Vamos a explicarte qué es la estafa del falso CAPTCHA, también llamada como ClickFix. Se trata de un tipo de ataque de ingeniería social que apareció a finales del 2023, y que poco a poco se está popularizando, convirtiéndose en un peligro para los usuarios de Internet.
La idea de la estafa es sencilla, utilizar algo que todos hemos automatizado como completar un CAPTCHA para convencer al usuario de ejecutar comandos maliciosos en su propio ordenador. Vamos a explicarte cómo funciona esta estafa para que así puedas identificarla, y luego te daremos varios consejos para evitarla.
Qué es la estafa del falso CAPTCHA
La estafa del falso CAPTCHA, también conocida como ClickFix, es un ataque de ingeniería social. Esto quiere decir que los atacantes no intentan estafarte de una forma técnica, sino manipulándote para que seas tú mismo o misma quien les abra la puerta mediante un engaño.
Concretamente, la técnica del ClickFix consiste en engañar al usuario para que este ejecute un comando malicioso en su ordenador, y afecta tanto a Windows como a macOS. Lo hacen aprovechando la tendencia de sus víctimas a resolver pequeños problemas técnicos y otras interacciones aparentemente inofensivas, como la verificación humana y los CAPTCHA.
La manera de funcionar de ClickFix es sencilla. Utiliza como gancho una web que te muestra un supuesto error técnico, falsos CAPTCHA o avisos de seguridad aparentemente legítimos. Se te puede llevar a estas webs con técnicas de phishing, tanto por correo electrónico como por enlaces fraudulentos o ads en páginas legítimas.
En esta web donde se te muestra un error o un falso CAPTCHA, se te dan instrucciones para seguir adelante. Estas instrucciones te guían para realizar pasos manuales, como abrir una pantalla de ejecución o terminal y pegar un código o comando.
Una de las cosas complejas es que, a veces, en la web donde se hace el ClickFix se copia directamente el código malicioso en tu portapapeles usando JavaScript. Entonces, las instrucciones pueden ser tan sencillas como pulsar Windows + R y luego Control + V, abriendo la ventana de ejecución de Windows pegando directamente el código.
Este es un código malicioso puede llegar a hacer muchas cosas, todo depende de la campaña de ataques en las que se utilice. Puede servir para robar credenciales, pero también para instalar troyanos de acceso remoto con los que el cibercriminal puede hacer todo lo que quiera en tu ordenador.
Este puede parecer un ataque aparentemente fácil de detectar, pero al final sigue las normas de la ingeniería social: el eslabón más débil en la cadena de la seguridad online es siempre el humano.
Para realizar la manipulación, la página donde se te dan las instrucciones puede tener aspectos visuales reconocibles, como el de alguna web de CAPTCHA convencional, mensajes de error clásicos de Chrome, Windows o Mac, o lo que sea. La idea es manipularte, hacerte creer que estás en un entorno que conoces para que bajes la guardia.
Cómo protegerte frente a este ataque
Si quieres evitar este ataque y que no te afecte, lo mejor es desconfiar de cualquier web que te pida abrir el terminal o la ventana Ejecutar de tu ordenador. Nada de pulsar Windows + R, esto es inmediatamente una alarma de que quiere que hagas algo que no deberías en tu equipo.
También es muy importante fijarte bien en las páginas que te piden hacer cosas, aunque tengan el aspecto de páginas que veas a diario, sistemas CAPTCHA aparentemente normales o mensajes de error que crees haber visto. Lee las instrucciones de lo que se te pide, intenta no actuar de forma automática.
Estos son dos consejos que los usuarios más experimentados se saben de memoria. Pero aquí, debes recordar que quizá tú o yo no seamos las víctimas objetivas de estos ataques, sino muchos otros usuarios no tan experimentados que navegan de forma descuidada y sin conocer el funcionamiento de algunos sistemas de Internet.
El ataque ClickFix se está popularizando con falsos CAPTCHA, por lo que también conviene recordar que estos sistemas de verificación suelen pedirte que selecciones imágenes de cierto tipo o resolver retos de agudeza musical. Pero nunca te van a pedir ejecutar comandos en el ordenador ni que hagas cosas fuera del navegador. Por lo tanto, siempre que te pidan algo así debes desconfiar de forma automática.
Fuente: www.xataka.com
