ターミナルにコマンドを貼り付けた？今すぐ Mac を確認しましょう。

1貼り付けた 1 行がすること

2025 年後半から、AI ツールを装った偽ページや「Mac をクリーンアップ」という検索広告が、Mac ユーザーにターミナルを開いて 1 行貼り付けるよう求めています。Sophos は 2025 年 11 月から 2026 年 2 月にかけて、この方法で情報窃取マルウェア MacSync をインストールした 3 つのキャンペーンを追跡しました。その 1 行はスクリプトをダウンロードし、Mac のパスワードを求め、キーチェーンのデータ、保存されたログイン情報、暗号資産ウォレットのリカバリーフレーズを盗みます（The Hacker News、2026年3月16日）。Microsoft は、Atomic（AMOS）、MacSync、DigitStealer の各情報窃取マルウェアにも同じ誘い文句が使われ、多くは検索広告から誘導されていると報告しています（Security Affairs による Microsoft の報告の記事、2026年2月4日）。

何も警告が出なかった理由：macOS は、インターネットからダウンロードしたソフトウェアを初めて開く前に確認を求めます（Apple プラットフォームセキュリティ）。ファイルがインターネットから来たことは、ブラウザが付ける隔離フラグで判断しています。ターミナルで curl を使って取得したファイルには、このフラグが付かないことがあります（MITRE ATT&CK T1553.001）。そして bash に直接パイプで渡されたスクリプトはアプリとして開かれることがないため、確認はまったく表示されません。

こうした 1 行はたいてい次のような形で、途中に Web アドレスが入っています。

• curl -fsSL https://… | bash
• bash -c "$(curl -fsSL https://…)"
• echo … | base64 -d | sh

2確認 1：ログイン項目とバックグラウンドのアプリ

システム設定 → 一般 → ログイン項目と機能拡張（macOS 14 以前はログイン項目）を開きます。ログイン時に開くとバックグラウンドでの実行を許可を見てください。

見覚えのないものはよく確認する価値があります。特に、名前が不自然なもの、デベロッパが表示されないもの、コマンドを貼り付けた日に現れたものです。バックグラウンド項目をオフにすると再び起動しなくなりますが、削除はされません。

3確認 2：起動エージェントとデーモン

自動で起動するプログラムは、3 つのフォルダのどれかに小さなファイルを残します。次のコマンドで新しい順に一覧表示します。

ls -lt ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

ほとんどの名前は com.company.app.plist のような形です。コマンドを貼り付けた日の前後の日付のファイル、自分のライブラリ（Library）フォルダ内で Apple を装った名前（com.apple…）、ランダムな文字でできた名前に注意してください。あるファイルがどのプログラムを起動するかを見るには、NAME をそのファイル名に置き換えます。

plutil -p ~/Library/LaunchAgents/NAME.plist

4確認 3：シェルの起動ファイル

シェルはターミナルを開くたびにこれらのファイルを実行するので、情報窃取マルウェアがそこに 1 行隠すことがあります。次のコマンドで、それぞれの最終変更日時を表示します。

ls -lT ~/.zshrc ~/.zprofile ~/.bash_profile ~/.bashrc ~/.profile 2>/dev/null

編集した覚えのない日に変更されていたら、最後の数行を見てください。

tail -n 20 ~/.zshrc

自分が書いていない行で、curl、base64、osascript や Web アドレスが出てくるものは要注意です。

5確認 4：貼り付けたもの

ターミナルは実行した行を記録しています。次のコマンドで、何かをダウンロードまたはデコードした直近 30 行を表示します。

grep -E 'curl|wget|base64|osascript' ~/.zsh_history | tail -n 30

6確認 5：macOS が受け入れないアプリ

macOS の Gatekeeper は、アプリケーションフォルダ内のどのアプリを受け入れないか（確認済みのデベロッパによる署名がない、または Apple の確認を受けていない）を教えてくれます。

for a in /Applications/*.app; do spctl -a "$a" 2>/dev/null || echo "Not accepted: $a"; done

古いアプリやオープンソースのアプリがここに表示されることがあり、それ自体は問題ありません。インストールした覚えのないアプリが要注意です。ダウンロードフォルダも新しい順に目で確認してください。

ls -lt ~/Downloads | head -n 20

7確認 6：リモートアクセスとプロファイル

システム設定 → 一般 → 共有を開きます。画面共有、リモートログイン、リモートマネージメント、ファイル共有は、自分で使っていない限りオフにしておきます。

次にシステム設定 → 一般 → デバイス管理（古い macOS ではプライバシーとセキュリティ → プロファイル）を開きます。自分でインストールしていないプロファイルは、閲覧の通信を他人のサーバ経由にしたり、その人の証明書を信頼させたりできます。学校や勤務先のものではないと確信できる場合にだけ削除してください。

8確認 7：インターネットと通信しているもの

次のコマンドで、プログラムごとに開いているインターネット接続の数を数えます。

lsof -nP -iTCP -sTCP:ESTABLISHED | awk 'NR>1 {print $1}' | sort | uniq -c | sort -rn

ブラウザ、メール、メッセージ、iCloud は普通です。知らない名前や、osascript、python3、curl のようなスクリプト実行プログラムが接続を持っていたら、よく確認してください。ほかのコンピュータからの接続を待っているプログラムを見るには：

lsof -nP -iTCP -sTCP:LISTEN

9何か見つかったら

1. 切断する：Wi-Fi をオフにし、ネットワークケーブルを抜きます。
2. 別のデバイスから、まず Apple アカウント、メール、銀行のパスワードを変更し、ほかのすべてのセッションからサインアウトして、2 ファクタ認証をオンにします。
3. リカバリーフレーズや鍵がこの Mac にあった暗号資産ウォレットは、すべて失われたものと考えてください。クリーンなデバイスで新しいウォレットを作り、資金を移します。情報窃取マルウェアがすでにフレーズを持っているかもしれず、送金は取り消せません。暗号資産ウォレットの安全対策を参照してください。
4. 見つけたものを削除する：アクティビティモニタで終了し、起動エージェントのファイルとアプリを削除して、再起動します。すべて見つけられたか自信がなければ、書類（アプリではなく）をバックアップし、Mac を消去します：システム設定 → 一般 → 転送またはリセット → すべてのコンテンツと設定を消去。
5. マルウェアがブロックされてゴミ箱に移されたという通知を見ましたか？それは Mac に内蔵された保護機能 XProtect が、認識したファイルを削除したということです。良いことですが、そのファイルがどこから来たかを確認してください。同じサイトがほかのものも送り込んでいるかもしれません。Mac の内蔵保護機能がすることを参照してください。

10次にターミナルへ何か貼り付ける前に

• サイトのアドレスは自分で入力し、広告やチャットのリンクはたどらないでください。
• 貼り付ける前に 1 行を読んでください。| sh、| bash、base64、osascript は何かを実行するという意味です。
• Web サイトや CAPTCHA、「壊れた」ダウンロードの本当の直し方に、ターミナルが必要なことはありません。
• 1 行がパスワードを求めてきたら、手を止めて、何のためなのか考えてください。

11よくある質問

Mac がハッキングされました。まず何をすればいいですか？

インターネットから切断し、別のデバイスで Apple アカウント、メール、銀行のパスワードを変更して、ほかのすべてのセッションからサインアウトします。リカバリーフレーズがこの Mac にあった暗号資産は、クリーンなデバイスで作った新しいウォレットに移します。そのうえで、このページの確認をするか Mac を消去してください。

Mac がいまハッキングされているかどうか、どうすればわかりますか？

見覚えのないログイン項目や起動エージェント、変更していないシェルファイル、macOS が受け入れないアプリ、インターネットに接続している知らないプログラムを探してください。自分で操作していないのに出るパスワードの要求や、勝手に変わったブラウザの設定も兆候です。

macOS に、マルウェアがブロックされてゴミ箱に移されたと表示されました。もう安全ですか？

XProtect が既知の悪意あるファイルを認識し、実行される前に削除したという意味です。そのファイルがどこから来たかを確認し、上の確認をしてください。同じサイトやメールが、XProtect の認識しなかったものを届けているかもしれません。

ターミナルにコマンドを貼り付けても安全ですか？

サイトのアドレスを自分で入力していて、その 1 行が何をするかわかっている場合だけです。広告、ポップアップ、「人間であることを確認」のページ、チャットからの 1 行は決して貼り付けないでください。ダウンロードしたものを sh や bash にパイプで渡す、base64 をデコードする、パスワードを求める、といったものなら手を止めてください。

Mac を消去する必要がありますか？

見つけたものを特定して削除できない場合や、その Mac に高額なリカバリーフレーズや鍵があった場合は、消去するのが安全です。アプリではなく書類をバックアップし、最初からサインインし直してください。