Si una web te pide abrir Ejecutar, PowerShell o Terminal para demostrar que sos humano, frená. ClickFix convierte una supuesta verificación o reparación en una instrucción que ejecutás vos mismo. El engaño no está en que el equipo tenga un problema: está en hacerte creer que necesitás resolverlo de esa manera.
Qué es ClickFix y por qué resulta convincente
ClickFix es una técnica de ingeniería social, no el nombre de un único virus. La página presenta un obstáculo —un CAPTCHA, un documento que no abre o una actualización pendiente— y propone una solución aparentemente sencilla. A veces el botón copia una instrucción al portapapeles; después te guía para ejecutarla fuera del navegador.
Puede imitar una marca conocida, una herramienta de trabajo o un servicio de protección. El logo y el candado no validan esa solicitud. Una verificación de una página no necesita que le entregues el control de la consola del sistema.
Qué cambia entre Windows y macOS
En Windows, el señuelo puede pedir que abras Ejecutar o PowerShell. En macOS, puede orientarte hacia Terminal o un asistente de scripts. No hay que esperar a que aparezca una petición de administrador para sospechar: un proceso con tus permisos ya puede acceder a parte de tus datos.
Se han investigado cadenas que entregan infostealers como AMOS o MacSync en Mac y distintas familias en Windows. El nombre del señuelo no identifica la carga final. Para entender el riesgo sobre contraseñas y sesiones, consultá qué hace un stealer.
Cómo reconocerlo antes de ejecutar nada
- La web quiere sacarte del navegador: abrir una consola o pegar instrucciones no es un paso normal de un CAPTCHA.
- La reparación aparece sin diagnóstico: una página no puede determinar que necesitás ese comando solo porque intentaste leerla.
- Te pide ignorar una advertencia: no desactives protecciones para completar una descarga.
- Usa presión o premio: “solo falta un paso” o “tu acceso se cerrará” intentan evitar que compruebes el origen.
Si buscabas una aplicación, cerrá esa página y entrá al fabricante desde una dirección que ya conozcas. No vuelvas a abrir el enlace sospechoso para ver si ahora se comporta distinto.
Qué hacer si copiaste, pegaste o ejecutaste la instrucción
- Solo la copiaste: no la pegues ni la ejecutes. Cerrá la página y copiá un texto inocuo para sustituir el contenido del portapapeles. En este escenario, copiar por sí solo no demuestra que se ejecutara malware.
- La pegaste, sin ejecutarla: cancelá la entrada y cerrá la consola. No pulses Enter para comprobar qué pasa. Si no estás seguro de lo ocurrido, tratá el caso como una posible ejecución.
- La ejecutaste: dejá de usar ese equipo para cuentas sensibles. Si hay actividad sospechosa, desconectalo de la red; en un equipo de trabajo, avisá al responsable antes de modificar o borrar archivos.
- Conservá el contexto: hora aproximada, sitio y alertas. No vuelvas a ejecutar el comando para obtener una captura.
- Analizá y recuperá accesos: usá un análisis actualizado y, desde otro dispositivo confiable, revisá correo principal, sesiones y métodos de recuperación.
Cómo protegerte sin depender de reconocer cada variante
Mantené sistema y navegador actualizados, y conservá las advertencias de seguridad. Las protecciones técnicas ayudan, pero no conviene aprobar una acción desconocida solo porque la página la presenta como un requisito. En una organización, el procedimiento de soporte debe indicar por qué canal se reciben instrucciones administrativas.
Podés revisar las opciones de análisis en nuestras fichas de Malwarebytes para Windows y Malwarebytes para Mac. Ningún análisis aislado demuestra que una sesión robada quedó revocada: equipo y cuentas se revisan por separado.
Si necesitás una mano, contá lo ocurrido en ForoSpyware, sin publicar contraseñas, cookies ni códigos de verificación. Es preferible explicar qué ejecutaste que intentar improvisar otra reparación.
