Un CAPTCHA dovrebbe limitarsi a verificare che dietro lo schermo ci sia una persona.
Una nuova variante della truffa ClickFix sfrutta invece proprio la familiarità di questi controlli per convincere l’utente a installare malware sul computer.
La pagina mostra un falso messaggio “verifica che sei umano” e chiede di premere Windows + R, incollare un comando già presente negli appunti con Ctrl + V e confermare con Invio. Il pericolo non nasce necessariamente da una vulnerabilità del browser: è la vittima a eseguire volontariamente un’azione che il sistema interpreta come legittima. Il comando può poi scaricare infostealer, trojan o strumenti di controllo remoto.
Come funziona la truffa del falso CAPTCHA
Un CAPTCHA autentico chiede di interagire con gli elementi della pagina, per esempio selezionando immagini, riconoscendo caratteri o spuntando una casella. Non ha bisogno di aprire la finestra Esegui, il terminale o altri strumenti del sistema operativo. La richiesta di eseguire comandi è quindi uno dei segnali più affidabili della frode.
