Fake CAPTCHAs are tricking users into running malware on their own devices
2026-10-15
Los atacantes están transformando el conocido paso de 'demuestre que es humano' (CAPTCHA) en una puerta de entrada para la descarga de malware, notificaciones maliciosas del navegador y la ejecución de comandos. Según la empresa Barracuda, el uso de estos CAPTCHAs falsos se detectó en el 43% de los ataques de kits de phishing examinados durante 2025.
Una técnica específica llamada 'ClickFix' consiste en mostrar mensajes de error falsos o problemas de verificación. Al interactuar con la página, el sitio copia automáticamente un código de ataque (malware) en el portapapeles del usuario sin que este lo note. Luego, la página da instrucciones falsas, como presionar la tecla Windows + R, pegar el contenido (Ctrl + V) y dar Enter, lo que activa la infección.
Investigadores han identificado que este ataque utiliza más de 5.400 sitios web legítimos que han sido hackeados para redirigir a las víctimas. Además, se ha detectado el uso de malware llamado 'StealC', diseñado para robar información sensible como contraseñas guardadas y credenciales de inicio de sesión almacenadas en el navegador.
Los atacantes utilizan herramientas de inteligencia artificial y desarrollo sin código para crear estas páginas de forma muy realista, imitando marcas como Microsoft o Adobe para generar confianza. Algunos ataques incluso se adaptan según la ubicación o el dispositivo del visitante para ser más difíciles de detectar por las herramientas de seguridad automáticas.
Qué significa para una pyme colombiana y cucuteña: Si un empleado suyo ve una ventana de verificación que le pide presionar combinaciones de teclas (como Windows + R) o pegar un texto para 'arreglar un error' o 'verificar que es humano', dígale que cierre la pestaña de inmediato. Un CAPTCHA real nunca le pedirá ejecutar comandos en el sistema. Si sospecha que alguien ya lo hizo, desconecte el equipo de internet, pase un antivirus completo y cambie las contraseñas desde otro dispositivo que esté limpio.
gulfnews.com · wlwt.com · ketv.com · wesh.com