Cuidado al verificar que no eres un robot: estafas con CAPTCHA falso dan control de PC a extraños

Una simple casilla con el mensaje “No soy un robot” puede ocultar una trampa si, después del clic, exige abrir herramientas del PC, instalar programas o seguir combinaciones de teclas.

Las estafas con CAPTCHA falso buscan que la propia víctima ejecute acciones que permiten a extraños tomar el control de su computadora y acceder a contraseñas.

ESET advirtió sobre estas maniobras, que imitan verificaciones conocidas para generar confianza. El engaño aprovecha un hábito extendido: muchas personas completan CAPTCHA a diario y pueden seguir indicaciones fuera de lo común sin detenerse a revisar qué están autorizando.

Qué alertas permiten reconocer un CAPTCHA falso

Un CAPTCHA legítimo debe resolverse dentro del navegador. Puede pedir seleccionar imágenes, identificar objetos, escribir caracteres distorsionados o marcar una casilla de verificación. Algunas versiones incluso operan en segundo plano y no requieren ninguna intervención adicional.

La alerta aparece cuando la página solicita abrir Ejecutar, PowerShell, Terminal o el Símbolo del sistema. Conviene cerrar el sitio si pide descargar un archivo, instalar una extensión del navegador, habilitar notificaciones o copiar y pegar instrucciones.

Los expertos advierten que un CAPTCHA no necesita acceso a las herramientas internas del dispositivo para confirmar que hay una persona frente a la pantalla.

Cómo funciona el engaño conocido como ClickFix

Una modalidad frecuente recibe el nombre de ClickFix. En estos casos, una página muestra un supuesto CAPTCHA o un aviso que informa de un problema inexistente en la computadora. Luego, propone una “solución” que requiere abrir una función del sistema y pegar un comando.

El sitio puede copiar ese código al portapapeles sin que la persona lo advierta. Después, las instrucciones indican qué teclas presionar y dónde pegar el contenido. Si el comando se ejecuta, puede instalar programas diseñados para robar información o un troyano de acceso remoto, una herramienta que da a un atacante control sobre el dispositivo.

Por qué esta modalidad de estafa puede ser muy convincente

Los CAPTCHA forman parte de la navegación en internet desde hace más de dos décadas. Su objetivo es diferenciar a una persona de un programa automatizado que intenta acceder a un sitio, enviar formularios o realizar acciones repetitivas.

Google reCAPTCHA, hCaptcha y Cloudflare Turnstile son algunos de los servicios que ofrecen este tipo de controles, así que esa familiaridad explica la eficacia de la estafa.

La apariencia de una ventana falsa puede ser similar a la de un sistema de verificación real, pero el riesgo aparece en el paso posterior. Si una pantalla de seguridad propone salir del navegador, instalar algo o modificar ajustes, hay que interrumpir el proceso y cerrar la página.

Cómo prevenir ejecutar CAPTCHA falso

La dirección del sitio ofrece una primera pista. Es clave observar el nombre de dominio completo para detectar faltas de ortografía, letras cambiadas o direcciones que imitan a empresas y plataformas conocidas.

Asimismo, es útil verificar si el CAPTCHA está integrado en la página o si aparece en una ventana emergente aislada. Los controles legítimos suelen formar parte del formulario o del acceso al sitio.

Pasar el cursor sobre un enlace o una casilla puede mostrar el destino al que dirige. La presencia de HTTPS protege la comunicación frente a interceptaciones, pero no confirma por sí sola que la página sea auténtica.

Qué hacer si se copiaron instrucciones, pero no se ejecutaron en el PC

Si se copió un comando al portapapeles, pero todavía no se presionó Intro ni se completó la instrucción, la pauta es no ejecutarlo. Debe cerrarse cualquier cuadro de diálogo del sistema que haya quedado abierto y reemplazarse el contenido del portapapeles con un texto inofensivo, como una frase cualquiera.

Después, conviene realizar un análisis de seguridad con la herramienta de protección instalada en el dispositivo. Es aconsejable revisar las descargas recientes y las extensiones del navegador para eliminar elementos desconocidos.