Los ciberdelincuentes imitan las verificaciones que piden confirmar que una persona no es un robot para engañar a los usuarios y hacerlos ejecutar comandos, instalar malware o entregar sus contraseñas.
Una casilla con el mensaje “No soy un robot” puede ser la puerta de entrada a una estafa informática. Los CAPTCHA falsos imitan controles de seguridad legítimos y buscan que la propia víctima ejecute instrucciones que permitan a los atacantes robar información o tomar el control de su computadora.
La empresa de ciberseguridad ESET advirtió sobre esta modalidad, que aprovecha la familiaridad de los usuarios con las verificaciones de identidad en internet, y la principal señal de alerta aparece cuando una página pide salir del navegador, abrir herramientas del sistema, copiar y pegar comandos o descargar programas para completar el supuesto control.
Cómo reconocer un CAPTCHA falso
Los CAPTCHA legítimos permiten distinguir a las personas de los programas automatizados mediante acciones como seleccionar imágenes, identificar objetos, escribir caracteres o marcar una casilla. Algunas verificaciones también funcionan en segundo plano, sin necesidad de que el usuario intervenga.
En cambio, una solicitud para abrir Ejecutar, PowerShell, Terminal o el Símbolo del sistema debe generar desconfianza. También es sospechoso que una página exija instalar una extensión, descargar un archivo, habilitar notificaciones o copiar y pegar instrucciones. Ninguna de esas acciones es necesaria para demostrar que hay una persona frente a la pantalla.
Qué es el método ClickFix y cómo funciona
Una de las técnicas utilizadas en estas estafas se conoce como ClickFix. El procedimiento consiste en mostrar un CAPTCHA falso o una advertencia sobre un supuesto problema informático y ofrecer una solución que requiere abrir una herramienta del sistema y ejecutar un comando.
En algunos casos, la página copia automáticamente el código al portapapeles y guía a la víctima para que lo pegue en una terminal. Si el usuario ejecuta la instrucción, puede instalar software malicioso diseñado para robar datos o un troyano de acceso remoto que permita a un atacante controlar el dispositivo.
Por qué el engaño resulta convincente
Los CAPTCHA se utilizan desde hace más de dos décadas para impedir que los sistemas automatizados accedan a sitios web, envíen formularios o realicen acciones repetitivas. Servicios como Google reCAPTCHA, hCaptcha y Cloudflare Turnstile forman parte de la navegación cotidiana, y esa familiaridad puede hacer que los usuarios confíen en una pantalla falsa.
Por eso, es importante revisar la dirección completa del sitio y detectar posibles errores ortográficos, letras cambiadas o dominios que imiten a empresas conocidas. También conviene comprobar si la verificación está integrada en la página o aparece en una ventana aislada. Aunque HTTPS protege la comunicación, no garantiza que el sitio sea legítimo.
ADEMÁS: Es argentino, creó un dispositivo con IA para personas ciegas y ganó en Harvard
Qué hacer si ya copiaste las instrucciones
Si se copió un comando al portapapeles, pero todavía no se ejecutó, no hay que presionar Intro ni completar los pasos indicados. Se debe cerrar cualquier cuadro de diálogo del sistema que haya quedado abierto y reemplazar el contenido del portapapeles por un texto inofensivo.
Después, conviene realizar un análisis de seguridad con la herramienta de protección instalada en el dispositivo y revisar las descargas recientes y las extensiones del navegador. Si se ejecutó el comando, es importante analizar el equipo y tomar medidas adicionales para proteger las cuentas y la información personal.
Aparecen en esta nota:
las más leídas
comentar