- Los CAPTCHA legítimos se limitan a pruebas visuales o auditivas sencillas dentro del navegador y jamás solicitan ejecutar comandos externos.
- Las estafas modernas utilizan ingeniería social para engañar al usuario y lograr que instale malware como Lumma Stealer o AsyncRAT.
- La detección temprana se basa en desconfiar de cualquier solicitud de descarga de archivos o uso de la consola del sistema durante una verificación.
Seguramente te ha pasado mil veces: estás navegando por internet y, de repente, aparece el típico recuadro de «No soy un robot» o te piden que selecciones todas las fotos donde salgan semáforos. Estas herramientas, conocidas como CAPTCHA, son piezas fundamentales de la seguridad web para evitar que los bots llenen todo de spam o creen cuentas falsas a lo loco.
El problema es que los ciberdelincuentes, que siempre están buscando la vuelta a todo, han empezado a usar imitaciones maliciosas de estas pruebas. Se aprovechan de que ya estamos acostumbrados a verlas y confiamos en ellas ciegamente para colarnos malware en el equipo sin que nos demos cuenta. Básicamente, convierten una medida de seguridad en un caballo de Troya para vulnerar nuestra privacidad.
¿Qué es exactamente un CAPTCHA y cómo debería funcionar?
Para los que no estén muy puestos en el tema, CAPTCHA es el acrónimo de una prueba de Turing automatizada diseñada para distinguir humanos de máquinas. Su objetivo es bloquear scripts y programas automatizados que no pueden resolver acertijos sencillos. Los más comunes son los visuales (letras distorsionadas o imágenes), los auditivos y el avanzado reCAPTCHA de Google, que analiza el comportamiento del ratón y la navegación en segundo plano para saber si eres una persona real.
Lo más importante que debes grabar a fuego es que un sistema de verificación auténtico solo ocurre dentro de la web. Te pedirá un clic, que resuelvas un puzzle o que escribas un código que ves en pantalla, pero jamás te obligará a salir del navegador para interactuar con las entrañas de tu sistema operativo.
La trampa de los CAPTCHA falsos y el método ClickFix
Los estafadores han perfeccionado el arte del engaño. Ahora no solo crean páginas que se parecen a las de marcas conocidas, sino que infectan sitios legítimos (especialmente aquellos basados en WordPress desactualizados) para inyectar sus comprobaciones truchas. Una de las tácticas más peligrosas es la llamada ClickFix.
En este escenario, el usuario ve un CAPTCHA que parece totalmente normal. Sin embargo, al intentar verificar su identidad, el sitio le lanza un mensaje diciendo que hay un error técnico o que debe realizar una verificación adicional. Aquí viene el truco: el sitio copia automáticamente un código malicioso en el portapapeles y le pide al usuario que pulse Win + R, Ctrl + V y Enter en Windows, o que use la Terminal en Mac.
Al hacer esto, el usuario está ejecutando manualmente un comando de PowerShell o mshta.exe. Esto es extremadamente peligroso porque el navegador no puede bloquear algo que el propio dueño del equipo decide ejecutar. Es ingeniería social pura: nos hacen creer que estamos arreglando un fallo cuando en realidad estamos abriendo la puerta de nuestra casa al atacante.
El peligro invisible: EtherHiding y el robo de datos
Para que estas estafas sean aún más difíciles de rastrear, algunos grupos como ClearFake utilizan una técnica llamada EtherHiding. En lugar de guardar el virus en el servidor de la web infectada, lo alojan en contratos inteligentes de la blockchain (como Binance Smart Chain). Como la blockchain es inmutable y descentralizada, los antivirus tradicionales y los administradores de sistemas tienen muy difícil borrar el código malicioso.
¿Y qué es lo que instalan una vez que muerdes el anzuelo? Principalmente infostealers como Lumma Stealer o Vidar Stealer. Estos bichos no hacen ruido; se dedican a rebuscar en tu navegador para robar cookies de sesión, contraseñas guardadas y, muy especialmente, acceder a tus monederos de criptomonedas. También pueden instalar troyanos de acceso remoto (RAT) como AsyncRAT o SecTopRAT, que permiten al hacker ver tu pantalla, registrar cada tecla que pulsas y moverse por la red de tu empresa si estás conectado al trabajo.
Señales claras para detectar un fraude
Si no quieres que te tomen el pelo, mantente alerta a estas señales. Primero, sospecha si el CAPTCHA aparece en una ventana emergente (pop-up) o en un dominio con un nombre rarísimo y lleno de números y letras sin sentido. Los sistemas reales suelen estar integrados orgánicamente en la página.
La señal definitiva es la solicitud de acciones externas. Si la web te pide descargar un archivo, instalar una extensión del navegador o ejecutar cualquier combinación de teclas fuera de la pestaña actual, huye de ahí inmediatamente. Ninguna empresa seria, ni Google ni Cloudflare, te pedirá que abras la consola de comandos para demostrar que eres humano.
¿Qué hacer si ya has ejecutado el comando?
Si te has dado cuenta tarde y ya has pegado el código, no entres en pánico, pero actúa rápido. Lo primero es desconectarte de internet (apaga el WiFi o quita el cable). Esto es vital porque el malware necesita comunicarse con el servidor del atacante para enviar tus datos; si cortas la conexión, limitas la exfiltración.
A continuación, sigue estos pasos estrictamente:
- No reinicies el equipo inmediatamente, ya que algunos virus se asientan mejor durante el arranque.
- Ejecuta un análisis antivirus completo y actualizado (escaneos offline si es posible).
- Limpia el navegador: borra caché, cookies y elimina cualquier extensión sospechosa que no hayas instalado tú.
- Desde otro dispositivo seguro, cambia las contraseñas de tus cuentas críticas (correo, banco, redes sociales).
- Cierra todas las sesiones activas en tus cuentas, ya que el robo de cookies permite al atacante entrar aunque cambies la clave.
Para evitar estos sustos, la mejor herramienta es la pausa. No te precipites cuando aparezca una verificación inesperada. Mantén siempre actualizado tu sistema operativo y el antivirus, y si usas un navegador moderno, activa todas las protecciones contra sitios peligrosos.
Si eres dueño de una web en WordPress, no te duermas con las actualizaciones. Mantén al día los plugins y temas, usa autenticación de dos factores (2FA) para el administrador y utiliza herramientas de monitoreo como Wordfence para detectar si alguien ha inyectado código raro en tus archivos. Recuerda que la superficie de ataque se reduce cuanto menos complementos innecesarios tengas instalados.