自社サイトに偽の「ロボットではありません」画面が出るときの対処（ClickFix）

ホームページを開くと、設置していない確認画面が出て「Windowsキー＋R」や貼り付けを求められる——偽CAPTCHA（ClickFix）を仕込まれたときの見分け方と、訪問者への被害を止めるための対処を中小企業向けに整理します。

公開 2026.10.24更新 2026.10.25執筆 Webサイト診断編集部技術確認 Webサイト診断診断ルール担当

ホームページを開くと、設置した覚えのない「ロボットではありません」の画面が出る。画面の指示が「Windowsキー＋Rを押して、貼り付けて、Enter」——これは**偽の確認画面（偽CAPTCHA）**です。海外では「ClickFix」と呼ばれ、2025年から2026年にかけて、侵害されたWordPressサイトを使った大規模な手口が相次いで報告されています。国内でも警視庁が注意を呼びかけています。

狙われているのは、ホームページを見に来たお客様のパソコンです。指示どおり操作すると、パスワードなどを盗むウイルスが入ります。ホームページの持ち主は、知らないうちに被害を広げる側になってしまいます。

まず結論：すぐやること

現状を記録する — 出た画面のスクリーンショット、URL、気づいた日時、お客様からの連絡内容を残します。
関係するパスワードを変える — CMS（WordPress等）の管理者、サーバー、FTP、ドメイン管理。
知らない管理者・ユーザーがいないか確認する — 追加されていれば侵入されています。
専門家に連絡する — 埋め込まれたスクリプトは見えない場所に複数仕込まれていることが多く、1か所消しても戻ります。

偽の確認画面の見分け方

本物の確認画面	偽の確認画面
チェックを入れる・画像を選ぶだけ	キー操作・コマンドの貼り付けを求める
サイトの運営者が設置したもの	運営者が設置していない
誰にでも同じように出る	初めての人・Windowsだけ等に出ることがある

主な原因

古いプラグイン・テーマの脆弱性からスクリプトを埋め込まれた → WordPressの脆弱性の確認手順
盗まれた管理パスワードで管理画面に入られた
テーマのファイルやデータベースに裏口を残された

復旧の進め方

手順	内容
1	現状の記録・表示される条件（端末・初回のみ等）の確認
2	埋め込まれたスクリプトの場所（テーマ・プラグイン・データベース）の特定
3	スクリプトと裏口の除去、不審な管理者の削除
4	入口（古い部品・漏れたパスワード）の修正
5	表示が止まったことを複数の条件で確認
6	ブラウザや検索結果に警告が出ていれば解除の申請 → 警告が出たときの対処

トップページが元どおりに見えても、仕込まれた読み込みの仕掛けが残っていれば再発します。

当社でできること

緊急対応窓口で、URLから公開範囲の状況を安全に確認し、対応できるか・費用の目安をお伝えします（法人・個人事業主向け）。訪問者に被害が出る手口のため、急ぎの連絡（24時間以内・3時間以内）もお選びいただけます。パスワードなどの秘密情報は入力せず、URLだけで始められます。

再発を防ぐための平時の点検には、ホームページ安全設定の無料診断もご利用ください。仕込まれたスクリプトが戻っていないかを見張る改ざん・異常の見守り（月額）もご用意しています。

よくある質問

本物の確認画面と、どう見分けますか？

本物の確認画面は、チェックを入れる・簡単な画像を選ぶだけです。「Windowsキー＋R」「Ctrl＋V」「Enter」のようなキー操作や、コマンドの貼り付けを求めるものは偽物です。

自分のパソコンでは出ません。被害はないのでは？

初めて見た人だけ、Windowsのパソコンだけ、などに絞って表示する細工があります。管理者のパソコンで出なくても、お客様から連絡があれば被害がある前提で確認してください。

お客様が指示どおり操作してしまったら？

お客様のパソコンにウイルスが入った恐れがあります。インターネットから切り離してウイルス対策ソフトで検査し、別の安全な端末からパスワードを変えるよう案内してください。案内の文面の考え方もご相談いただけます。