この記事の要点は？

2026年10月1日公開の「Microsoft デジタル防衛レポート 2026」は、実環境で見つかった脆弱性が武器化されるまでの時間の中央値が24時間を大きく下回ったと報告しています。一方で観測された初期侵入の30%は利用者自身の操作、20%は正規アカウントの悪用。ClickFixで110万台超、上位5件のCVEに関する検知の58%が2020年のCVE-2020-1472という数字の意味をやさしく解説します。

2026年10月4日

武器化は24時間以内、それでも侵入口の3割は「利用者の操作」 — Microsoftデジタル防衛レポート2026

この記事は 2026年10月4日時点のニュースです。現在の提供状況とは異なる場合があります。誤りの訂正は随時行います。

ITニュース解説セキュリティ Microsoft 脆弱性ソーシャルエンジニアリング 2026年10月

ClickFixの手口と、初期侵入の入口・時間差の比較（①の手口はMicrosoft Security Blog、観測台数と②③は2026年10月1日公開のレポートの記載値）

ひよこ

ペンギン先生、Microsoftが大きな「脅威レポート」を出したって聞いたんだけど、何がそんなに大事なの？

ペンギン先生

2026年10月1日に公開された「Microsoft デジタル防衛レポート 2026」だね。毎年出ている年次レポートで、今年の軸は「AIで攻撃が速くなった」こと。ただ読み進めると、侵入の入口そのものは昔ながらの手口が主力のままなんだよ。

ひよこ

えっ、AIで攻撃するなら、全部ハイテクな侵入になってるんじゃないの？

ペンギン先生

そこが今年の読みどころでね。Microsoft Defender Expertsが観測した初期侵入のうち、30%は「利用者が自分で実行してしまった」経路、20%は「正規アカウントの悪用」だったと書かれているんだ。あくまでDefender Expertsが観測した範囲の割合だけど、合わせて半分が、技術的な穴をこじ開けたわけではない入口なんだよ。

ひよこ

「自分で実行しちゃった」って、どういう状況なの？

ペンギン先生

代表例が「ClickFix」と呼ばれる手口だよ。Microsoftは「些細な技術的トラブルを自分で解決しようとする利用者の心理を突く」技術だと説明していて、偽の人間確認（CAPTCHA）や偽のエラーを見せ、「直すにはこれを実行してください」とWindowsの「ファイル名を指定して実行」やターミナル、PowerShellにコマンドを貼らせるんだ。今回のレポートでは2026年2月から5月初めまでの間に、ClickFix型の「攻撃者が用意したコマンド」が実行された端末を110万台以上で観測し、増加を「およそ8倍」と表現している。比較元の期間はこのページに書かれていないから、倍率は目安として読むのが安全だね。

ひよこ

110万台…！でも、ぼくは普段コマンドなんて打たないよ？

ペンギン先生

攻撃側もそこを分かっていて、わざと困らせてから助け舟を出すんだ。Microsoftが2026年2月に公開した「CrashFix」という変種の分析では、偽の広告ブロック拡張機能を入れさせ、わざとブラウザをクラッシュさせたうえで「修復するには」とWindowsの「ファイル名を指定して実行」（Win+R）にコマンドを貼らせていた。「困る→解決策が目の前にある」という順番だから、普段触らない操作でもやってしまうんだよ。しかもMicrosoftは、ClickFixは人の操作に頼る手口だからこそ、従来型や自動化されたセキュリティ対策をすり抜けうると説明している。

ひよこ

ずるい…。じゃあ「AIで速くなった」っていうのは、どこの話なの？

ペンギン先生

脆弱性のほうだね。レポートは、実環境で見つかった脆弱性が「武器化」されるまでの時間の中央値が、24時間を大きく下回ったとしている。一方で、外部に公開されている重大な脆弱性を企業が直すには30〜60日かかることがある、とも書いてある。中央値だから全部が1日というわけではないし、修正日数も「かかることがある」という幅のある表現だけど、この時間差が今年の課題として示されているんだ。

ひよこ

じゃあ更新をものすごく急がないと間に合わないってことなの？

ペンギン先生

急ぐのは大事なんだけど、ここでもう一つ意外な数字があってね。レポートが分析した上位5件のCVEに紐づく検知のうち、58%が2020年に公開されたCVE-2020-1472だったんだ。Netlogon Remote Protocol（MS-NRPC）という、ドメインに参加した機器だけが使う仕組みの問題で、Microsoftは2020年8月11日公開の更新から対応を始めている。

ひよこ

6年前の穴が、今もいちばん多く見つかってるの！？

ペンギン先生

ここは条件をしっかり押さえてほしいところで、「分析対象の上位5件のCVEに絞った検知の中での58%」だから、世の中の攻撃全体の58%という意味ではないよ。それでも、新しい脅威を追いかける前に、もう更新が配られているのに当たっていない場所を潰すほうが効く場面がある、とは読めるね。CVE-2020-1472の場合、乗っ取られるのはドメインに参加した機器の識別情報で、そこからその機器の権限が使われてしまう。

ひよこ

ぼくたち個人は、何から気をつければいいの？

ペンギン先生

3つに絞ろう。まず「画面の指示に従ってコマンドをコピペする」操作は、どんな理由が書かれていても一度手を止める。次にアカウント側の守りを固めること——正規アカウントの悪用が観測された初期侵入の20%なんだから、ここは効きどころだね。最後にOSやブラウザの更新を溜め込まないこと。レポート自身の提言も「土台を固める → 入ってくるAIを守る → AIで守る」の順番なんだ。AIの話が先に来ていないところが、いちばん大事な示唆かもしれないよ。

出典・確認した情報

2026 Digital Defense Report（Microsoft Security Insider）
発表日: 2026-10-01 ／確認日: 2026-10-04
- ページに「Publish date: October 1, 2026」と記載があり、2026年10月1日公開の年次レポートの紹介ページである
- 「Microsoft Defender Experts data found that user execution accounted for 30% of observed initial access and valid accounts another 20%.」と記載。30%・20%はいずれも「観測された初期侵入（observed initial access）」に対する割合で、Defender Expertsのデータという条件付き
- 残り50%相当の内訳はこのページに記載がない（2026-10-04時点で本文を確認）
- 「Between February and early May 2026, Microsoft Defender observed ClickFix-style attacker-supplied commands executed on more than 1.1 million unique devices, roughly an eightfold increase.」と記載。期間は2026年2月〜5月初め、対象は「ClickFix型の攻撃者が用意したコマンドが実行された一意の端末」で110万台超、増加率は「およそ8倍」と表現されている（比較元の期間はこのページに明記なし）
- 「The median time from vulnerability discovery in the wild to weaponization has fallen to well below 24 hours.」と記載。中央値であり、対象は「実環境（in the wild）で発見された脆弱性」
- 「Enterprise remediation for critical external vulnerabilities, meanwhile, can take 30 to 60 days.」と記載。対象は「外部公開されている重大な脆弱性」で、「30〜60日かかることがある（can take）」という表現
- 「Among detections tied to the five leading CVEs analyzed in the report, 58% were associated with a single vulnerability first disclosed in 2020: CVE-2020-1472.」と記載。58%はレポートが分析した「上位5件のCVEに紐づく検知」の中での割合であり、全検知に対する割合ではない
- 「Nearly 40,000 CVEs were published in the first half of 2026, putting the year on track to roughly double.」と記載（比較元の年はこのページに明記なし）
- 過去6か月で脅威の状況が「AIが人間の作業を補助する段階」から「AIが攻撃活動を指示する段階」、さらに自律実行へ移りつつあると説明している
- 提言として「Get ready for AI by strengthening the foundations, secure AI as it enters the environment, and defend with AI so intelligence and action can keep pace with the threat.」と記載し、土台の強化・導入されるAIの保護・AIによる防御の順で挙げている
Microsoft Digital Defense Report（Microsoft 公式レポート案内ページ）
発表日: 2026-10-01 ／確認日: 2026-10-04
- レポートの基礎データとして1日あたり165兆超のセキュリティシグナル、1日あたり52億通のメール検査、全世界で35,000人規模のセキュリティ担当という規模を挙げている
- 侵入のうち63%でデータの窃取が伴ったと記載
- 2025年7月〜2026年6月の期間にQRコードを使ったフィッシングを1億4,500万件超検知したと記載
- レポート本文はaka.ms/Microsoft-Digital-Defense-Report-2026から取得できると案内しており、このページ自体に直接のPDFリンクはない
Think before you Click(Fix): Analyzing the ClickFix social engineering technique（Microsoft Security Blog）
発表日: 2025-08-21 ／確認日: 2026-10-04
- 「The ClickFix technique attempts to trick users into running malicious commands on their devices by taking advantage of their target's tendency to solve minor technical issues.」と記載。些細な技術的トラブルを自分で解決しようとする利用者の心理を突く手口と定義している
- 誘い文句として人間確認（human verification）やCAPTCHAのチェック、正規に見える偽のエラーメッセージを挙げている
- コマンドの貼り付け先としてWindowsの「ファイル名を指定して実行」ダイアログ、Windows Terminal、Windows PowerShellを挙げている
- 「Because ClickFix relies on human intervention to launch the malicious commands, a campaign using this technique could get past conventional and automated security solutions.」と記載。人の操作に依存するため従来型・自動化された対策をすり抜けうると説明している
New ClickFix variant 'CrashFix' deploying Python Remote Access Trojan（Microsoft Security Blog）
発表日: 2026-02-05 ／確認日: 2026-10-04
- 「This updated tactic deliberately crashes victims' browsers and then attempts to lure users into executing malicious commands under the pretext of restoring normal functionality.」と記載。わざとブラウザをクラッシュさせ、「正常化のため」という口実で悪意あるコマンドの実行へ誘導する手口と説明している
- 誘導の流れとして、広告ブロッカーを探す利用者を悪意ある広告で偽のChrome Web Storeへ誘導し、偽のuBlock Origin Lite拡張機能を入れさせると記載
- 導入後に「CrashFix」と称する偽のセキュリティ警告ポップアップを表示し、ブラウザの修復が必要だと誤認させると記載
- Windowsの「ファイル名を指定して実行」（Win+R）に悪意あるコマンドを表示し、利用者にコピー＆貼り付けで実行させる手法だと記載
How to manage the changes in Netlogon secure channel connections associated with CVE-2020-1472（Microsoft サポート）
発表日: 2020-08-11 ／確認日: 2026-10-04
- CVE-2020-1472はNetlogon Remote Protocol（MS-NRPC）に関する問題で、MS-NRPCは「an RPC interface that is used exclusively by domain-joined devices」＝ドメイン参加デバイスだけが使うRPCインターフェイスと説明されている
- 「The initial deployment phase starts with the updates released on August 11, 2020.」と記載。最初の更新は2020年8月11日に公開された
- 影響範囲としてWindows Server 2019・2016・2012 R2・2012・2008 R2 SP1などのサーバー、ドメインコントローラー、ドメイン参加デバイスを挙げている
- 攻撃者が対象のマシンアカウントのActive Directory上の識別情報を乗っ取り、そのマシンが持つ権限を利用しうると注意している

武器化は24時間以内、それでも侵入口の3割は「利用者の操作」 — Microsoftデジタル防衛レポート2026

出典・確認した情報

関連コラム