ESET alerta sobre una campaña que emplea ingeniería social e inteligencia artificial para engañar a los usuarios y ejecutar código malicioso en sus dispositivos.

Lo que parece una simple verificación de seguridad puede convertirse en la puerta de entrada a un ciberataque. La compañía de ciberseguridad ESET advierte sobre una nueva evolución de los falsos CAPTCHAs, que van mucho más allá del engaño visual: ahora inducen activamente a los usuarios a ejecutar comandos peligrosos que instalan malware en sus sistemas.

Ingeniería social + IA + herramientas de Windows = combinación peligrosa

La técnica no es nueva, pero sí más sofisticada. Estos ataques simulan páginas de verificación humana, como las que usamos a diario para demostrar que no somos bots. Sin embargo, en lugar de mostrar desafíos legítimos (como seleccionar imágenes), estos CAPTCHAs falsos instruyen al usuario para que:

• Pulse Windows + R (abrir cuadro de ejecución),
• Pegue un comando previamente copiado al portapapeles,
• Y lo ejecute presionando Enter.

Con este simple gesto, el atacante puede activar herramientas legítimas del sistema como PowerShell o mshta.exe para descargar software malicioso sin levantar sospechas.

ClickFix: la trampa que simula errores técnicos

Una variante reciente conocida como ClickFix muestra falsas ventanas de error, haciendo creer al usuario que hay un problema técnico que debe solucionar manualmente. En realidad, estas instrucciones están diseñadas para que el propio usuario instale el malware sin saberlo.

Infostealers, RATs y amenazas en expansión

El objetivo principal de estas campañas es robar información confidencial. Una vez comprometido el equipo, los atacantes pueden capturar:

• Contraseñas,
• Datos bancarios,
• Correos electrónicos,
• Capturas de pantalla,
• Y todo tipo de actividad mediante keylogging o control remoto.

ESET recuerda que durante 2024 los infostealers afectaron a más de 23 millones de personas y se robaron más de 2.000 millones de credenciales. Amenazas como Lumma Stealer y AsyncRAT han estado detrás de buena parte de estos ataques.

Inteligencia artificial al servicio del engaño

La IA generativa se ha convertido en aliada de los atacantes, permitiéndoles crear mensajes convincentes en varios idiomas. Además, ESET detecta cada vez más casos en los que el usuario se expone al riesgo sin necesidad de abrir un correo malicioso: basta con visitar una web legítima que haya sido comprometida.

Cómo protegerte: 6 consejos clave

1. Desconfía de cualquier CAPTCHA que te pida ejecutar comandos.
2. Evita software pirata y descargas no verificadas.
3. Mantén tu sistema y navegador siempre actualizados.
4. Instala soluciones de seguridad confiables.
5. Usa bloqueadores de anuncios para reducir exposición a scripts maliciosos.
6. Activa autenticación en dos pasos (MFA) siempre que sea posible.

¿Y si ya ejecutaste el comando?

1. Desconecta tu equipo de internet inmediatamente.
2. Realiza una copia de seguridad de tus archivos más importantes.
3. Analiza el sistema con herramientas antimalware actualizadas.
4. Restablece el equipo a valores de fábrica si puedes.
5. Cambia todas tus contraseñas por combinaciones únicas y fuertes.
6. Activa MFA para reforzar tu seguridad.

En un entorno digital donde lo familiar puede ser usado en tu contra, la atención al detalle es tu primera línea de defensa.