El nuevo fraude del CAPTCHA: cómo funciona esta estafa que puede robar tus cuentas en pocos segundos
Los ciberdelincuentes aprovechan la confianza que generan las verificaciones CAPTCHA para engañar a los usuarios e instalar malware mediante simples atajos.
Un CAPTCHA falso puede instalar malware y comprometer datos personales con solo ejecutar simples comandos en Windows.
Imagen generada por la IALos CAPTCHA forman parte de la navegación diaria en internet. Cada vez que un sitio web necesita comprobar que quien intenta acceder es una persona y no un robot, aparece el clásico desafío de seleccionar imágenes, escribir caracteres o resolver una sencilla prueba visual. Sin embargo, los ciberdelincuentes encontraron una nueva forma de explotar esa confianza con una modalidad de estafa o fraude que ya comenzó a extenderse y que puede comprometer y robar información personal, credenciales bancarias y cuentas de correo.
A diferencia de los ataques tradicionales, este fraude utiliza una pantalla prácticamente idéntica a la de un CAPTCHA legítimo. El problema aparece cuando, en lugar de pedir una verificación visual, solicita ejecutar una serie de comandos en la computadora. Allí comienza el verdadero engaño.
Así funciona el CAPTCHA falso
La estafa comienza cuando el usuario llega a un sitio web comprometido o es redirigido mediante un enlace fraudulento. En pantalla aparece una verificación que parece completamente normal y utiliza frases habituales como "Confirma que eres humano" o "Verificación de seguridad".
Sin embargo, en lugar de pedir que se seleccionen imágenes o se escriban caracteres, el supuesto CAPTCHA indica realizar una combinación de teclas como Windows + R, luego Ctrl + V y finalmente Enter.
Esa secuencia abre la ventana "Ejecutar" de Windows y pega un código que previamente fue copiado al portapapeles sin que el usuario lo note. Al presionar Enter, el sistema ejecuta un comando que descarga e instala software malicioso capaz de tomar el control del equipo o robar información confidencial.
Los atacantes aprovechan la costumbre de interactuar rápidamente con este tipo de verificaciones para que muchas personas ejecuten las instrucciones sin detenerse a analizarlas.
Las señales que permiten detectar el engaño
El indicador más importante es muy simple: ningún CAPTCHA legítimo pedirá ejecutar comandos del sistema operativo.
Si una página solicita utilizar combinaciones de teclas, abrir la ventana Ejecutar de Windows, pegar texto o descargar archivos para completar una verificación, se trata de una señal clara de fraude.
También conviene revisar cuidadosamente la dirección del sitio web. Los CAPTCHA auténticos suelen aparecer en páginas oficiales o en servicios ampliamente reconocidos, mientras que las versiones falsas muchas veces presentan dominios extraños, errores ortográficos o diseños ligeramente diferentes de los originales.
Otro detalle importante es evitar abrir archivos que comiencen a descargarse automáticamente después de completar una supuesta verificación de seguridad.
Qué hacer si caíste en la trampa
Si ejecutaste los comandos indicados por un CAPTCHA falso o detectaste una descarga sospechosa, lo recomendable es actuar de inmediato para minimizar los riesgos.
El primer paso consiste en desconectar el dispositivo de internet para impedir que el malware continúe comunicándose con los servidores de los atacantes.
Luego es importante realizar un análisis completo con un antivirus actualizado, instalar todas las actualizaciones pendientes del sistema operativo y cambiar las contraseñas de las cuentas más importantes desde otro dispositivo seguro, especialmente las del correo electrónico, banca digital y plataformas donde se almacene información sensible.
También resulta fundamental activar la autenticación en dos pasos (2FA), una medida que agrega una segunda barrera de seguridad incluso si las credenciales fueron robadas.
El fraude del CAPTCHA demuestra cómo evolucionan las campañas de phishing aprovechando elementos cotidianos de internet. La mejor defensa sigue siendo la prevención: desconfiar de cualquier verificación que solicite ejecutar comandos, mantener actualizado el software y abandonar inmediatamente cualquier página que pida acciones poco habituales para demostrar que el usuario es una persona.