No hace mucho tiempo que los ataques de ClickFix eran considerados exóticos. Ahora la técnica se ha vuelto generalizada a medida que los atacantes aprovechan su simplicidad y eficacia para infectar a usuarios de PC y Mac por igual.

Todo lo que se requiere es un sitio web comprometido —una tarea bastante sencilla—, una superposición de CAPTCHA falso y la inclusión de un único comando de terminal. Tantos visitantes caen en la trampa de pegar y ejecutar el comando que casi todos los distribuidores de malware han adoptado la técnica. Incluso los grupos de piratería respaldados por el Kremlin se han sumado.

"Reddit se está convirtiendo en una publicación tras otra de personas cuyo ordenador se ha infectado a través de ClickFix", observó el jueves el investigador independiente Kevin Beaumont. "Sitios web legítimos en todas partes están siendo pirateados para mostrar los falsos avisos de captcha."

¿Cuántos de nosotros empeoramos las cosas? Los usuarios de Internet más experimentados —un número considerable de los que leen este sitio— se apresuran a descartar el ataque. Por lo general, culpan a las personas que caen en las estafas y se maravillan de su credulidad y falta de atención.

La realidad es que para los usuarios más ocasionales, usar ordenadores e Internet se ha vuelto tan difícil —pensemos en anuncios imposibles de cerrar, CAPTCHAs con una serie interminable de imágenes para analizar y interfaces en constante cambio que ocultan las funciones que buscan— que se han vuelto insensibilizados a instrucciones que parecen ridículas y pesadas.

Los atacantes de ClickFix están capitalizando este cansancio. Por lo general, los ataques comienzan con una simple imagen de CAPTCHA, a menudo haciéndose pasar por uno de Cloudflare.

Después de interactuar con el cuadro, el usuario ve una línea de texto, a menudo oscurecida de manera que oculta cualquier comando malicioso. Luego se le indica al usuario que copie el texto y lo pegue en la terminal de Windows Run, PowerShell o macOS y haga clic en Intro.

Las instrucciones provienen de sitios web que la gente ha utilizado durante años. Las indicaciones no parecen más sospechosas que las cosas que se les ha requerido hacer durante una década.

¿Por qué alguien sin un firme conocimiento de la seguridad informática tendría alguna razón para dudar? Para las personas detrás de los ataques, ClickFix les facilita mucho el trabajo.

Una forma anterior en la que los responsables de instalar malware, rastreados como Lorem Ipsum, requería una infraestructura que consumía muchos recursos, según dijo recientemente la firma de seguridad BlueVoyant, incluyendo portales de descarga manipulados por SEO y malvertising, certificados de firma confiables de Microsoft y dominios rotados continuamente para entregar paquetes de instaladores de Microsoft.

"El giro hacia ClickFix a finales de mayo de 2026 elimina por completo el requisito de firma de código, sustituyendo la legitimidad de un instalador firmado válidamente por una forma diferente de legitimidad: un usuario que ejecuta voluntariamente el comando malicioso en su propia terminal", dijo BlueVoyant.

"Si bien el modelo ClickFix amplía el grupo de víctimas desde los usuarios que buscan específicamente Microsoft Teams hasta cualquier persona que navegue por un sitio web comprometido..." La situación para los usuarios de macOS no es mejor.

Tanto la firma de seguridad para Mac Jamf como un investigador han documentado variantes de macOS de ClickFix que pueden eludir las protecciones de Gatekeeper. Los atacantes de ClickFix siguen encontrando nuevas formas de utilizar los servicios públicos, incluidos documentos de Google Sheets publicados públicamente, según Cisco Talos.

Otros atacantes, incluido Sandworm patrocinado por el estado ruso, alojan su infraestructura de control en contratos inteligentes basados en blockchain. La firma de seguridad Netskope descubrió recientemente otra campaña que utilizaba el mismo enfoque.

La compañía de seguridad contó 5.400 sitios que emitían señales hacia ella, una indicación del alcance y la magnitud de esa campaña. Y a medida que los fabricantes de sistemas operativos y los defensores construyen nuevas defensas, los atacantes siguen encontrando formas documentadas de eludirlas.

El resultado de todo esto es que ClickFix es un medio altamente efectivo y eficiente para propagar todo tipo de malware. No va a desaparecer, y culpar o avergonzar a las víctimas solo empeora el problema.

Existen un buen número de complementos, productos independientes y defensas integradas diseñadas para frenar el éxito de los ataques de ClickFix. Por ejemplo, BlockBlock, el software que supervisa los Mac en busca de procesos que buscan instalarse permanentemente, puede bloquear los ataques de ClickFix tan pronto como el usuario presiona las teclas ⌘+V. Ublock se ha actualizado para hacer algo similar.

Más allá de esas soluciones, aquellos de nosotros con más capacitación en seguridad deberíamos generar conciencia con nuestros vecinos, familiares y amigos menos experimentados. La adopción masiva de ClickFix demuestra su éxito, y no va a desaparecer pronto.