„Potwierdź, że nie jesteś robotem”. Uwaga na fałszywe CAPTCHA

Poniżej rozkładamy cały łańcuch na części, czyli: kto stoi za atakiem, co dokładnie dzieje się na ekranie ofiary, dlaczego ten prosty trik jest tak skuteczny, w którym miejscu „wpina się” telefon oraz gdzie atak można realnie przerwać.

Teza jest jedna – ClickFix nie łamie technologii, tylko obchodzi ją rękami użytkownika, dlatego najważniejszy punkt obrony leży nie w antywirusie, lecz w nawyku i w kilku ustawieniach systemu.

Czym jest ClickFix i kogo dotyczy?

ClickFix to atak socjotechniczny, w którym ofiara zostaje nakłoniona do samodzielnego uruchomienia polecenia na własnym komputerze. Nazwa opisuje mechanizm – rzekomy problem („fix”) rozwiązywany jednym „kliknięciem”. Pierwsze kampanie udokumentowano na początku marca 2024 roku, a technika szybko weszła do stałego repertuaru grup przestępczych. Skala jest przemysłowa – firma ESET odnotowała wzrost kampanii ClickFix i fałszywych CAPTCHA o ponad 500 procent rok do roku.

Atak nie jest wymierzony w konkretną firmę. Kampanie mają charakter masowy, więc ofiarą może zostać każdy – pracownik korporacji, senior, właściciel małej firmy. Znaczenie tego pokazał incydent opisany w szczegółowej analizie CERT Polska, w którym pojedynczy zainfekowany użytkownik otworzył napastnikowi drogę do sieci dużej polskiej organizacji.

Co dzieje się na ekranie, krok po kroku

Łańcuch jest krótki i właśnie w tym tkwi jego siła. Rozłóżmy go na etapy.

Etap pierwszy to strona-przynęta. Ofiara trafia na witrynę wyświetlającą panel do złudzenia przypominający weryfikację Cloudflare lub CAPTCHA. Często nie jest to strona przestępców, lecz legalny, przejęty serwis. W maju napastnicy zainfekowali w ten sposób ponad 700 witryn opartych na Ghost CMS, wstrzykując złośliwy JavaScript po wykradzeniu klucza API. Dzięki temu ofiara widzi zaufany adres, a rozwiązania ochronne nie zgłaszają alarmu.

Etap drugi to schowek. Kod JavaScript na stronie po cichu zapisuje w schowku ofiary gotowe polecenie. Użytkownik go nie pisze ani nawet nie widzi jego treści. Panel podszywa się najczęściej pod Cloudflare, a instrukcja każe wykonać „kilka prostych kroków”.

Etap trzeci to uruchomienie. Ofiara zostaje poproszona o naciśnięcie „Win+R”, wklejenie zawartości schowka i zatwierdzenie klawiszem „Enter”. Okno „Uruchom” wygląda niewinnie, znacznie mniej groźnie niż systemowy wiersz poleceń. Nowsze warianty kierują użytkownika do skrótu „Win+X” i Windows Terminala. Powód jest czysto operacyjny: w analizie blisko 3000 payloadów wykazano, że Terminal nie zostawia śladu w kluczu rejestru RunMRU, który analitycy zwykle sprawdzają w pierwszej kolejności.

Etap czwarty to pobranie ładunku. Wklejona komenda uruchamia najczęściej „cmd.exe” lub PowerShell, który pobiera właściwe złośliwe oprogramowanie z serwera napastnika. W polskim incydencie polecenie sprowadzało się do jednej linii z poleceniem „curl” przekazującym wynik do PowerShell. Konfiguracja bywa ukrywana pomysłowo, na przykład pobierana z inteligentnego kontraktu w sieci Polygon, co utrudnia zablokowanie kampanii.

Dlaczego to działa, skoro jest takie proste?

Skuteczność ClickFix nie wynika z zaawansowania technicznego, lecz z trzech nakładających się mechanizmów.

Po pierwsze, atak omija zabezpieczenia, bo nie wykorzystuje żadnej luki. Nie ma podejrzanego załącznika ani exploita, jest tylko użytkownik wpisujący polecenie z uprawnieniami swojego konta. Klasyczne sygnatury plikowe i analiza reputacyjna nie mają czego zablokować, co potwierdza również obszerna analiza Microsoftu.

Po drugie, atak żeruje na pośpiechu i rutynie. Komunikat „potwierdź, że nie jesteś robotem” jest oswojony do tego stopnia, że przechodzimy przez niego bezrefleksyjnie. Presja czasu robi resztę.

Po trzecie, przenosi ciężar wykonania na ofiarę. Moment uruchomienia następuje ręką użytkownika. To ta sama logika, którą widać w kampaniach wykorzystujących fałszywe ekrany aktualizacji Windows.

Gdzie w tym wszystkim jest telefon?

Najważniejsza obserwacja, a zarazem najsłabiej opisana, dotyczy tego, że fałszywa CAPTCHA rzadko jest końcem historii. Infekcja łączy się z oszustwem telefonicznym na dwa sposoby.

Pierwszy to fuzja, w której moduł telefoniczny jest wbudowany w samo złośliwe oprogramowanie. Pokazuje to malware „SCMBANKER”, który ma wbudowany moduł vishingu serwujący ofierze fałszywe nakładki z ostrzeżeniem bezpieczeństwa i numerem telefonu do „wsparcia”. Ofiara dzwoni sama, a po drugiej stronie czeka przestępca.

Drugi to następstwo, w którym telefon przychodzi po infekcji. Infostealer wykrada dane logowania, ciasteczka sesji i informacje o ofierze, a te zasilają rozmowę „z banku” albo „z działu IT”. Jak skuteczny bywa taki telefon, pokazał atak vishingowy na firmę Optimizely, w którym napastnicy podszyli się pod wewnętrzny dział IT i wyłudzili dane uwierzytelniające oraz kody do logowania dwuskładnikowego. Przed dokładnie tym mechanizmem ostrzega CERT Polska w materiale o fałszywych konsultantach.

W obu modelach telefon domyka to, czego nie da się ukraść samym kodem – zaufanie i drugi składnik uwierzytelnienia.

Co czeka na końcu?

Skutki nie ograniczają się do jednej stacji. W incydencie analizowanym przez CERT Polska łańcuch prowadził do oprogramowania „Latrodectus”, a następnie do rodziny „Supper”, którą zespół opisał jako często poprzedzającą atak ransomware. Innymi słowy, kliknięcie w fałszywą CAPTCHA przez jednego pracownika może skończyć się zaszyfrowaniem całej firmy.

Technika nie stoi też w miejscu. Objęła już systemy poza Windowsem, czego dowodem jest wariant „ClickLock” na macOS, wykryty w połowie 2026 roku i powiązany z infrastrukturą opartą na Telegramie. Kampanie coraz częściej sprzedawane są w modelu usługowym, z gotowymi szablonami CAPTCHA i rotacją domen.

Gdzie przerwać łańcuch?

Każdy etap ma swój punkt kontrolny. Obrona nie musi być kosztowna, wystarczy trafić we właściwe ogniwo.

• Ogniwo ludzkie (najważniejsze). Jedna zasada, wdrożona w świadomość zespołu: żadna prawdziwa weryfikacja „nie jestem robotem” nigdy nie każe otwierać okna Uruchom, Terminala ani wklejać poleceń. Jeśli strona o to prosi, to jest atak;
• Ogniwo systemowe. Warto ograniczyć uruchamianie PowerShell przez zwykłych użytkowników i monitorować nietypowe wywołania programu cmd.exe oraz polecenia curl łączące się z nieznanymi domenami. Pomocne jest też śledzenie wpisów w kluczu RunMRU i historii Windows Terminala.
• Ogniwo procesowe. Zgłoszenie od pracownika w stylu „strona kazała mi coś wkleić” powinno być traktowane jak incydent wysokiego priorytetu, a nie drobiazg. W reakcji zabezpiecza się historię poleceń, artefakty PowerShell, zaplanowane zadania i wpisy autostartu. Incydent można zgłosić bezpośrednio do odpowiedniego CSIRT-u - dla większości z nas będzie nim CERT Polska.
• Ogniwo telefoniczne. Obowiązuje zasada oddzwaniania. Nigdy nie potwierdzamy danych ani kodów w rozmowie przychodzącej, tylko rozłączamy się i dzwonimy na oficjalny numer instytucji.

Pamiętaj: CAPTCHA nie poprosi o terminal

ClickFix jest groźny właśnie dlatego, że jest prosty. Nie potrzebuje luki w systemie, kosztownego exploita ani zaawansowanej infrastruktury, potrzebuje tylko chwili naszej nieuwagi i jednego wklejonego polecenia. Cały łańcuch, od fałszywej CAPTCHA, przez schowek i okno Uruchom, aż po telefon od rzekomego konsultanta, opiera się na przeniesieniu ryzykownej czynności na ofiarę.

To zła wiadomość dla antywirusa i dobra dla nas – skoro atak zaczyna i kończy się na człowieku, to na człowieku można go też zatrzymać. Wystarczy jedno zdanie zapamiętane na zawsze: weryfikacja tożsamości nigdy nie wymaga uruchamiania poleceń.