Las trampas en internet cambiaron de estrategia: en lugar de burlar de forma compleja las defensas de un sistema operativo, ahora buscan que sea el propio usuario quien active la infección. Esta técnica, conocida como ClickFix, experimentó un crecimiento constante tanto en computadoras con Windows como en Mac.
Según datos de la firma de ciberseguridad ESET, las detecciones asociadas a este método aumentaron un 108% entre la segunda mitad de 2025 y la primera mitad de 2026. La clave de su eficacia no está en un software sofisticado, sino en aprovechar la costumbre de las personas de resolver rápidamente las verificaciones de seguridad habituales en la web.
Cómo funciona el engaño
ClickFix no es un programa malicioso en sí mismo, sino una táctica de ingeniería social. El proceso suele comenzar cuando una persona ingresa a un sitio web comprometido o a una página falsa. Allí aparece una pantalla de verificación similar a los sistemas CAPTCHA o a los mensajes de comprobación de servicios conocidos como Cloudflare.
Al interactuar con la pantalla, el sistema copia automáticamente un comando malicioso en el portapapeles del usuario sin que este lo note. Acto seguido, la web muestra instrucciones paso a paso para completar la supuesta verificación:
- En Windows, pide abrir la herramienta Ejecutar, la consola PowerShell o Windows Terminal.
- En Mac, la campaña analiza si la persona navega desde ese sistema e indica abrir la aplicación Terminal.
- En ambos casos, se le solicita pegar el contenido del portapapeles y presionar la tecla Entrar.
Al completar esa acción, la persona ejecuta voluntariamente la orden que descarga e instala los componentes maliciosos en su equipo. De esta manera, ClickFix sirve únicamente como la puerta de entrada, mientras que el tipo de malware que se instala depende de cada campaña.
El cambio de estrategia de los atacantes
Un caso analizado por la firma BlueVoyant permite entender por qué los ciberdelincuentes están adoptando esta fórmula. Un grupo de atacantes solía distribuir instaladores modificados de Microsoft Teams mediante certificados digitales obtenidos de forma fraudulenta a través de la infraestructura Forging Marauder.
En mayo de 2026, Microsoft desarticuló esa red de certificados. Ante esta acción, los analistas observaron con alta confianza que los operadores cambiaron de táctica hacia ClickFix. El nuevo modelo les permitió prescindir de la firma de código digital y ampliar el alcance de sus ataques a cualquier usuario que visite un sitio comprometido, sin depender de que la víctima busque descargar un programa específico.