ClickFix 攻擊誘騙 Mac 與 Windows 使用者自己駭自己

若在過去一週點擊過社群平台上假冒串流服務的廣告，就可能成為「ClickFix」攻擊的受害者。這種手法近期快速竄升，而其特殊之處在於：它不依賴任何軟體漏洞，而是誘導使用者親手執行惡意指令。

攻擊流程通常從一個看似正常的網頁開始。頁面會顯示驗證失敗、播放錯誤或需要修復的訊息，並「貼心地」提供解決步驟——複製一段指令、開啟系統的執行視窗或終端機、貼上並按下執行。整個過程被包裝成排除故障的標準程序。

這個設計繞過了多數的技術防護。防毒軟體與瀏覽器的安全機制主要偵測惡意檔案的下載與執行，而在這個流程中，沒有可疑檔案被下載——使用者複製的只是一段文字，而執行指令的是系統本身的合法工具。從系統的角度看，這是使用者主動發起的正常操作。

跨平台的特性也值得注意。同樣的社交工程邏輯在 Windows 與 macOS 上都成立，只是具體的指令與操作路徑不同；這打破了「非 Windows 平台較安全」的普遍假設——當攻擊的載體是人的判斷而非系統的弱點，作業系統的差異就不構成保護。

防禦的重點因此也必須轉移。技術控制仍有其價值——限制一般使用者執行終端機指令的權限能阻斷這個流程——但更根本的是建立一條簡單的認知：任何要求你複製指令並貼到系統視窗執行的網頁，無論理由多麼合理，都應該直接關閉。

後續觀察重點在於這類手法的變形速度與平台的廣告審核。誘餌的包裝會持續翻新，而其散布高度依賴廣告投放；若平台端能提高假冒品牌廣告的審核強度，攻擊的觸及範圍就能實質縮減。