Los CAPTCHA falsos se están convirtiendo en una nueva forma de engañar a usuarios de Windows y macOS. El ataque imita las verificaciones habituales de “demuestra que eres humano”, pero en realidad busca que la propia víctima ejecute comandos maliciosos en su PC.
La técnica forma parte de ataques conocidos como ClickFix, basados en ingeniería social. En lugar de aprovechar una falla directamente, los atacantes convencen al usuario de copiar, pegar y ejecutar instrucciones en PowerShell, Símbolo del sistema o Terminal de macOS.
Estos CAPTCHA imitan verificaciones reales para engañar al usuario
El problema es que estas ventanas pueden parecer completamente normales. Algunas incluso imitan sistemas conocidos como Cloudflare, haciendo que la víctima piense que está completando una verificación legítima antes de acceder a una web. Ahí está la trampa, porque el CAPTCHA falso termina pidiendo acciones que una verificación real no necesitaría.
En Windows, el engaño puede llevar al usuario a abrir PowerShell o el Símbolo del sistema y ejecutar un comando copiado previamente. En macOS ocurre algo parecido mediante Terminal. El ataque depende de que la propia persona siga esas instrucciones, por lo que la ingeniería social es una parte clave de todo el proceso.
Estos CAPTCHA falsos no aparecen únicamente en páginas sospechosas. También pueden encontrarse en sitios legítimos comprometidos, lo que hace más difícil detectar el peligro a simple vista. Incluso usuarios acostumbrados a evitar archivos .exe dudosos podrían caer si confían en la página que están visitando.
El investigador de seguridad Kevin Beaumont planteó bloquear la opción de “Ejecutar” mediante políticas de grupo para determinados usuarios como una forma de reducir este tipo de ataques. La señal más clara sigue siendo el propio comportamiento de la página. Si un CAPTCHA pide abrir una consola, copiar comandos o ejecutar instrucciones manualmente, no funciona como una verificación normal y conviene cerrarlo.
