Los ataques conocidos como ClickFix están ganando visibilidad al engañar a usuarios de Mac y Windows para que ejecuten por sí mismos instrucciones maliciosas. TechCrunch informó de una campaña reciente ligada a anuncios falsos de HBO Max en Reddit, en la que las víctimas eran dirigidas a una página que simulaba resolver un problema técnico, pero terminaba llevándolas a comprometer su equipo.
La técnica es efectiva porque no siempre depende de explotar una vulnerabilidad sofisticada. En lugar de romper una defensa técnica, manipula al usuario para que copie y pegue un comando, ejecute una consola o conceda permisos que el sistema normalmente bloquearía. ClickFix convierte una supuesta solución rápida en el paso que abre la puerta al atacante.
Este tipo de campaña encaja con una tendencia más amplia en ciberseguridad: los atacantes combinan ingeniería social, anuncios maliciosos y páginas con apariencia legítima para saltarse controles tradicionales. Un navegador actualizado y un antivirus pueden ayudar, pero no siempre detienen una acción voluntaria del usuario cuando la página consigue convencerlo de que está arreglando algo.
El uso de marcas conocidas aumenta la tasa de éxito. Un falso aviso relacionado con HBO Max, una actualización de navegador o una herramienta de productividad puede resultar creíble si aparece después de hacer clic en un anuncio aparentemente normal. La víctima no siente que esté instalando malware, sino que está siguiendo instrucciones técnicas para recuperar acceso a un servicio.
Para empresas, el riesgo es claro. Muchos empleados trabajan con portátiles Mac y Windows, usan herramientas SaaS y se mueven entre enlaces de correo, buscadores, redes sociales y plataformas internas. Si uno de ellos ejecuta un comando malicioso con permisos suficientes, el atacante puede obtener credenciales, instalar software de control remoto o moverse hacia datos corporativos. La formación de seguridad debe explicar comportamientos concretos, no solo repetir que no se haga clic en enlaces sospechosos.
Las medidas básicas siguen siendo importantes: restringir permisos de administrador, controlar scripts, supervisar actividad inusual, filtrar anuncios maliciosos y usar navegación aislada en puestos sensibles. También ayuda bloquear la ejecución de comandos copiados desde páginas web cuando no forman parte de flujos aprobados. En equipos corporativos, estas políticas pueden marcar la diferencia entre un intento fallido y una intrusión.
El nombre ClickFix resume bien el engaño. La promesa de arreglar algo con un clic o un comando rápido aprovecha la impaciencia del usuario. Las páginas fraudulentas suelen mezclar lenguaje técnico con urgencia: error de reproducción, verificación pendiente, actualización necesaria o sesión bloqueada. Cuanto más convincente es el contexto, menos tiempo dedica la víctima a pensar.
La lección para usuarios y equipos de TI es sencilla: ningún servicio serio debería pedir copiar comandos desconocidos desde una página web para poder ver un vídeo, iniciar sesión o resolver un captcha. Si una instrucción exige abrir Terminal, PowerShell o una consola del sistema, conviene parar y consultar al equipo técnico. En seguridad, desconfiar a tiempo sigue siendo una de las defensas más baratas.
También conviene revisar campañas de publicidad y dominios parecidos a servicios populares, porque muchas infecciones empiezan antes de llegar al equipo. La prevención se reparte entre usuario, navegador, proveedor de anuncios y políticas corporativas.
