Una nueva técnica de ingeniería social gana terreno entre los cibercriminales que operan en América Latina. Se trata de ClickFix, una táctica sigilosa y efectiva que engaña a los usuarios para que ejecuten malware directamente desde sus navegadores, sin sospecharlo. Detectada por la empresa de ciberseguridad ESET, esta técnica ya circula activamente en países como Chile, Perú, Argentina, Brasil, Colombia y México.
Cómo funciona el método ClickFix
ClickFix no se basa en archivos adjuntos ni en descargas tradicionales. Su objetivo es manipular al usuario a través de alertas falsas que simulan errores técnicos en el navegador. Estas advertencias emergen cuando la víctima visita un sitio web previamente comprometido por los atacantes.
El proceso inicia cuando los cibercriminales acceden a sitios legítimos utilizando credenciales robadas. Una vez dentro, instalan plugins maliciosos que inyectan código JavaScript en las páginas. Este código despliega ventanas emergentes que simulan errores como:
- Problemas con el micrófono en videollamadas.
- Inconvenientes al abrir documentos.
- Fallos en la visualización de páginas.
- Solicitudes falsas de verificación CAPTCHA.
Estas alertas suelen presentar un botón con textos como «Fix it» o «Arreglar el problema», que invitan a ejecutar acciones para “resolver” el supuesto error.
La trampa: de clic inocente a infección sigilosa
Cuando el usuario presiona el botón de corrección, inicia sin saberlo una cadena de comandos. Las instrucciones aparentan ser simples, pero llevan a la ejecución de scripts maliciosos:
- Hacer clic en el botón que copia el código.
- Presionar
[Win] + [R]para abrir la ventana de “Ejecutar”. - Presionar
[Ctrl] + [V]para pegar el código. - Presionar
[Enter].
Esta secuencia activa un script de PowerShell, que se ejecuta directamente en la memoria del sistema, sin dejar rastros en el disco duro. Así, el malware evita los sistemas tradicionales de detección y se instala de forma sigilosa. Principalmente, «ClickFix» está diseñado para afectar a sistemas Windows, ya que la ejecución de scripts de PowerShell es una parte central de la técnica. Sin embargo, si los comandos se podrían adaptan a otros entornos.
El malware distribuido incluye troyanos de acceso remoto (RATs) y infostealers como Vidar Stealer, DarkGate y Lumma Stealer. Estas amenazas roban información confidencial, como credenciales bancarias, datos de tarjetas de crédito y contraseñas almacenadas en el navegador.
Casos recientes en América Latina
La técnica ClickFix no es un fenómeno aislado. En los últimos meses, se han detectado múltiples campañas que emplean este método en la región:
- En Chile, un especialista descubrió un ataque dirigido a estudiantes de la Universidad Católica, con una falsa alerta técnica que llevaba a ejecutar código malicioso.
- En Perú, el sitio web del Fondo de Vivienda Policial fue comprometido, mostrando señales claras de esta campaña.
- También se identificaron ataques en Argentina, Brasil, Colombia y México, lo que confirma que ClickFix se está utilizando activamente en toda América Latina.
Variantes del ataque y plataformas afectadas
Aunque originalmente se detectaron estas campañas en navegadores de escritorio, ClickFix ya se ha adaptado a otras plataformas y contextos. En octubre de 2024, por ejemplo, se identificaron versiones de la técnica en páginas falsas de Google Meet, dirigidas tanto a usuarios de Windows como de macOS.
En marzo de 2025, una campaña conocida como ClearFake empleó falsos CAPTCHA y verificaciones de Cloudflare para distribuir Lumma Stealer y Vidar Stealer. Y en mayo del mismo año, se documentó un caso que utilizaba videos de TikTok generados por inteligencia artificial. Estos contenidos prometían funciones premium o desbloqueo de software, pero conducían a la instalación de infostealers como StealC.
Los atacantes también apuntan a usuarios interesados en juegos, lectores de PDF, navegadores Web3 y apps de mensajería, ampliando así el espectro de víctimas potenciales.
Por qué es tan efectiva esta técnica
ClickFix representa una amenaza difícil de detectar por varias razones:
- El malware se ejecuta en memoria, no como archivo.
- La acción de instalación depende de la víctima, no de un exploit técnico.
- Las alertas parecen legítimas y urgentes, lo que reduce la probabilidad de duda.
- Las páginas involucradas suplantan identidades de marcas confiables como Google Chrome, Facebook, Zoom y otros.
Este tipo de ingeniería social es especialmente peligroso porque se aprovecha de comportamientos cotidianos. En lugar de enviar archivos adjuntos sospechosos, los atacantes manipulan la interacción del usuario con el entorno digital que ya conoce.
Medidas para protegerse del ClickFix
Prevenir este tipo de ataque requiere una combinación de conciencia digital y herramientas de protección. Algunas medidas esenciales son:
- Educarse sobre técnicas de ingeniería social. Reconocer los patrones comunes ayuda a evitar caer en la trampa.
- Mantener siempre actualizado el software. Esto incluye navegadores, sistemas operativos y aplicaciones.
- Instalar soluciones antimalware con capacidades de detección avanzada.
- Activar el doble factor de autenticación en todas las cuentas.
- Desconfiar de alertas que invitan a ejecutar comandos, especialmente si aparecen en sitios web que no deberían mostrar ese tipo de mensajes.
Una amenaza en expansión
ClickFix es un ejemplo claro de cómo el cibercrimen evoluciona. En lugar de buscar vulnerabilidades técnicas, esta táctica apuesta por manipular el comportamiento humano. Con una simple secuencia de clics, los atacantes consiguen lo que antes requería complejas intrusiones.
La creciente adopción de esta técnica en América Latina indica que los cibercriminales reconocen su eficacia y buscan escalarla. Frente a esto, la educación del usuario se convierte en la primera línea de defensa. La prevención, la vigilancia y el uso de herramientas de seguridad confiables son claves para frenar la expansión del ClickFix y proteger la información personal y profesional de millones de usuarios.
