一見ごく普通の Mac 用ユーティリティをダウンロードしたとする。Web サイトもアイコンも機能も正常に見えるが、初回起動時に管理者パスワードを求められた。このような画面は珍しくない。コンポーネントのインストールやシステム設定の変更では、正規の App でもパスワードが必要になる場合がある。
問題は、見慣れた画面が警戒心を下げるためにも使われる点である。Jamf Threat Labs が明らかにした PamStealer の事例では、攻撃者は偽の Maccy サイトを使い、クリップボードツールを装ったプログラムを配布し、攻撃手順の中にパスワード入力を組み込んでいた。この事例は、すべてのパスワード画面が危険だという意味ではない。macOS の通常の手順に見えることと、目の前の App が信頼できることは別だという警告である。
したがって、本当に答えるべき問いは「このパスワード画面は本物か」ではない。「どこから入手したのか、なぜ今パスワードが必要なのか、求められた権限が機能に見合っているのかを確認できるか」である。答えが明確になるまでキャンセルしても、安全に行動する機会は失われない。一方、確認できていないプログラムにパスワードを渡す事態は避けられる。
まずキャンセルし、3 つの点を確認する
キャンセルした後、すぐにその App をマルウェアだと決めつける必要はない。アイコンや Web サイトの見た目だけで推測する必要もない。入手元、目的、権限の順に確認し、今回の要求に追跡可能な理由があるかを調べればよい。
入手元：この App はどこから取得したのか
すでに Mac に保存されているファイルだけを見るのではなく、ダウンロードを始めた場所まで戻る。App Store、開発元の公式サイト、公式 GitHub リリース、または公式文書から直接リンクされたページのいずれかであることを確認する。検索広告、見知らぬダウンロードサイト、短縮 URL、出所をたどれない転送リンクから取得したファイルなら、ひとまず使わない。
「公式サイトに見える」という印象は弱い手掛かりにすぎない。ドメイン、開発元の名称、ファイル名、バージョンが公式ページの情報と一致する必要がある。これは、知人を装った電話を別の連絡経路で確認する原則と同じである。詳しくは「知人からの電話でも偽音声かもしれない：AI なりすまし電話に対処する 3 ステップ」も参照できる。
目的：何を実行するための要求なのか説明されているか
パスワード画面が表示される直前に、自分が何をしたかを思い出す。インストール、アップデート、システム設定の変更を自分で開始した直後なら、要求には妥当な文脈があるかもしれない。一方、App を起動しただけでパスワードを求められた場合や、「続行するにはパスワードを入力」としか書かれておらず、何を変更するのか示されていない場合は、続行を正当化する証拠が足りない。
App 名、ダウンロード元の URL、押したボタン、表示されたメッセージ全文を記録する。スクリーンショットを残せるなら保存する。こうした記録があれば、公式文書を確認したり、家族、IT 担当者、プロジェクト責任者に判断を求めたりできる。数分後に「たぶん問題なさそうだった」という印象だけが残る事態も防げる。
権限：要求が中核機能と直接関係しているか
「有名な App か」だけではなく、なぜその権限が必要なのかを問う。一部のインストールやシステム変更では、実際に管理者パスワードが必要になる。ただし、その必要性は機能と公式説明の両方から裏付けられなければならない。単純なツールが説明なしにパスワードを求めるなら、有害だと証明してから止める必要はない。証拠が足りないこと自体が、立ち止まる十分な理由になる。
「機能のために特定の macOS 権限が必要であること」と「App がログインパスワードを知る必要があること」も区別する必要がある。どの処理が実際にシステムを変更するのかを見つける考え方は、「AI にショートカットを書かせる前に、実際に動作するステップを見つける」でも確認できる。
確認後は 3 つの判断に絞る
確認の目的は、あらゆる App に対して完全なセキュリティ評価を行うことではない。目の前の操作を続けるべきか決めることである。結果を次の 3 つの経路のいずれかに当てはめればよい。
証拠がそろった場合だけ続ける。 入手元を公式の経路までたどることができ、要求の目的が直前の操作と一致し、必要な権限も機能と公式文書から説明できる場合に限り、元の手順に戻って続ける。判断の根拠は検証可能な証拠であり、見慣れたアイコン、整った画面、多数の推薦ではない。
入手元が不明なら使用を止め、公式経路から再ダウンロードする。 検索結果、ダウンロードサイト、第三者から転送されたファイルを使っているなら、App 名が正しくても現在のファイルを再実行しない。個人の端末では、ダウンロード元の URL、ファイル名、バージョン、要求画面を先に記録する。その後、元のファイルを隔離場所へ移すか、セキュリティツールの案内に従って削除し、開発元の公式サイト、公式 GitHub、または App Store から取得し直す。会社や顧客の端末では、ファイルや記録を自分で削除しない。ファイルの場所、ダウンロード元の URL、スクリーンショットを IT 担当者へ渡し、保全、隔離、削除の方法を責任者に判断してもらう。再ダウンロードは、元のファイルが確実に有害だったと証明する行為ではない。追跡できない入手経路を取り除く行為である。
目的や権限を説明できないなら中断する。 個人の端末なら、そのツールを使わずに公式文書を調べるか、代替品を探せばよい。会社や顧客の端末なら、App 名、ダウンロード元の URL、バージョン、要求画面のスクリーンショットを IT 担当者やプロジェクト責任者へ渡し、別の連絡経路で確認する。「誰がインストールを求めたのか、なぜ必要なのか、どの変更を許可するのか」を説明できる人物だけが、最終判断を行うべきである。この人による確認点を残せば、判断を追跡可能にできる。作業が止まった焦りから、そのままパスワードを入力する事態も防げる。
今日の最小の一歩は一つだけである。次に Mac がパスワードを求めたら、まずキャンセルし、入手元、要求の目的、必要な権限を記録してから次の行動を決める。
AI整理カード
目の前のパスワード要求を、検証可能な判断材料に整理する
Mac App を評価しているなら、以下の文章をコピーして使える。信頼できる AI ツールにだけ貼り付け、パスワード、アカウント情報、社内 URL、そのほかの機密情報は事前に削除する。
Mac App が求めているパスワード入力を続けるべきか判断したい。まず、この App をどこからダウンロードしたのか、パスワード画面が表示される直前に何をしたのか、画面にはどの権限の取得またはどの変更を行うと書かれているのかを質問してほしい。
次に、私が提供した情報を「入手元、目的、権限」の 3 項目に整理してほしい。画面、アイコン、App 名だけで安全だと判断せず、パスワードの提供も求めないこと。検証可能な証拠がある情報、公式説明が不足している情報、IT 担当者、開発元の文書、プロジェクト責任者による確認が必要な情報をそれぞれ示してほしい。
最後に、提案を次のいずれか一つに絞ってほしい。十分な証拠がある場合だけ続ける、公式経路から再ダウンロードする、または一度中断して責任者へ確認する。同時に、今日実行できる最小の一歩も一つ示してほしい。
アカウント、個人情報、会社の端末、システム変更が関係する場合は、人による確認を残す。AI にパスワードを入力させたり、権限を承認させたりしてはならない。
生活四コマ
- 女性がノートパソコンに表示された錠前の警告を見て、キーボードに触れる前に手を止める。
- 両手を離してノートパソコンを半分閉じ、スマートフォンでその場の状態を残す。
- ノートパソコンを IT 担当者のもとへ持ち込み、信頼できる入手元と権限が必要な理由を一緒に確認する。
- IT 担当者が検証済みの代替物と隔離中の元ファイルを分け、女性はその結果を見て次の行動を決める。
参考資料
Jamf Threat Labs：PamStealer: macOS Malware Posing as Clipboard Manager App — https://www.jamf.com/blog/pamstealer-macos-infostealer-applescript-rust/（2026-07-02）
Ars Technica：Newly discovered PamStealer isn’t your typical macOS malware — https://arstechnica.com/security/2026/07/new-pamstealer-macos-malware-uses-clever-tradecraft-to-remain-stealthy/（2026-07-03）
The Hacker News：PamStealer Uses Fake Maccy Sites and PAM Checks to Steal Mac Login Passwords — https://thehackernews.com/2026/07/pamstealer-uses-fake-maccy-sites-and.html（2026-07-03）
