¿Qué es un ataque de CAPTCHA falso o ClickFix?

Es un truco que consigue que la víctima ejecute ella misma la orden del atacante. Una web comprometida o falsa muestra algo que parece un CAPTCHA o un mensaje de error, con instrucciones para demostrar que es humano o arreglar el problema: pulsar una combinación de teclas que abre una ventana de comandos o de ejecución, pegar y pulsar Intro. La página ya ha copiado una orden maliciosa en el portapapeles, así que la persona en realidad lanza un script que descarga malware, a menudo un ladrón de información o una herramienta de acceso remoto. Como lo ejecuta el propio usuario, muchas protecciones del navegador y del correo nunca ven un archivo que bloquear. Investigadores de seguridad, entre ellos Microsoft, han informado de un fuerte aumento de esta técnica desde 2024. Defensas: diga a la plantilla que ninguna web real pide nunca pegar comandos, limite quién puede ejecutar scripts en los puestos normales y mantenga al día la protección de endpoints. Si ocurre, trate el equipo como comprometido; en la red, vigile las nuevas conexiones salientes regulares que haga.

← Las 29 preguntas sobre Phishing y qué hacer despuésTodos los temas