親切なポストほど疑え——SNSの”便利コマンド共有”が乗っ取りの入口になる日

こんなポスト、タイムラインで見かけたことないだろうか。
「○○を100倍賢くする方法！」
「大手80社が公式公開！」
「ターミナルでこのコマンドを実行するだけ！」
──それ、あなたのPCを”渡す”ボタンかもしれない。

コピペ1回で、何が起きるのか

SNSで紹介される npx コマンド。
これは「ネット上のコードをダウンロードして、その場で実行する」という仕組みだ。
つまり、知らない人から渡されたUSBメモリを何も確認せずPCに挿すのと同じ。
悪意あるコードが仕込まれていた場合──
∙PCの中のファイルを外部に送信される
∙キーボード入力（パスワード含む）を記録される
∙バックドアを設置され、遠隔操作される
∙最悪の場合、ホームディレクトリごと全削除される
しかも、見た目には何も起きない。
コマンド実行後「インストール完了」と表示されるだけだ。

「まさか」は、もう起きている

これは仮定の話ではない。
2025年、npmパッケージを悪用したサプライチェーン攻撃は爆発的に増加した。
数字で見る現実：
∙2025年に確認された悪意あるnpmパッケージは 年間3,180件以上（Xygeni調査）
∙2025年Q4だけで、1つのキャンペーンが 10万個以上 の悪意あるパッケージを数日で生成（Sonatype報告）
∙2025年9月のnpmサプライチェーン攻撃では、週間ダウンロード数 合計26億回 のパッケージが汚染された
∙「Shai-Hulud」と呼ばれるワーム型マルウェアは 500以上のパッケージ に感染し、自己増殖した
∙2025年8月のNxパッケージ攻撃では、盗まれたトークンで 5,500以上のプライベートリポジトリが公開状態 にされた
攻撃者は正規の開発ツールに見せかけた名前で悪意あるパッケージを公開し、インストール時に自動実行されるスクリプトで認証情報やクラウドキーを盗み出す。
さらに2025年、「ClickFix」と呼ばれる新たな手法が急増した。
これはSNS上で「このコマンドをコピペして実行して」と誘導するソーシャルエンジニアリング攻撃で、被害者自身の手でマルウェアを実行させる。
あのXのポストと、構造がまったく同じだ。

なぜ人は疑わずに実行してしまうのか

この手のポストには、決まったパターンがある。
① 権威づけ
→「Anthropic公式」「大手80社」「9万種以上」
② お得感
→「無料」「これだけで100倍」
③ 行動の簡単さ
→「コピペして実行するだけ！」
人間の脳は「権威ある情報源＋簡単な行動」のセットに弱い。
しかも周囲が「いいね」やリポストをしていると、「みんなやってるなら大丈夫」という同調バイアスが働く。
攻撃者はセキュリティの穴ではなく、人間の心理の穴を突いている。

3秒でできる防衛チェックリスト

SNSで「このコマンドを実行して」と言われたら、この3つだけ確認してほしい。
① リポジトリを自分の目で開く
GitHubのURLに飛んで、実際にコードが公開されているか、中身が読めるか確認する。リポジトリが存在しない、またはコードが難読化されていたら赤信号。
② アカウントの実体を確認する
「anthropics」と「anthropic」は別のアカウント。名前が一文字違うだけの偽アカウント（タイポスクワッティング）は常套手段。Star数・コミット履歴・作成日を見る。
③ 「公式」の裏を取る
本当に公式なら、その企業の公式ドキュメントやブログに案内があるはず。SNSのポストだけが情報源なら、それは”自称”公式にすぎない。

いいねの数は、安全の証明にならない

拡散されている＝安全ではない。
むしろ、拡散されているからこそ攻撃者にとって効率がいい。
「便利そう」と思った瞬間が、一番危ない瞬間だ。
コピペする指を止めて、3秒だけ確認する。
それだけで、自分のPCと情報を守れる。