ESET alertó sobre el uso de páginas de verificación falsas que simulan ser CAPTCHAs legítimos, pero que en realidad instalan malware en los dispositivos de las víctimas. Estos falsos verificadores aprovechan la confianza que los usuarios tienen en este método y pueden aparecer tanto en enlaces de phishing como en sitios legítimos comprometidos. Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica, advirtió:
“Cuando se está frente a un CAPTCHA solemos seguir las instrucciones y hacer clic sin pensar demasiado. Al fin y al cabo, se supone que mantiene alejados a los bots, pero no siempre es así. En algunos casos, la propia página es falsa y puede meterte en problemas”.
Estos ataques pueden pedir acciones inusuales, como ejecutar comandos en Windows, lo que permite descargar malware como infostealers y troyanos de acceso remoto. Según ESET, en 2024 los infostealers afectaron a más de 23 millones de personas, robando más de 2.000 millones de credenciales. Lumma Stealer y AsyncRAT figuran entre las amenazas más activas. El experto añadió:
“Uno de los principales riesgos detrás de los CAPTCHA falsos son los infostealers. Se trata de programas maliciosos diseñados para rastrear ordenadores y teléfonos móviles en busca de nombres de usuario, fotos, contactos y otros datos confidenciales que puedan venderse en la web oscura o utilizarse para suplantar la identidad”.
Para prevenir estos ataques, ESET recomienda desconfiar de solicitudes CAPTCHA inusuales, mantener sistemas y navegadores actualizados, usar software de seguridad confiable, evitar descargas de software pirata y considerar bloqueadores de anuncios.
Además, Gutiérrez subrayó:
“Caer en la trampa de un CAPTCHA falso no es el fin del mundo. Pero si ocurre, es esencial actuar con rapidez para minimizar los daños y los problemas. Mantenerse alerta y navegar con seguridad y adoptar distintas precauciones ayuda a garantizar una navegación más segura y reduce significativamente los riesgos de ser engañado por falsos escáneres disfrazados de CAPTCHAs legítimos”.
En caso de haber ejecutado los comandos maliciosos, se recomienda desconectar el dispositivo de Internet, analizarlo con software de seguridad, restaurarlo a valores de fábrica, cambiar todas las contraseñas y activar la autenticación multifactor.
