28 de julio de 2026

ClickFix: el CAPTCHA falso que hace que te infectes tú mismo

Cómo funciona el timo del CAPTCHA falso

El recorrido empieza en un correo de phishing (uno de esos que se hacen pasar por una empresa conocida), en un anuncio malicioso o en una web legítima que han hackeado. Da igual la puerta de entrada, acabas en una página que muestra una verificación de humanidad o un error del navegador con pinta de ser real. Los señuelos más repetidos imitan el reCAPTCHA de Google y el Turnstile de Cloudflare, esa casilla azul que aparece en miles de webs.

Cuando pulsas el botón de verificar, un pequeño programa que corre dentro de la página copia una orden en tu portapapeles sin que lo veas. El portapapeles es la memoria temporal donde se guarda lo que copias con Ctrl+C, y aquí se llena solo. Después llegan las instrucciones: pulsa Windows + R, pega con Ctrl+V y dale a Enter.

Windows + R abre la ventana Ejecutar, un cuadro pequeño desde el que se lanzan órdenes directas al sistema. Microsoft señala que los atacantes cuentan justo con que la mayoría de la gente no la ha abierto nunca y no sabe lo que está lanzando. En Mac el guion es idéntico con la aplicación Terminal.

El texto que pegas suele venir camuflado con una coletilla que simula un identificador de verificación, para que parezca un código inofensivo. Y la página que te lo pide puede mostrar el candado del navegador sin ningún problema, porque un certificado SSL cifra la conexión entre tu equipo y la web, pero no dice nada sobre si el contenido de esa web es de fiar.

Un CAPTCHA de verdad se resuelve dentro del navegador. Ninguno te pide abrir una ventana del sistema ni pegar nada.

Por qué está funcionando tan bien

Microsoft Threat Intelligence lleva desde 2024 siguiendo la técnica y calcula que las campañas alcanzan a miles de equipos al día en todo el mundo. ESET registró un 108 % más de detecciones entre el segundo semestre de 2025 y el primero de 2026, según su informe de amenazas.

La eficacia viene de que no hay casi nada que bloquear. En un ataque corriente se descarga un fichero y el antivirus tiene algo que analizar. Aquí no se descarga nada, la orden se ejecuta desde una ventana legítima de Windows y la lanza el propio usuario. Buena parte de esas cargas ni siquiera llegan a escribirse en el disco duro, se montan directamente en memoria.

También se ha vuelto barato. Microsoft ha localizado kits de ClickFix a la venta en foros por entre 200 y 1.500 dólares al mes, con plantillas listas que imitan a Google Meet o a Cloudflare y con el idioma configurable, español incluido. Lo que llega después va desde el robo de las contraseñas guardadas en el navegador y de las cookies que mantienen tus sesiones abiertas hasta programas de control remoto del equipo.

Ningún antivirus bloquea un gesto que hace el usuario a mano en una ventana legítima del sistema.

Tu web puede ser el cebo

El otro lado del ataque afecta a quien tiene web propia. Una de las vías de entrada más usadas son las webs legítimas comprometidas, y WordPress se lleva la peor parte. Microsoft documentó cómo un grupo cambió en marzo de 2025 el correo por el asalto a webs ajenas, probablemente aprovechando fallos de WordPress, para servir el señuelo desde ellas.

Rapid7 detectó una campaña masiva con ese mismo patrón: webs de WordPress perfectamente normales a las que se les inyecta un falso CAPTCHA de Cloudflare que se come la pantalla. El visitante alcanza a ver un instante la página real antes de que aparezca la superposición. El dueño de la web no nota nada raro, entre otras cosas porque el señuelo no se muestra a todo el mundo ni en todas las visitas.

Tu web sigue funcionando y sigue vendiendo mientras infecta a la gente que confía en ti. Cuando el navegador o Google la marcan como peligrosa, el tráfico se desploma de un día para otro y recuperarlo lleva semanas. Si lo que tienes es una tienda online, el golpe se nota directamente en el carrito.

La defensa lleva años siendo la misma. WordPress, plugins y temas actualizados, contraseñas fuertes, copias de seguridad y un alojamiento web que te dé margen para restaurar cuando algo sale mal. La mayoría de estas infecciones entran por un plugin con un fallo publicado meses antes que nadie llegó a parchear. Si no eres tú quien mantiene la web, conviene tener claro quién se encarga de esta parte.

Cómo detectarlo antes de pegar nada

La señal definitiva es siempre la misma, ninguna verificación legítima te saca del navegador. Ni Google, ni Cloudflare, ni tu banco, ni Microsoft te van a pedir que abras una ventana del sistema para demostrar que eres una persona. En cuanto veas Windows + R, Terminal o PowerShell dentro de unas instrucciones, cierra la pestaña.

Hay más pistas. El texto que te mandan pegar es larguísimo y termina en un supuesto identificador de verificación. El aviso aparece encima de una web que ya conocías, como si algo hubiera fallado justo al entrar. Y si has pulsado el botón y tienes dudas, pega el contenido del portapapeles en el Bloc de notas: ahí ves lo que de verdad te han copiado, sin ejecutarlo.

Si ya has lanzado el comando, actúa deprisa. Desconecta el equipo de la red para cortar la comunicación, cambia las contraseñas desde otro dispositivo empezando por las del correo, pasa un análisis completo con un antivirus actualizado, activa la verificación en dos pasos donde puedas y vigila los movimientos bancarios de los días siguientes. Las contraseñas guardadas en el navegador y las sesiones abiertas son lo primero que se llevan.

La regla cabe en una línea y no caduca: si una verificación te pide salir del navegador, no es una verificación. Cierra la pestaña y sigue a lo tuyo.

Comentarios