Cuidado con los CAPTCHA falsos que instalan malwares en los dispositivos

Todo comienza con una escena familiar. Entras a una página web y aparece el clásico recuadro que te pide confirmar que no eres un robot. Tal vez debas identificar semáforos, copiar letras distorsionadas o simplemente marcar una casilla.

Es un gesto rutinario que ya forma parte de la navegación diaria. Pero ahora, lo que parecía una simple medida de seguridad se convirtió en una trampa para instalar malware sin que lo notes.

Una nueva técnica de engaño informático se está extendiendo en internet a través de CAPTCHA falsos. Expertos en ciberseguridad han advertido sobre esta modalidad, donde ciberdelincuentes utilizan sitios web que simulan estos sistemas de verificación para ejecutar programas maliciosos.

Lo más preocupante es que los usuarios no perciben el peligro, ya que todo parece legítimo hasta que el dispositivo ya está comprometido.

Estos CAPTCHA falsos aparecen especialmente en páginas sospechosas o a través de anuncios engañosos. Al ingresar, el usuario se encuentra con un supuesto sistema de verificación visualmente idéntico al real.

Al seguir las instrucciones o hacer clic para continuar, se activa en segundo plano la instalación de un software malicioso. En algunos casos, incluso se solicita al usuario copiar y pegar comandos, lo cual acelera el proceso de infección.

Entre los programas más utilizados en estos ataques se encuentra ‘Lumma Stealer’, un malware diseñado para robar contraseñas, información bancaria, archivos personales y datos almacenados en navegadores.

También se ha detectado el uso de ‘SecTopRAT’, un software que permite a los atacantes acceder de forma remota al equipo infectado y extraer información sensible. Ambos representan riesgos graves para la seguridad personal y empresarial.

Lo que hace tan eficaz este método es lo natural que se volvió resolver un CAPTCHA. Los usuarios están acostumbrados a interactuar con ellos sin cuestionarlos. Además, los delincuentes han perfeccionado la apariencia visual de sus páginas, haciendo que estas sean casi indistinguibles de los servicios reales.

El resultado es un entorno de confianza artificial, en el que el usuario entrega el control de su equipo sin saberlo.

Una vez instalado el malware, los atacantes pueden monitorear el sistema, capturar pulsaciones de teclado, acceder a cuentas en línea o incluso tomar control completo del dispositivo.

En contextos corporativos, esto podría facilitar ataques mayores, como el secuestro de datos confidenciales o el acceso a redes internas. En el plano individual, se traduce en pérdida de privacidad y riesgo financiero.

Para evitar caer en este tipo de engaños, hay señales que conviene tener en cuenta. Si un CAPTCHA aparece en un sitio web desconocido o poco confiable, lo mejor es cerrar la pestaña sin interactuar.

También es importante desconfiar si el proceso de verificación solicita pasos adicionales, como ejecutar comandos, instalar archivos o realizar combinaciones de teclas.

Las redirecciones inesperadas o la aparición de ventanas nuevas que no tienen relación con el contenido original también son indicadores de riesgo.

Mantener actualizado el sistema operativo, el navegador y el antivirus ayuda a reducir la exposición a estas amenazas. Usar contraseñas seguras, activar la autenticación en dos pasos y evitar ingresar información sensible en páginas que no tengan conexión segura (HTTPS) también es clave.

Pero lo más importante es no bajar la guardia. Los atacantes aprovechan los descuidos y los hábitos automáticos para infiltrar sus métodos.

Se trata de un sistema de seguridad utilizado para distinguir entre usuarios humanos y programas automatizados. Su nombre es el acrónimo de ‘Completely Automated Public Turing test to tell Computers and Humans Apart’, y se basa en pruebas visuales o lógicas que los humanos pueden resolver con facilidad, pero que resultan difíciles para los bots.

Su objetivo principal es evitar que programas maliciosos utilicen servicios web para enviar spam, crear cuentas falsas o lanzar ataques automatizados.

Pero como ha demostrado esta nueva modalidad de fraude, incluso las herramientas diseñadas para protegernos pueden convertirse en canales de ataque. Por eso, cada clic merece atención.