Ataques con CAPTCHA falsos: cómo el malware ClickFix explota la confianza de las personas y qué debe saber para protegerse

Entender el auge de los ataques de malware con CAPTCHA falsos

Los sistemas CAPTCHA —esos conocidos acertijos que piden identificar letras distorsionadas o seleccionar imágenes— son un pilar de la seguridad en línea. Están diseñados para distinguir a las personas de los bots y proteger los sitios web del correo no deseado, el uso automatizado abusivo y los intentos masivos de acceso con credenciales robadas. Sin embargo, a medida que estos sistemas se han vuelto omnipresentes, los ciberdelincuentes han encontrado formas de aprovechar la confianza de los usuarios en los CAPTCHA. Así ha surgido una nueva modalidad de ingeniería social muy eficaz: las campañas de malware con CAPTCHA falsos, que utilizan sobre todo un método llamado ClickFix.

Este artículo explica cómo funcionan los ataques con CAPTCHA falsos, los trucos técnicos y psicológicos que emplean, el malware que distribuyen —como Lumma Stealer— y las medidas prácticas que pueden tomar las personas y las organizaciones para protegerse.

¿Qué es un ataque con CAPTCHA falso?

En un ataque con CAPTCHA falso, los ciberdelincuentes crean una página web o una ventana emergente que imita de cerca sistemas CAPTCHA legítimos, como reCAPTCHA de Google o las pantallas de verificación de Cloudflare. Estas falsificaciones son tan convincentes que incluso los usuarios experimentados pueden no notar nada sospechoso. El ataque suele desarrollarse así:

• La víctima llega a un sitio web malicioso, a menudo mediante correos electrónicos de phishing, anuncios falsos o sitios legítimos comprometidos.
• El sitio muestra un CAPTCHA falso y pide al usuario que demuestre que no es un robot.
• Después de que el usuario interactúa con el CAPTCHA, recibe más instrucciones, como copiar y pegar un comando en el cuadro Ejecutar o en la terminal de su computadora.
• Al seguir estas instrucciones, se ejecuta código malicioso que infecta el dispositivo con malware.

Este método es especialmente insidioso porque aprovecha las acciones del propio usuario para eludir los controles de seguridad, lo que dificulta su detección y prevención.

ClickFix: la estrategia de ingeniería social detrás del ataque

El término ClickFix se refiere a una técnica de ingeniería social que engaña a los usuarios para que ejecuten comandos maliciosos por su cuenta. A diferencia del malware tradicional, que se basa en explotar vulnerabilidades de software o engañar a los usuarios para que descarguen archivos infectados, ClickFix los manipula para que ejecuten comandos que instalan malware, a menudo mediante pasos que parecen inofensivos.

Por ejemplo, un CAPTCHA falso puede indicar al usuario que:

• Presione la tecla Windows + R para abrir el cuadro Ejecutar.
• Pegue un comando proporcionado (a menudo un script de PowerShell o mshta.exe).
• Presione Enter para ejecutarlo.

Estos pasos parecen formar parte de un proceso normal de verificación, pero en realidad descargan y ejecutan malware como Lumma Stealer, AsyncRAT u otros troyanos que roban información.

Cómo se propagan los ataques con CAPTCHA falsos: ejemplos reales

Se han observado ataques con CAPTCHA falsos en diversos contextos y contra personas y organizaciones de todo el mundo. Entre las campañas más destacadas figuran:

• Phishing que suplanta a Booking.com: Los atacantes se hicieron pasar por el popular sitio de reservas hoteleras y enviaron correos de phishing que dirigían a los usuarios a una página falsa de Booking.com con un CAPTCHA fraudulento. Las víctimas que siguieron las instrucciones terminaron instalando malware que robó sus credenciales y datos personales.
• Anuncios maliciosos y manipulación de los resultados de búsqueda: Los ciberdelincuentes han utilizado técnicas de optimización para motores de búsqueda (SEO) y anuncios maliciosos para promocionar sitios falsos de descarga de programas, música o películas populares. Estos sitios muestran CAPTCHA falsos antes de infectar los dispositivos.
• Sitios legítimos comprometidos: Incluso sitios web de confianza pueden ser vulnerados para mostrar ventanas emergentes con CAPTCHA falsos, lo que hace que el ataque parezca más creíble.

Según la empresa de seguridad LAC, desde finales de 2024 se han detectado incidentes relacionados con ClickFix en los entornos de varios clientes, y en 2025 se registró un aumento notable. Los ataques no se limitan a Japón: también se han reportado en Estados Unidos, Europa y Asia, y han afectado a sectores como las telecomunicaciones, la salud, las finanzas y la hostelería.

¿Por qué son tan eficaces estos ataques?

Los ataques con CAPTCHA falsos explotan varios factores psicológicos y técnicos:

• Familiaridad y confianza: Los usuarios están acostumbrados a ver CAPTCHA y rara vez cuestionan su legitimidad.
• Desgaste por la rutina: La exposición frecuente a los CAPTCHA puede provocar «fatiga de autenticación» y hacer que los usuarios estén menos alerta.
• Ingeniería social: Las instrucciones paso a paso se presentan como necesarias para la verificación, lo que reduce las sospechas.
• Elusión de los controles de seguridad: Como es el usuario quien inicia el comando, las soluciones de seguridad para dispositivos pueden interpretar la acción como legítima, lo que dificulta su detección.

El malware detrás de la fachada: Lumma Stealer y otros

Uno de los programas maliciosos más comunes que se distribuyen mediante ataques con CAPTCHA falsos es Lumma Stealer, un malware que roba información y que ha ganado popularidad rápidamente entre los ciberdelincuentes desde su aparición en 2022. Lumma Stealer se vende en foros de la web oscura y canales de Telegram, a menudo como una oferta de malware como servicio (MaaS), lo que facilita su acceso a una amplia variedad de atacantes.

¿Qué hace Lumma Stealer?

Una vez instalado, Lumma Stealer puede:

• Recopilar contraseñas y cookies guardadas en el navegador.
• Robar credenciales de billeteras de criptomonedas (por ejemplo, MetaMask y Binance).
• Extraer datos de autenticación de dos factores (2FA) y extensiones del navegador.
• Recopilar datos del sistema y de las aplicaciones, incluidas las credenciales de acceso remoto.
• Exfiltrar archivos e información confidencial a servidores remotos controlados por los atacantes.

En estas campañas también se han detectado otras familias de malware, como AsyncRAT, Vidar Stealer, XWorm y diversos troyanos de acceso remoto (RAT). La cadena de infección también puede incluir scripts ofuscados, archivos de imagen (.png, .gif) con código oculto y cargas útiles distribuidas en varias etapas para evitar la detección.

Detalles técnicos: cómo funciona el ataque

Los investigadores de seguridad han documentado el siguiente proceso técnico:

• La página con el CAPTCHA falso se carga, a menudo desde un enlace de phishing o un anuncio malicioso.
• Después de completar el CAPTCHA, se pide al usuario que ejecute un comando (por ejemplo, mediante el cuadro Ejecutar de Windows o la terminal de macOS).
• Por lo general, el comando utiliza PowerShell o mshta.exe para descargar y ejecutar un script desde un servidor remoto.
• El script descarga la carga útil de malware (por ejemplo, un archivo ZIP que contiene Lumma Stealer), que luego se ejecuta en el equipo de la víctima.
• El malware comienza a exfiltrar datos, a menudo mediante conexiones HTTPS cifradas para eludir la supervisión de la red.

Algunas campañas han utilizado JavaScript ofuscado e integrado en archivos aparentemente inofensivos, como MP3 o PDF, para ocultar aún más el ataque.

Impacto mundial e incidentes destacados

Los ataques con CAPTCHA falsos han causado importantes pérdidas económicas y de datos en todo el mundo. Según Gen Digital (la empresa matriz de Norton y Avast), en 2024 los ataques de phishing y malware que recurrían a CAPTCHA falsos aumentaron más del 600 % en Japón, y se observaron tendencias similares a escala mundial. Las pérdidas económicas totales reportadas por estos ataques ascienden a cientos de millones de dólares.

Entre los sectores más afectados figuran:

• Telecomunicaciones – Objetivo de ataques dirigidos a datos de clientes e infraestructura.
• Salud – Ataques a portales médicos y datos de pacientes.
• Finanzas y banca – Robo de credenciales que da lugar a transacciones no autorizadas.
• Hostelería – Booking.com y plataformas similares se utilizan como señuelo.

Grupos de amenazas persistentes avanzadas (APT, por sus siglas en inglés), incluidos actores patrocinados por Estados de Corea del Norte, Irán y Rusia, también han adoptado ataques del tipo ClickFix para realizar actividades de espionaje y mantener el acceso a redes corporativas.

Cómo reconocer y prevenir los ataques con CAPTCHA falsos

Dada la sofisticación de estos ataques, son esenciales tanto las defensas técnicas como las conductuales. Esto es lo que debe tener en cuenta:

Señales de alerta: cómo detectar un CAPTCHA falso

• Instrucciones inusuales: Los CAPTCHA legítimos nunca le piden que ejecute comandos del sistema, abra el cuadro Ejecutar ni pegue código en la terminal.
• Solicitudes para descargar o instalar programas: Desconfíe de los CAPTCHA que le piden descargar archivos o extensiones del navegador.
• Ventanas emergentes inesperadas: Preste atención a los CAPTCHA que aparecen en sitios desconocidos o sospechosos, especialmente después de hacer clic en anuncios o enlaces de correos electrónicos no solicitados.
• Direcciones URL extrañas: Revise con atención la dirección del sitio web. Los CAPTCHA falsos suelen aparecer en dominios con errores ortográficos o que no guardan relación con el servicio esperado.

Buenas prácticas para las personas

• Nunca siga instrucciones de fuentes no confiables para ejecutar comandos. Si un CAPTCHA le pide abrir el cuadro Ejecutar o la terminal, cierre la página de inmediato.
• Verifique que el sitio web sea legítimo. Acceda a los sitios escribiendo directamente la URL, en lugar de hacer clic en enlaces de correos electrónicos o anuncios.
• Mantenga actualizados los programas y el sistema operativo. Los parches de seguridad pueden ayudar a prevenir la explotación de vulnerabilidades.
• Utilice programas de seguridad confiables. Active la protección en tiempo real y mantenga las definiciones actualizadas.
• Infórmese e informe a otras personas. La concienciación es la mejor defensa contra la ingeniería social.

Buenas prácticas para las organizaciones

• Implemente controles técnicos: Restrinja la posibilidad de que los usuarios sin privilegios administrativos ejecuten comandos de PowerShell o mshta.exe mediante la directiva de grupo o herramientas de gestión de dispositivos.
• Supervise la actividad sospechosa: Utilice soluciones de detección y respuesta en dispositivos (EDR) para detectar la ejecución inusual de comandos y el tráfico de red.
• Bloquee dominios y URL maliciosos conocidos: Mantenga actualizadas las listas de bloqueo y utilice soluciones de filtrado web.
• Exija la autenticación multifactor (MFA): Reduzca el impacto del robo de credenciales.
• Imparta periódicamente formación de concienciación sobre seguridad: Enseñe al personal a reconocer el phishing y las tácticas de ingeniería social.
• Prepare planes de respuesta a incidentes: Asegúrese de poder aislar rápidamente los dispositivos infectados e investigarlos.

Qué hacer si sospecha que su dispositivo está infectado

Si cree que ha sido víctima de un ataque con CAPTCHA falso:

• Desconéctese de la red de inmediato para evitar que se sigan exfiltrando datos.
• Contacte con el equipo de TI o de seguridad si se encuentra en un entorno organizacional.
• Realice un análisis completo en busca de malware con un programa de seguridad confiable.
• Cambie todas las contraseñas de las cuentas a las que haya accedido desde el dispositivo infectado, en especial las de servicios sensibles como la banca, el correo electrónico y el almacenamiento en la nube.
• Vigile sus cuentas para detectar actividad sospechosa y considere activar medidas de seguridad adicionales, como la autenticación multifactor (MFA).

Por qué los ataques con CAPTCHA falsos anuncian una nueva era del ciberdelito

Los ataques con CAPTCHA falsos, especialmente los que utilizan ClickFix, representan una evolución importante del ciberdelito. Al explotar la confianza de los usuarios en mecanismos de seguridad conocidos y recurrir a la ingeniería social, los atacantes pueden eludir muchas defensas tradicionales. Estos ataques son difíciles de detectar porque dependen de acciones iniciadas por el usuario, y el malware que distribuyen es cada vez más sofisticado y modular.

A medida que los ciberdelincuentes perfeccionan sus técnicas, la diferencia entre las experiencias legítimas y las maliciosas en línea se vuelve cada vez menos clara. Esta tendencia pone de relieve la importancia de combinar los controles técnicos con la formación y la vigilancia de los usuarios.

En resumen

• Los ataques con CAPTCHA falsos utilizan imitaciones convincentes de acertijos de seguridad para engañar a los usuarios y hacer que ejecuten malware en sus propios dispositivos.
• El método ClickFix manipula a los usuarios para que ejecuten comandos maliciosos y elude muchos controles de seguridad.
• Lumma Stealer y otros programas maliciosos similares pueden robar contraseñas, datos financieros y más, y provocar importantes pérdidas personales y organizacionales.
• Los ataques se están extendiendo por todo el mundo y afectan a personas y sectores diversos.
• Entre las señales de alerta figuran los CAPTCHA que piden ejecutar comandos del sistema o descargar archivos: los CAPTCHA legítimos nunca lo hacen.
• La prevención requiere combinar controles técnicos, programas de seguridad actualizados y formación de los usuarios.
• Si su dispositivo está infectado, desconéctelo de la red, realice un análisis en busca de malware, cambie las contraseñas y solicite ayuda profesional.
• Mantenerse alerta y desconfiar de instrucciones inesperadas en línea es la mejor defensa contra esta nueva ola de amenazas cibernéticas.