず感染したとは限りません。慌てて画面内の「スキャン」「修復」「サポート」などを押すと、かえって次の操作へ誘導される可能性があります。

Win＋Rを押したが、何も貼り付けていない

「ファイル名を指定して実行」を閉じ、Webページも閉じます。Win＋Rを押しただけでは、不正な命令を実行したことにはなりません。

貼り付けたが、Enterを押していない

実行欄の内容を実行せずに消し、画面を閉じます。内容を調べるために検索欄や別のアプリへ貼り直す必要はありません。悪性文字列を保存したり、他人へ送ったりしないでください。

Enterを押して実行してしまった

不正な処理が始まった可能性があります。被害の有無を短時間で断定することはできません。まず有線LANを抜く、Wi-Fiを切るなどして、そのPCをネットワークから切り離します。

その後、個人のPCならWindowsセキュリティなど信頼できるセキュリティ機能でスキャンし、必要に応じて購入店、メーカー、セキュリティ事業者などへ相談します。会社や学校のPCでは、自己判断で調査や削除を続けず、組織のシステム管理担当者へ連絡してください。

入力済みのパスワードやカード情報が盗まれた可能性がある場合は、感染が疑われるPCとは別の安全な端末から、関係するサービスやカード会社の正規窓口へ相談します。パスワード変更だけで完全に解決したと判断せず、端末側の確認も進める必要があります。

偽CAPTCHAで行った操作に応じた対処の分岐

見ただけ、貼り付けたが実行していない、実行した、の三段階で最初の対応を分けます。

本物のCAPTCHAと見分けるための確認ポイント

偽CAPTCHAは、正規サービスのロゴやデザインに似せる場合があります。そのため、色やロゴだけで本物と判断するのは危険です。

次の点を確認してください。

本人確認のはずなのにWindowsの機能を開かせようとしていないか
クリップボードの内容を確認せず貼り付けるよう求めていないか
PowerShell、Terminal、コマンドプロンプトなどを開かせようとしていないか
メールや広告から突然表示された画面ではないか
「今すぐ」「数秒以内」など、考える時間を与えず操作を急がせていないか

正規のCAPTCHAに見える画面でも、Webページ外の操作を要求されたら中止します。認証が必要なサービスを利用していた場合は、その画面のリンクを使わず、ブックマークや公式アプリなど普段の方法からサービスを開き直してください。

ClickFixを防ぐために普段からできること

最も重要なのは、Webページからコピーされた内容を、意味が分からないまま実行しないことです。

メールや広告から開いた認証画面をすぐ信用しない
貼り付ける前に「なぜWindowsの操作が必要なのか」を考える
ブラウザとWindowsを更新する
Windowsセキュリティなどの保護機能を無効にしない
会社や学校のPCでは、不審画面を管理担当者へ報告する

攻撃画面は変化します。偽CAPTCHAだけを覚えるのではなく、「WebサイトがOSの実行機能を開かせ、コピー済みの命令を動かそうとしている」という共通点を覚えておくと、別の見た目にも対応しやすくなります。

まとめ

「私はロボットではありません」という画面でも、Win＋R、貼り付け、Enterを求められたら操作を中止してください。通常のCAPTCHAは、本人確認のためにWindowsの実行画面やPowerShellを使わせません。

ClickFixは、利用者自身の操作を利用して不正な命令を実行させる手口です。見た目よりも、要求される操作で判断することが重要です。実行してしまった場合は通信を切り、個人PCなら信頼できる窓口、組織のPCなら管理担当者へ相談してください。

よくある質問

Win＋Rを押しただけで感染しますか？

Win＋Rで画面を開いただけなら、不正な命令を実行したことにはなりません。何も貼り付けず、その画面と元のWebページを閉じてください。

貼り付けた文字を確認するため、もう一度貼り付けてもよいですか？

おすすめしません。誤って実行したり、悪性文字列を別の場所へ保存・送信したりする可能性があります。実行していないなら、そのまま削除して画面を閉じます。

セキュリティソフトの警告が出なければ安全ですか？

警告が出なかったことだけでは安全と判断できません。ClickFixは利用者自身に命令を実行させるため、操作や攻撃内容によっては検出される前に処理が進む可能性があります。

スマートフォンにも同じ手口がありますか？

ClickFixには複数の見せ方や対象環境がありますが、この記事はWindowsでWin＋Rを使わせる手口に限定しています。スマートフォンでアプリの導入や設定変更を求められた場合も、その場の指示に従わず、公式窓口から確認してください。

参考資料

情報確認日: 2026年7月30日