En un contexto digital cada vez más complejo, donde los ciberataques evolucionan constantemente, ESET lanza una advertencia urgente: los CAPTCHAs falsos se están convirtiendo en una peligrosa herramienta para distribuir malware. Estas supuestas verificaciones de seguridad, que en teoría deberían bloquear a los bots, están siendo manipuladas para infectar computadoras y teléfonos móviles con software malicioso. Y lo más preocupante es que muchos usuarios caen en la trampa sin siquiera darse cuenta.
CAPTCHAs falsos: la amenaza detrás de un simple clic
Los CAPTCHAs son comúnmente utilizados para diferenciar entre humanos y bots. Sin embargo, los ciberdelincuentes los están imitando con gran precisión para ejecutar ataques maliciosos. Según ESET, cerca de 40% del tráfico generado por bots es considerado malicioso, y los falsos CAPTCHAs son un recurso eficaz para que ese tráfico logre su objetivo: vulnerar sistemas, secuestrar cuentas y robar información personal.
El engaño aprovecha la confianza que los usuarios depositan en este tipo de validaciones. La rutina de hacer clic sin pensar, la urgencia por acceder al contenido y la familiaridad con los procesos de verificación online son factores que juegan en contra de los usuarios. Es justo en esa prisa donde se comete el error fatal.
Cómo funciona el engaño
Al encontrarse con un CAPTCHA falso, la víctima puede recibir instrucciones inusuales como presionar la tecla Windows + R, pegar comandos desde el portapapeles o simplemente hacer clic para “verificar que es humano”. Al hacerlo, en realidad ejecuta comandos que activan herramientas legítimas de Windows, como PowerShell o mshta.exe. Estas herramientas descargan archivos desde servidores externos y comprometen el dispositivo.
Uno de los objetivos más frecuentes es instalar un infostealer, un malware que roba datos sensibles como contraseñas, correos, contactos, información bancaria y más. Este tipo de amenaza se dirige especialmente a navegadores web, clientes de correo electrónico, aplicaciones móviles y criptobilleteras. También puede capturar pantallas, registrar las pulsaciones del teclado y realizar otras formas de espionaje silencioso.
Camilo Gutiérrez Amaya, jefe del Laboratorio de Investigación de ESET Latinoamérica, advierte que el peligro no se limita a los infostealers. Algunos CAPTCHAs falsos también instalan troyanos de acceso remoto (RATs), como AsyncRAT, que estuvo presente en 4% de los incidentes cibernéticos registrados en 2024. Esta clase de malware permite a los atacantes tomar el control total del equipo infectado.
La inteligencia artificial escala los ataques
El uso de inteligencia artificial también está facilitando la propagación de esta amenaza. Las herramientas de IA generativa permiten a los atacantes redactar mensajes de phishing más creíbles, en múltiples idiomas y con una calidad casi perfecta. Esto los vuelve más difíciles de detectar por los filtros tradicionales y más efectivos para engañar a las víctimas.
Además, el malware no siempre llega desde fuentes sospechosas. Algunos sitios web legítimos comprometidos pueden incluir anuncios o contenidos infectados sin que el propietario del sitio lo sepa. En esos casos, basta con visitar la página para que el malware se instale, sin necesidad de que el usuario haga clic en nada.
Un problema que ya afecta a millones
Los números reflejan la gravedad de la situación. Según datos de ESET, en 2024 hubo al menos 23 millones de víctimas de infostealers, mayoritariamente en sistemas Windows. Solo un programa malicioso, Lumma Stealer, comprometió aproximadamente 10 millones de dispositivos antes de ser neutralizado en una operación internacional en la que participó también ESET. Este malware funcionaba bajo el modelo de “malware como servicio” (MaaS), lo que facilitaba su distribución a gran escala.
Cómo identificar un CAPTCHA falso
Aunque muchos de estos CAPTCHAs fraudulentos imitan a la perfección el aspecto de los legítimos, existen señales de alerta que los usuarios deben tener en cuenta:
- Solicitudes inusuales, como ejecutar comandos o abrir ventanas del sistema operativo.
- Presencia en sitios que normalmente no requieren verificación.
- Aparición repentina sin un contexto claro, como al hacer clic en un enlace de un correo o mensaje sospechoso.
- Ausencia de las tareas típicas de un CAPTCHA, como seleccionar imágenes o escribir texto distorsionado.
Estar atentos a estos detalles puede marcar la diferencia entre mantener un dispositivo seguro o caer en manos de ciberdelincuentes.
Recomendaciones para protegerse
ESET sugiere tomar medidas concretas para reducir el riesgo de infección a través de estos engaños. Entre ellas destacan:
- Desconfiar de CAPTCHAs que piden ejecutar comandos. Ningún sitio legítimo debería solicitarlo.
- Actualizar regularmente el sistema operativo y el navegador, para cerrar posibles vulnerabilidades.
- Utilizar software de seguridad confiable y actualizado. Las soluciones profesionales pueden bloquear el comportamiento sospechoso incluso antes de que se manifieste.
- Evitar la descarga de software pirata, que a menudo sirve como canal de distribución para estos ataques.
- Instalar bloqueadores de anuncios, que pueden prevenir la carga de contenido malicioso en sitios web.
- Activar la autenticación multifactor (MFA), lo que agrega una capa de protección adicional en caso de que las credenciales sean robadas.
Qué hacer si se ha caído en la trampa
Caer en un engaño de este tipo no significa que todo esté perdido, pero es importante actuar con rapidez:
- Ejecutar un análisis completo del sistema con un antivirus confiable.
- Desconectar el dispositivo de Internet para limitar la propagación de la amenaza.
- Hacer copias de seguridad de los archivos importantes.
- Restaurar el equipo a su estado de fábrica, si es posible.
- Cambiar todas las contraseñas, usando combinaciones fuertes y únicas.
- Activar la autenticación de doble factor en todas las cuentas.
Estos pasos pueden ayudar a contener los daños y evitar que la situación se agrave.
Estar alerta es clave
La seguridad digital no depende solo de herramientas tecnológicas. La conciencia y la atención al detalle son igual de importantes. Como señala Camilo Gutiérrez Amaya, “caer en la trampa de un CAPTCHA falso no es el fin del mundo, pero sí una llamada de atención para mantenerse alerta y navegar con responsabilidad”.
En un mundo donde las amenazas digitales se camuflan como elementos cotidianos, tomarse unos segundos para verificar una ventana de seguridad puede marcar la diferencia entre la protección y la exposición total.
