ClickFix: el captcha falso que pide pegar un comando y roba contraseñas

Entras en una web y aparece un recuadro que parece un captcha. Dice que hay que verificar que eres humano y te da tres pasos: pulsa la tecla Windows y la R, pulsa Control y V, pulsa Intro. Parece una comprobación más, de las muchas que hay por Internet. No lo es. Acabas de ejecutar en tu ordenador un comando que alguien te ha copiado en el portapapeles.

Es el ataque conocido como ClickFix, y se ha vuelto muy frecuente en webs comprometidas, tiendas online incluidas.

Cómo funciona

1. La web está comprometida. Alguien ha inyectado un JavaScript en una plantilla, en un módulo o en un fichero del tema.
2. El script muestra una capa a pantalla completa con aspecto de captcha o de error de verificación, a veces imitando el estilo de servicios conocidos.
3. Al pulsar el botón, copia un comando al portapapeles sin que el usuario lo vea. Suele ser una orden de PowerShell o de otra herramienta del sistema que descarga y ejecuta un programa.
4. Las instrucciones hacen que el propio usuario lo ejecute en el diálogo Ejecutar de Windows. Algunas variantes piden abrir el terminal en Mac.
5. El programa descargado se instala, normalmente un infostealer.

Qué busca

El objetivo no es el servidor de la tienda: es el ordenador de quien la visita. Lo que se instala suele dedicarse a robar:

• Contraseñas guardadas en el navegador.
• Cookies de sesión, que permiten entrar en cuentas sin la contraseña y saltándose a veces el doble factor.
• Perfiles de clientes de FTP con sus contraseñas.
• Carteras de criptomonedas y datos de formularios autocompletados.

Ahora piensa quién visita más tu tienda que nadie: tú y tu equipo. Si el captcha falso aparece en el back-office o en la tienda mientras la administras, lo que se roba son las credenciales del panel del hosting, del FTP, del correo de la empresa y del propio back-office. Es una forma muy eficaz de convertir una infección pequeña en un control completo, y explica algunos compromisos por FTP que no dejan rastro en los registros web.

Para tus clientes, el daño es otro: les roban datos en su equipo a través de tu web. Además del problema para ellos, es un problema de reputación y, según el caso, de obligaciones de notificación.

Cómo reconocerlo

Como visitante, hay una regla sencilla que conviene que conozca todo tu equipo:

Ninguna verificación legítima te pide abrir el diálogo Ejecutar, el terminal o PowerShell y pegar algo. Ni Google, ni Cloudflare, ni ningún banco. Si un captcha te da instrucciones de teclado, es un ataque. Cierra la pestaña.

Otras señales:

• El supuesto captcha aparece en una web donde antes no había ninguno.
• Ocupa toda la pantalla y no deja ver la web debajo.
• Menciona errores de «verificación de DNS», «actualización del navegador» o similares.
• Algo se copia al portapapeles sin que hayas pulsado ningún botón de copiar.

Si alguien de tu equipo ya lo ha ejecutado: desconecta ese ordenador de la red, no lo uses para entrar en ningún servicio y, desde otro equipo limpio, cambia las contraseñas de todo lo que estuviera guardado en él y cierra las sesiones abiertas. Después, el equipo afectado necesita limpieza profesional o reinstalación.

Cómo saber si tu tienda lo está sirviendo

El script puede mostrarse solo a parte de los visitantes: solo en Windows, solo la primera visita, solo desde ciertos países o solo a quien no está identificado como administrador. Por eso no basta con abrir la tienda y no ver nada.

• Revisa los ficheros JavaScript del tema y de los módulos en busca de cambios recientes, sobre todo líneas muy largas añadidas al principio o al final.
• Revisa las plantillas del tema por si se ha añadido una etiqueta <script> que carga algo externo.
• Mira la configuración de módulos que permiten insertar HTML (bloques personalizados, campos de código en la cabecera), porque la inyección puede estar en la base de datos y no en un fichero.
• Prueba desde un navegador limpio, en ventana privada y sin sesión, y desde un móvil.
• Escucha a tus clientes. Un aviso de «me ha salido un captcha raro» es para tomárselo en serio.

Si lo encuentras, recuerda que el script es la consecuencia, no la causa. Alguien tuvo acceso para ponerlo ahí: hay que buscar la puerta por la que entró, igual que en cualquier otra infección, y cerrarla. Mantener PrestaShop y los módulos actualizados reduce mucho las vías por las que alguien puede inyectar un script así.

Ten en cuenta también que estos scripts suelen cambiar con frecuencia: el mismo cargador pide cada vez el contenido a un servidor externo, y lo que hoy es un captcha falso mañana puede ser un aviso de actualización del navegador o un formulario de pago. Por eso no basta con quitar el recuadro que has visto: hay que quitar el cargador y averiguar cómo llegó hasta tus ficheros o tu base de datos.

Qué decirle al equipo

• Nunca pegar nada en Ejecutar, en PowerShell o en el terminal porque lo pida una web.
• No guardar contraseñas del FTP ni del panel en el navegador ni en el cliente de FTP.
• Usar doble factor en el back-office, en el panel del hosting y en el correo.
• Avisar en cuanto vean algo raro en la tienda, aunque parezca poca cosa.

Cómo resolverlo en PrestaShop

RKR Security Alert incluye un centinela que mira la página ya montada en el navegador, donde aparecen las inyecciones que no dejan rastro en disco. Contra ClickFix vigila la escritura en el portapapeles: avisa cuando una web escribe en él sin que el usuario haya pulsado antes un botón de copiar, y siempre que lo copiado es un comando de sistema, además de detectar la capa a pantalla completa que pide abrir el diálogo Ejecutar. Está probado para no saltar con avisos de cookies, ventanas de boletín ni con el reCAPTCHA legítimo de Google. En el servidor, su escáner busca JavaScript inyectado y vigila los cambios en ficheros y plantillas, para que encuentres también por dónde se metió el script.