ClickFix se expande entre usuarios de Windows y Mac mediante páginas que simulan verificaciones de seguridad. La técnica no distribuye directamente un archivo malicioso: convence a la víctima de que copie y pegue un comando en su propio sistema, con lo que es el propio usuario quien ejecuta la orden que abre la puerta a la infección.
Según la telemetría de ESET, las detecciones de este método crecieron un 108% entre la segunda mitad de 2025 y la primera de 2026.
PUBLICIDAD
Qué es ClickFix y cómo engaña a los usuarios para infectar sus equipos
ClickFix es una técnica de ingeniería social, no un malware en sí mismo. Se apoya en un hábito muy extendido: completar verificaciones de “no soy un robot” sin prestarles demasiada atención, con tal de avanzar rápido en la navegación.
El engaño comienza en webs legítimas que han sido comprometidas y que muestran una verificación falsa, en algunos casos con la apariencia de servicios reconocidos como Cloudflare. Al interactuar con esa pantalla, ciertas variantes copian automáticamente un comando al portapapeles, sin que el usuario tenga que seleccionar nada.
A continuación aparecen las instrucciones: abrir Ejecutar, PowerShell o Windows Terminal, pegar el contenido copiado y pulsar Enter. Ese gesto final resulta determinante, porque aunque el usuario no escribe el malware, sí pone en marcha el comando capaz de descargar y ejecutar los siguientes componentes de la infección.
PUBLICIDAD
Desde ese punto, ClickFix deja de tener protagonismo directo. Su función se limita a abrir la puerta de entrada, ya que el comando ejecutado puede derivar en distintos tipos de malware según la campaña en curso. El destino final de la infección depende de los operadores que estén detrás de cada operación, mientras que ClickFix actúa únicamente como método de acceso inicial.
El caso documentado por BlueVoyant con instaladores falsos de Microsoft Teams
Un caso analizado por BlueVoyant permite entender por qué esta fórmula resulta atractiva para los atacantes. Sus operadores habían distribuido previamente instaladores manipulados de Microsoft Teams a través de portales falsos de descarga, certificados obtenidos de manera fraudulenta y una rotación constante de dominios.
La estrategia cambió después de que Microsoft desarticulara, en mayo de 2026, la infraestructura de Forging Marauder, que suministraba esos certificados a los atacantes. BlueVoyant sostiene con alta confianza que el grupo pivotó de forma reactiva hacia ClickFix tras perder esa vía de suministro.
PUBLICIDAD
El nuevo esquema eliminó la necesidad de firmar código malicioso y amplió de forma considerable el universo de víctimas potenciales, que pasó de quienes buscaban específicamente instaladores de Teams a cualquier persona que visitara una web comprometida.
En la cadena de infección seguida por BlueVoyant, el comando ejecutado por la víctima instalaba un loader, establecía persistencia dentro de Windows y conectaba el equipo con infraestructura controlada por los atacantes, desde donde podían enviarse nuevas órdenes y componentes adicionales.
Cómo opera ClickFix en macOS y qué protecciones existen frente a esta amenaza
En los equipos de Apple, la lógica del engaño se mantiene, aunque cambia el recorrido técnico. Microsoft ha documentado una campaña que primero analiza el entorno del visitante y muestra el señuelo principalmente a quienes parecen navegar desde un Mac real.
PUBLICIDAD
En estos casos, las instrucciones llevan a abrir Terminal, pegar un comando y pulsar Entrar. Este flujo puede sortear parte del circuito habitual de confianza de macOS asociado a las aplicaciones descargadas, que incluye mecanismos como la cuarentena, la evaluación de firmas y la notarización.
El atacante no necesita superar esas verificaciones por la vía convencional si logra que sea la propia víctima quien ejecute directamente la orden en su terminal.
ClickFix, además, no depende de una única vía de ejecución. Microsoft ha identificado TerminalFix, una evolución de la técnica que dirige a las víctimas hacia Windows Terminal o PowerShell y que permite lanzar cadenas de comandos más complejas que las observadas en las primeras variantes.
PUBLICIDAD
Frente a este panorama, Apple incorporó en macOS 26.4 protecciones específicas contra comandos sospechosos pegados en Terminal, así como frente a scripts asociados con malware ya conocido.
La clave para no caer en este tipo de engaño está en reconocer dónde una verificación deja de comportarse como tal. Un CAPTCHA legítimo puede pedir marcar una casilla o identificar imágenes, pero nunca requiere abrir PowerShell, Windows Terminal, Ejecutar, Terminal o Script Editor para pegar allí un comando proporcionado por la propia página.
ClickFix funciona precisamente cuando esa frontera pasa desapercibida para el usuario, que termina siendo quien pone en marcha, sin saberlo, la cadena de infección.
PUBLICIDAD