- Chrome introduce advertencias específicas para bloquear el engaño ClickFix en el modo de Protección Mejorada.
- Los ciberdelincuentes simulan errores de reCAPTCHA o Cloudflare para inducir al usuario a pegar comandos en PowerShell.
- La técnica Living-off-the-Land (LotL) evade antivirus convencionales mediante herramientas legítimas del sistema operativo.
- El navegador detecta la interacción con el portapapeles y despliega ventanas de confirmación antes de la copia de scripts.
Cómo opera la técnica de ingeniería social ClickFix en entornos corporativos
La multinacional tecnológica Google ha iniciado el despliegue de una innovadora serie de salvaguardas en su navegador Google Chrome con el objetivo de proteger a millones de usuarios frente a la proliferación de ataques basados en la técnica conocida como ClickFix. Esta modalidad de ingeniería social, que ha registrado un incremento alarmante a lo largo de 2026, no requiere explotar vulnerabilidades complejas de día cero en el software de navegación, sino que apela al engaño visual para inducir a las propias víctimas a copiar y ejecutar scripts maliciosos directamente en la consola de comandos de Windows (PowerShell o cmd.exe) o en la Terminal de macOS.
El esquema de ataque comienza habitualmente cuando un usuario arriba a una página web vulnerada o interactúa con publicidad digital fraudulenta. En pantalla aparece de inmediato una ventana superpuesta que imita con extrema precisión los gráficos de un sistema legítimo de verificación como Google reCAPTCHA o las páginas de comprobación de tráfico de Cloudflare. El mensaje engañoso notifica un falso fallo de certificado o incompatibilidad de códec de video, solicitando a la persona presionar simultáneamente la combinación de teclas Windows + R, pegar el comando alojado automáticamente en su portapapeles y presionar la tecla Enter para «resolver el problema de conexión».
Al concretar esta instrucción, el usuario desencadena una secuencia de infección basada en técnicas Living-off-the-Land (LotL), las cuales utilizan binarios legítimos preinstalados en el sistema operativo para evadir los controles perimetrales de seguridad. Mediante estas órdenes camufladas, los atacantes logran descargar e instalar en memoria familias destructivas de malware infostealer como Lumma Stealer, Vidar y Rhadamanthys, permitiéndoles sustraer contraseñas almacenadas, cookies de sesión activas y billeteras de criptomonedas sin activar las alertas de antivirus convencionales. Diversos grupos de cibercrimen financiero, como los clústeres identificados como ClearFake y Marko, han hecho de este engaño su principal método de monetización ilícita.
Nuevos mecanismos de detección y recomendaciones de navegación segura
Para contrarrestar este vector masivo de intrusión, la actualización de Google Chrome integra módulos de análisis heurístico vinculados al sistema de Protección Mejorada de Navegación Segura. A partir de esta versión, el motor de navegación analiza el código en tiempo real para identificar sitios sospechosos que intenten manipular el portapapeles con comandos de consola o presenten instrucciones visuales orientadas a inducir la apertura de utilidades del sistema. Al registrar estos patrones, Chrome bloquea la pantalla mediante una advertencia explícita en color rojo, advirtiendo sobre el intento de ejecución remota de comandos no autorizados.
Especialistas del consorcio web World Wide Web Consortium (W3C) y analistas de Chrome Enterprise recalcan que la tecnología de los navegadores debe complementarse con políticas corporativas rigurosas, tales como la restricción de PowerShell en cuentas de usuarios sin privilegios administrativos. En un entorno donde la conectividad satelital y las redes avanzadas extienden el acceso a internet a zonas remotas, como ocurre con las gestiones de Bolivia para implementar antenas Starlink en áreas rurales, la concienciación de los usuarios se convierte en un pilar esencial.
Asimismo, los equipos de ciberdefensa sugieren a las gerencias de TI configurar directivas de control de aplicaciones mediante AppLocker o Windows Defender Application Control (WDAC), bloqueando la invocación de herramientas como mshta.exe o curl.exe por procesos no firmados digitalmente. Los administradores de sistemas recuerdan a las empresas que ninguna entidad oficial ni plataforma web legítima exige ejecutar secuencias de código en la consola del ordenador para certificar la condición de navegación humana.
