Clipper Malware

クリッパーマルウェアとは、システムのクリップボードを専門に標的として設計された一連の悪意あるソフトウェアを指す。デバイスへの植え付けに成功すると、バックグラウンドでクリップボードの内容を継続的かつ静かに監視し続け、仮想通貨アドレスの形式に一致する文字列を検知した瞬間、そのアドレスを攻撃者が管理するアドレスに直ちに置き換える。この攻撃が特に効果的なのは、ほぼすべての仮想通貨ユーザーが行う日常的な操作を正確に利用している点にある——仮想通貨アドレスは通常26〜62文字のランダムな英数字の長い文字列であり、ほとんどの人は一文字ずつ手入力するのではなく、コピー＆ペーストで済ませる習慣がある。このマルウェアが攻撃するのは、まさに一見安全に見えて実はリスクを潜ませているこの操作習慣なのだ。

この種のマルウェアは、本サイトですでに紹介したアドレスポイズニングの手口としばしば混同されるが、両者はまったく異なる攻撃経路であり、明確に区別する価値がある。アドレスポイズニングは被害者のデバイスに感染する必要がまったくなく、攻撃者が能動的にゼロ額の取引を送信し、最初と最後が似ているなりすましアドレスを被害者のオンチェーン取引履歴に植え付け、被害者が将来その見覚えのあるアドレスを記憶を頼りにコピーしてしまうのを待ち構える手口だ。一方クリッパーマルウェアは、まず被害者のデバイスへの感染に成功する必要がある。感染後は、被害者がどこからアドレスをコピーしようとも（自分のメモ、チャット履歴、公式サイトですら）、クリップボードに貼り付けられた瞬間にリアルタイムで改ざんされうる。攻撃が発生するタイミングは被害者がアドレスを照合する動作とほぼ同時であり、被害者が見覚えのあるアドレスを「誤認」することに依拠しているわけではない。

クリッパーマルウェアは新しい技術ではなく、すでに2018年にセキュリティ機関が類似の手口のサンプルを発見していた。しかしこの種のマルウェアは近年も進化を続けており、攻撃手法はますます精巧になっている。2026年上半期、マイクロソフトの脅威インテリジェンスチームは「Crypto Clipper」という名のマルウェアを開示した。正式なウイルス定義はTrojan:Win32/CryptoBandits.Aとされ、この事例はクリップボードハイジャッキング技術の最新の進化の方向性を明確に示している——もはや単純にクリップボードの内容を置き換えるだけではなく、ワームのようなUSBメモリを介した自己複製・拡散能力、独立した可搬型Torクライアントによる外部通信の隠蔽、遠隔で任意のコードを実行できる組み込み機能を組み合わせ、もともと仮想通貨資産の窃取のみを目的としていたツールを、継続的な遠隔操作能力を備えた複合的な脅威へと昇格させた。

この種のマルウェアの拡散経路も、時間とともに多様化を続けている。感染したUSBメモリを通じた拡散に加え、セキュリティ業界は、トレーディングボットや相場予測ツールを装ったデスクトップアプリケーション、ブラウザ拡張機能を装ったもの（偽のメモアプリなど）、そしてGitHubやYouTubeで「いいね」やコメント数を水増しして偽の信頼性を演出し、ユーザーに能動的にこのマルウェアをダウンロード・インストールさせるといった手口を次々と観測している。この拡散経路の多様化はまた、単一の防御策（USBメモリだけに注意するなど）では、もはやこの種の脅威の攻撃対象領域を完全にはカバーできないことを意味している。

クリッパーマルウェアに対して、業界が現在推奨する防御戦略は、大まかに「感染の予防」と「感染後も最後の防御線を守る」という二つの層に分けられる。感染予防の具体的な方法には、公式チャンネルからのみソフトウェアやブラウザ拡張機能をダウンロードし、出所不明で自動的に利益を得たり相場を予測したりできると謳うツールのインストールを避けること、USBメモリなどの外部デバイスの自動実行機能を無効にし、エクスプローラーでファイル拡張子を表示するオプションを有効にすることで、一般的な文書を装った実行可能ファイルをより識別しやすくすること、そして評判の良いアンチウイルスソフトを定期的に使用し、公開されている侵害指標と照合してスキャンすることが含まれる。

しかしこれらをすべて行ったとしても、デバイスが100%感染を免れることは保証できない——これこそが、「感染後も最後の防御線を守る」という層が同様に重要である理由だ。核心的な原則は、検証プロセス全体を、すでに感染している可能性のある同じデバイス上だけで完結させないことだ。もしハードウェアウォレットを使っているなら、コンピュータやスマホの画面に表示された内容だけを見るのではなく、デバイス自体の画面上で受取アドレスの最初、最後、そして中間の文字を一つずつ照合する習慣を必ず身につけるべきだ。ハードウェアウォレットを使っていない場合、特に金額の大きな送金については、まず少額のテスト送金を行い、完全に独立した別の経路（電話で受取人に口頭で確認するなど）を通じてアドレスに間違いがないことを確認してから、全額の送金を行うことを検討する価値がある。

普段はスマホでしか仮想通貨を操作しておらず、パソコンをほとんど使わない場合、この種の脅威をまったく心配する必要はないのか？

クリッパーマルウェアの現在公開されている技術レポートのほとんどは、確かにコンピュータ側（特にWindowsシステム）を標的としており、これはもしあなたがまったくコンピュータを使って仮想通貨関連の処理を行っていなければ、この特定のマルウェアに直接感染する確率は確かに低いことを意味する。しかしこれは完全に警戒を緩めてよいという意味ではない——モバイルOSも同様の原理に基づく悪意あるアプリや悪意あるブラウザ拡張機能の影響を受けうる。クリップボードハイジャッキングが本質的に狙っているもの——「アドレスをコピー＆ペーストする」という操作行為——はスマホ上でも同様に一般的に存在しており、この操作パターンを持つデバイスであれば、理論上どれも同種の手口の攻撃対象になりうる。

より現実的な姿勢は、防御の重心を「自分がどの種類のデバイスを使っているか」に置くのではなく、「どのデバイスを使っていようとも、画面に表示された内容だけに完全には依存しない検証習慣を身につけているか」に置くことだ。この原則はデバイスの種類に制約されず、脅威の手口の進化に応じて改めて学び直す必要もない。クリップボードハイジャッキングは、「コピー＆ペースト」という日常的な習慣を利用する数多くの攻撃手法の一つにすぎない。個々のバリエーションの技術的な詳細を一つひとつ覚えることよりも、「金額の大きい取引は、デバイス自体の表示や独立した経路を通じてもう一層の確認を行う」ということを、深く考えなくても実行できる反射的な行動へと変えることに、力を注ぐ価値がある。