- Las detecciones de ClickFix crecieron un 108% en el último año, según ESET.
- La técnica se basa en un falso CAPTCHA que pide copiar y pegar un comando en la terminal.
- Se han visto campañas en Reddit con anuncios falsos de HBO Max que comprometían cuentas verificadas.
- Los atacantes han abandonado los certificados de firma para abrazar la ingeniería social pura.
La próxima vez que una web te pida demostrar que eres humano, piensa dos veces antes de seguir sus instrucciones al pie de la letra. Una técnica de ataque denominada ClickFix está ganando terreno con fuerza, aprovechando la prisa y el automatismo con el que solemos completar esos test de verificación. No se trata de un virus que se cuela solo, sino de un engaño que convierte al propio usuario en el ejecutor de la orden maliciosa.
Según datos de la telemetría de ESET, las detecciones de este método se han disparado un 108% entre la segunda mitad de 2025 y la primera de 2026. Es decir, cada vez más gente cae en la trampa, y los ciberdelincuentes perfeccionan sus campañas para que el anzuelo resulte más creíble. El crecimiento es tal que ya supera al phishing tradicional, al menos en términos de velocidad de adopción por parte de los atacantes.
¿Cómo funciona el engaño?
El ataque comienza en una web legítima que ha sido comprometida, o en un anuncio malicioso que imita la apariencia de servicios conocidos como Cloudflare. Al hacer clic en la supuesta verificación, la página copia automáticamente un comando al portapapeles y muestra instrucciones: abrir Ejecutar, PowerShell, Windows Terminal o la Terminal de macOS, pegar el contenido y pulsar Enter. Ese gesto aparentemente inofensivo es el que desencadena la infección. El usuario no está descargando un archivo sospechoso, sino ejecutando directamente el código que descargará e instalará el malware.
Una vez completado el paso, ClickFix deja de ser el protagonista. La técnica sirve solo como puerta de entrada, y lo que viene después depende del grupo atacante. Se han documentado casos donde el comando instala un loader, establece persistencia en el sistema y conecta el equipo con una infraestructura controlada por los delincuentes para recibir nuevas órdenes. En otros escenarios, se utilizan ‘infostealers’ para robar contraseñas o carteras de criptomonedas.
El caso de HBO Max en Reddit
Uno de los ejemplos más recientes y llamativos lo protagonizó HBO Max. Investigadores de Hudson Rock descubrieron que la cuenta oficial de HBO Max en Reddit fue comprometida para publicar 108 anuncios falsos en apenas 48 horas. Esos anuncios enlazaban a una página que imitaba a la plataforma de streaming, e invitaban a los usuarios a copiar un código y pegarlo en el símbolo del sistema. La oferta era tentadora: una supuesta app nativa para macOS con tres meses gratis. El usuario, confiando en la legitimidad de la cuenta verificada, seguía las instrucciones sin sospechar.
La campaña se enmarca en una operación mayor bautizada como ‘PasteSwitch’, y no se limitó a la plataforma de streaming. Los atacantes también usaron la cuenta para promocionar herramientas de IA y limpiadores de disco. Reddit confirmó que bloqueó la cuenta y retiró los anuncios, pero aún se desconoce cuántas personas fueron afectadas. Warner Bros. Discovery, propietaria de HBO, no ha hecho declaraciones al respecto.
De los certificados falsos a la ingeniería social
El auge de ClickFix también responde a un cambio en las estrategias de los ciberdelincuentes. BlueVoyant, firma de ciberseguridad, ha seguido la pista de una campaña que previamente distribuía instaladores manipulados de Microsoft Teams mediante portales falsos y certificados fraudulentos. Después de que Microsoft desarticulara en mayo de 2026 la infraestructura de Forging Marauder, que suministraba esos certificados, los atacantes pivotaron hacia ClickFix, eliminando la necesidad de firmar código malicioso. Eso amplió su público potencial: ya no tienen que engañar solo a quien busca un programa concreto, sino a cualquier visitante de una web comprometida.
Microsoft también ha detectado una variante llamada TerminalFix, que dirige a las víctimas hacia Windows Terminal o PowerShell para lanzar cadenas de comandos más complejas. Además, se ha observado el uso de documentos públicos de Google Sheets como parte de esta técnica, lo que demuestra una notable capacidad de adaptación.
La amenaza también llega a macOS
Los usuarios de Mac no están exentos de este peligro. Microsoft ha documentado campañas que analizan el entorno del visitante y muestran el señuelo únicamente a quienes parecen navegar desde un Mac real. El flujo de ataque lleva a abrir Terminal, pegar un comando y pulsar Enter, lo que puede eludir parte de las protecciones de macOS, como la cuarentena, la evaluación de firmas o la notarización. Apple ha respondido con protecciones específicas en macOS 26.4 que bloquean comandos sospechosos pegados en Terminal, pero sigue siendo crucial que el usuario no llegue a ese punto.
Cómo protegerte de ClickFix
La clave para no caer en la trampa está en reconocer cuándo una verificación es legítima. Un CAPTCHA real nunca te pedirá que abras una terminal y pegues un comando. Si ves instrucciones como ‘copia y pega esto en PowerShell’ o ‘abre Ejecutar y pega lo que has copiado’, sal de la página inmediatamente. Además, mantén actualizado tu antivirus y desconfía de ofertas demasiado atractivas en redes sociales, aunque provengan de cuentas verificadas.
La fatiga digital juega en contra de los usuarios. Estamos tan acostumbrados a completar verificaciones y aceptar ventanas emergentes que a veces no nos detenemos a pensar. La próxima vez que una web te pida ejecutar un comando, recuerda: nadie necesita que demuestres que eres humano con un código pegado en una terminal. Detente, respira y cierra la página. Es la mejor defensa frente a esta amenaza en constante crecimiento.