Los ataques informáticos ya no dependen únicamente de programas sofisticados capaces de vulnerar una computadora. Cada vez con mayor frecuencia, el delincuente intenta algo más sencillo: convencer al usuario para que ejecute personalmente el ataque.
Esa es la lógica de ClickFix, una modalidad de ingeniería social que comenzó a documentarse ampliamente en 2024 y que desde entonces ha crecido con rapidez.
ClickFix no es un virus específico ni un nuevo delito autónomo. Es una técnica utilizada para cometer fraudes, robo de información, espionaje, acceso ilícito a sistemas y otras conductas delictivas.
Su particularidad consiste en que la víctima cree estar solucionando un problema técnico cuando, en realidad, está instalando malware en su propia computadora.
¿Cómo funciona?
El engaño puede comenzar mediante un correo electrónico, una página falsa, publicidad maliciosa o incluso un sitio legítimo previamente comprometido.
Al ingresar, aparece algún mensaje aparentemente normal: “Su navegador necesita actualizarse”. “No fue posible abrir el documento”. “Complete la verificación CAPTCHA”. “Corrija este error para continuar”.
Después se presentan instrucciones que pueden pedir al usuario presionar Windows + R, abrir PowerShell, Símbolo del sistema o Terminal, pegar un código y presionar Enter.
La víctima piensa que está ejecutando una solución. En realidad, ese comando puede descargar un programa capaz de robar contraseñas, información bancaria, archivos, credenciales corporativas o permitir que otra persona controle el equipo a distancia.
Microsoft ha advertido que esta técnica ha sido utilizada contra miles de dispositivos personales y empresariales. MITRE ATT&CK ya la reconoce como una modalidad específica de ejecución mediante copiado y pegado malicioso.
¿De dónde surge?
Las primeras campañas conocidas aparecieron a principios de 2024.
Investigadores detectaron correos que simulaban contener documentos de Microsoft Word. Al intentar abrirlos aparecía un falso mensaje señalando que faltaba algún componente y se ofrecía una supuesta solución.
Poco después comenzaron a aparecer sitios que simulaban errores de navegador, actualizaciones pendientes y falsas verificaciones CAPTCHA.
La técnica recibió el nombre de ClickFix: “haga clic para corregir”. Su éxito provocó que diferentes grupos criminales comenzaran a adoptarla rápidamente.
Del fraude al espionaje
Uno de los casos más conocidos estuvo dirigido contra trabajadores de hoteles y empresas turísticas mediante la suplantación de Booking.com.
Los empleados recibían comunicaciones relacionadas aparentemente con reservaciones o huéspedes. Al acceder al enlace aparecía una falsa verificación que los inducía a ejecutar comandos. El resultado podía ser el robo de credenciales, información financiera o acceso remoto al sistema de la empresa.
Otra campaña imitó páginas de organismos gubernamentales para inducir a ciudadanos a descargar supuestos documentos oficiales.
También se ha utilizado ClickFix para distribuir malware bancario, incluyendo campañas observadas en distintos países, entre ellos México.
La técnica incluso ha trascendido al delito económico. Grupos relacionados con operaciones de espionaje atribuidas a distintos Estados han empleado mecanismos semejantes para comprometer organizaciones gubernamentales, financieras y diplomáticas.
La amenaza continúa evolucionando. En 2026 Microsoft documentó una variante conocida como CrashFix, capaz de provocar deliberadamente el bloqueo del navegador. Cuando la víctima intenta resolver el problema aparece una falsa reparación que la conduce nuevamente a ejecutar código malicioso.
El atacante crea el problema y después ofrece la solución.
Si una página le pide ejecutar un código para solucionar un problema, detenerse antes de obedecer puede ser la diferencia entre continuar trabajando normalmente o entregar el control de su computadora a un desconocido.
¿Por qué resulta tan efectiva?
Porque explota comportamientos que hemos aprendido a considerar normales. Estamos acostumbrados a actualizar aplicaciones, resolver mensajes de error, copiar y pegar información, completar CAPTCHA, seguir instrucciones cuando un programa no funciona.
El delincuente aprovecha esos hábitos.
Además, una persona preocupada por terminar un trabajo, abrir una factura, atender una reservación o recuperar un navegador bloqueado puede actuar rápidamente sin detenerse a pensar qué significa realmente el comando que está ejecutando.
Ese es precisamente el componente más peligroso de ClickFix: el ataque utiliza al propio usuario para superar algunas de las barreras de seguridad del sistema.
Cinco medidas para evitar convertirse en víctima
- Nunca ejecute comandos solicitados por una página web.
Un CAPTCHA legítimo no necesita que usted abra Windows + R, PowerShell, Símbolo del sistema o Terminal. Si una página se lo pide, cierre el sitio. - No copie y pegue códigos que no comprenda.
Una instrucción aparentemente inocente puede descargar malware en segundos. No ejecute comandos proporcionados por correos, páginas, anuncios o desconocidos. - Verifique por otra vía.
Si aparece un problema relacionado con una cuenta, banco, reservación o plataforma, cierre el enlace y entre directamente a la página o aplicación oficial. - Mantenga actualizado y protegido el equipo.
Sistema operativo, navegador, antivirus y aplicaciones deben mantenerse al día. En organizaciones, conviene además restringir herramientas de administración a quienes realmente las necesiten. - Si ya ejecutó el comando, repórtelo inmediatamente.
No intente ocultar el error. Desconecte el equipo de la red y comuníquese con el responsable de tecnología. Las contraseñas deberán modificarse desde un dispositivo seguro y será necesario revisar posibles accesos no autorizados.
- Nunca ejecute comandos solicitados por una página web.
Sensibilizar antes de que ocurra
Las campañas tradicionales de concientización suelen repetir “No abra archivos desconocidos”, “No haga clic en enlaces sospechosos”. ClickFix obliga a agregar una nueva advertencia: “No ejecute instrucciones que una página web le ordene pegar en su computadora”.
Los colaboradores deberían aprender a reconocer esta secuencia: Error o CAPTCHA → abrir Ejecutar/PowerShell/Terminal → copiar código → pegar → ejecutar.
Mostrar esta secuencia durante unos minutos puede resultar más efectivo que explicar conceptos técnicos complicados.
También conviene realizar ejercicios simulados, enseñar ejemplos de falsas verificaciones y establecer un mecanismo sencillo para reportar incidentes sin temor a represalias.
La misma sensibilización debería extenderse a proveedores, contratistas, familiares y demás grupos de interés, porque un atacante no necesariamente intentará ingresar directamente a la organización: puede comenzar por la persona más vulnerable de su entorno.
ClickFix demuestra una vez más que en ciberseguridad el delincuente no siempre necesita romper una puerta. A veces le basta con convencernos de abrirla.
