Lo que necesitas saber:
- Las páginas CAPTCHA falsas imitan la conocida prueba «demuestra que no eres un robot» para engañar a las personas y que ejecuten malware.
- A menudo se propagan a través de correos electrónicos de phishing o sitios web pirateados.
- Los CAPTCHAs reales solo te piden que marques una casilla o resuelvas un acertijo rápido. No deberían pedirte que descargues archivos o pegues comandos.
- ¿Ha hecho clic en uno por error? Cierre el sitio web y ejecute un análisis antivirus completo. Elimine cualquier descarga y cambie las contraseñas desde un dispositivo seguro.
Puede protegerse comprobando la dirección del sitio web antes de resolver los CAPTCHA y limitando las funciones potencialmente dañinas, como el cuadro de diálogo Windows .
¿Qué es una verificación CAPTCHA?
La verificación CAPTCHA es una herramienta de seguridad diseñada para distinguir entre personas y máquinas. El nombre significa «Prueba de Turing pública completamente automatizada para distinguir entre ordenadores y humanos». Se entiende por qué lo acortaron.
Todos los hemos visto al registrar una cuenta o publicar en un foro. Los CAPTCHA de verificación humana están diseñados para garantizar que se trata de una persona real y no de un script automatizado que accede a un sitio web. Ayudan a mantener los sitios web a salvo del spam y las cuentas falsas.
¿Cómo funciona un CAPTCHA?
Los CAPTCHA presentan pequeñas pruebas que la mayoría de los humanos pueden resolver fácilmente, pero que a los programas automatizados les resultan difíciles. Algunos te piden que escribas un conjunto de letras o números distorsionados.
Otros muestran una cuadrícula de imágenes en la que hay que hacer clic en semáforos, bicicletas o pasos de peatones. Todos los hemos visto. Las versiones de audio permiten escuchar una serie de números y escribir lo que se oye. Estas tareas protegen los sitios web bloqueando los scripts y los bots que no pueden completarlas de forma fiable. Dado que los CAPTCHA tradicionales pueden ser lentos o frustrantes, muchos sitios web utilizan ahora la nueva versión de Google llamada reCAPTCHA.
¿Qué es reCAPTCHA?
reCAPTCHA es la versión más avanzada de Google de la idea original de CAPTCHA. En lugar de obligar a los usuarios a descifrar texto difícil de leer, reCAPTCHA suele ofrecer una sencilla casilla de verificación con la etiqueta «No soy un robot». También puede ofrecer un rápido rompecabezas con imágenes.
Entonces, ¿cómo funciona reCAPTCHA? Analiza silenciosamente los patrones de navegación en segundo plano para determinar si eres una persona o un bot. Esto significa que es menos molesto y, en general, más preciso. Como resultado, reCAPTCHA se ha convertido en el sistema de verificación más común en Internet. Según BuiltWith, lo utilizan más de 11 millones de sitios web.
¿Cómo convierten los estafadores los CAPTCHA en una trampa?
Los delincuentes han aprendido que la gente confía en los retos CAPTCHA, especialmente en la conocida casilla «No soy un robot». Los estafadores pueden atraer a la gente a un sitio web falso y darle un aire de legitimidad mediante un CAPTCHA. A veces, los atacantes copian sitios web de marcas conocidas, les dan una dirección web ligeramente diferente y luego añaden un CAPTCHA falso que en realidad contiene malware. Algunas páginas copian el diseño del reCAPTCHA de Google tan fielmente que la mayoría de los visitantes no se lo piensan dos veces. Los CAPTCHA falsos suelen aparecer a través de ventanas emergentes sospechosas o enlaces en sitios web comprometidos.
Los CAPTCHA falsos funcionan mezclando algo rutinario con instrucciones que no lo son. En lugar de simplemente hacer clic en una casilla de verificación, es posible que se le pida que descargue un archivo para completar un paso de verificación adicional. Dado que el CAPTCHA en sí mismo parece legítimo, muchos usuarios siguen las instrucciones, lo que da a los estafadores la oportunidad que necesitan para instalar malware o robar información.
¿Cómo funcionan en la práctica las estafas con CAPTCHA falsos?
Las estafas con CAPTCHA falsos pueden adoptar múltiples formas. El truco más común es un CAPTCHA falso que afirma que debes completar una verificación adicional. La página copia automáticamente un comando malicioso en tu portapapeles. A continuación, te indica que lo ejecutes en el cuadro de diálogo Windows (Win + R) parainstalar programas que roban información.
Incluso hemos vistopáginas CAPTCHA falsasque incluyen vídeos tutoriales paso a paso para guiar a las víctimas a lo largo del proceso.
Existen otras variantes de estafas CAPTCHA. Las técnicas pueden incluir:
- Ocultar instrucciones dañinas en comandos de PowerShell o mshta.exe para dificultar su detección.
- Contrabando de malware dentro de tipos de archivos cotidianos como MP3 y JPG.
- Mediante la ejecución sin archivos, en la que la carga útil se ejecuta íntegramente en la memoria en lugar de guardarse en el disco. Esto significa que hay menos rastros que puedan encontrar las herramientas antivirus.
¿Qué tipo de malware instalan los CAPTCHA falsos?
Muchas de estas estafas CAPTCHA no solo recopilan datos. Pueden instalar software malicioso diseñado para espiarte o tomar el control de tu sistema. Algunas de las cargas útiles más comunes incluyen ladrones de información.
Algunos instalanLumma Stealero software malicioso similar. Pueden recopilar contraseñas y cookies del navegador. Algunos incluso pueden acceder a sus carteras de criptomonedas.
Otros distribuyen troyanos de acceso remoto (RAT). Entre ellos se incluyen:
- AsyncRAT
- SecTopRAT
- XWorm
Estas herramientas pueden permitir a los atacantes examinar archivos o abrir puertas traseras en las redes empresariales. Las consecuencias pueden ser graves e incluyen el robo de identidad o un punto de acceso oculto dentro de los sistemas de su empresa. Todo esto puede derivarse de una sola violación de seguridad.
¿Cómo se puede distinguir un CAPTCHA real de uno falso?
Detectar un CAPTCHA falso no siempre es obvio. Hay algunos indicios potenciales. Los CAPTCHA legítimos aparecen en sitios de confianza y utilizan comprobaciones visuales o auditivas sencillas.
Los CAPTCHA maliciosos o falsos suelen solicitar más información. Te piden que descargues archivos o que habilites notificaciones. Si te piden que pegues texto en tu ordenador, entonces deberían saltar las alarmas. Otra señal de alerta es el lugar donde aparece el CAPTCHA. Las versiones reales están integradas en páginas en las que confías. Las falsas suelen aparecer en dominios desconocidos o de aspecto sospechoso. Si el nombre del dominio se parece a algo comojs3820_xxZhry.strangesite-name.yzx,no debes confiar en él automáticamente. Los dominios que suenan falsos o no oficiales son siempre una señal de alerta.
Si aparece una ventana emergente para el CAPTCHA, esto también es motivo de sospecha. Muy pocos sitios legítimos funcionan de esta manera.
¿Qué debes hacer si has pulsado en un CAPTCHA falso?
Hacer clic en un CAPTCHA falso supone un riesgo para tu sistema y no debes correr ningún riesgo. Actuar con rapidez puede detener una infección antes de que se propague o limitar el daño si el malware ya se ha activado. Cierra inmediatamente la pestaña del navegador, desconéctate de Internet y ejecuta un análisis antivirus completo para limitar cualquier daño.
Ejecute un análisis completo con un antivirus o un programa antimalware. Asegúrese de que la herramienta esté actualizada para que pueda detectar las amenazas más recientes. Si la estafa le ha pedido que descargue un archivo, elimínelo. No lo abra, ya que podría ejecutar scripts dañinos. Vacíe la papelera o la papelera de reciclaje para asegurarse de que desaparezca definitivamente.
A continuación, limpia tu navegador borrando la caché y las cookies, y eliminando cualquier extensión que no reconozcas. Algunas páginas CAPTCHA falsas intentan instalar complementos maliciosos que permanecen activos incluso después de salir del sitio web.
Una vez que tu sistema parezca limpio, cambia las contraseñas de tus cuentas más sensibles desde otro dispositivo seguro. Si reutilizas contraseñas en cualquier sitio, este es un buen momento para actualizarlas. El malware suele atacar las credenciales guardadas.
Supervise sus cuentas aún más de cerca durante las próximas semanas. Esté atento a inicios de sesión sospechosos o mensajes inesperados en las redes sociales. Muchos atacantes esperan antes de utilizar los datos robados, con la esperanza de que usted baje la guardia. Mantener la alerta puede ayudarle a detectar el fraude antes de que se convierta en algo peor.
Resumen:
- Cierre el sitio y desconéctese de Internet.
- Ejecute un análisis completo con un antivirus o un programa antimalware.
- Elimine cualquier descarga sospechosa sin abrirla.
- Borra la caché, las cookies y las extensiones desconocidas de tu navegador.
- Cambia las contraseñas desde un dispositivo seguro.
- Siga supervisando las cuentas financieras para detectar cualquier actividad inusual.
¿Cómo puedes protegerte de las estafas con CAPTCHA falsos?
Para mantener la seguridad, lo primero es reducir la velocidad cada vez que un CAPTCHA parezca fuera de lugar.
Ya hemos hablado de la necesidad de comprobar algunos detalles, como la dirección del sitio web, y de tener cuidado si aparece un CAPTCHA en una ventana emergente. Si no coincide con el sitio web que querías visitar, cierra la página en lugar de correr riesgos.
Una buena seguridad del dispositivo añade otra capa de defensa. Mantenga actualizados su sistema operativo y su software antivirus para que puedan bloquear nuevas amenazas. Muchos programas de seguridad también pueden analizar páginas en busca de scripts sospechosos antes de que interactúe con ellos. Algunos navegadores incluyen protección integrada contra código dañino. Vale la pena explorar esas configuraciones.
Se pueden tomar aún más medidas. Limitar o desactivar el cuadro de diálogo Windows en los ordenadores compartidos impide que los atacantes lo utilicen de forma indebida. El uso de extensiones que bloquean los scripts o la desactivación de JavaScript en sitios web peligrosos ayuda a reducir los comandos ocultos.
¿Por qué son cada vez más comunes las estafas con CAPTCHA falsos?
Los estafadores utilizan páginas CAPTCHA falsas porque se aprovechan de algo que todos reconocemos. La mayoría de las personas ven la conocida casilla «No soy un robot» y la marcan sin pensarlo. La confianza inherente es lo que hace que la estafa sea tan eficaz. Las instrucciones como «pega este código para finalizar la verificación» no siempre despiertan sospechas, ya que parecen formar parte del proceso.
Otra razón es económica. Para poner en marcha estas estafas ya no se necesitan grandes conocimientos técnicos. Los kits de malware como servicio proporcionan scripts y alojamiento listos para usar. Esto significa que cualquiera que esté dispuesto a pagar puede lanzar un ataque.
Muchos estafadores se centran en sectores ricos en datos o activos. Las tiendas online son atractivas por sus datos de pago y las plataformas de juegos pueden contener cuentas vinculadas a valiosos artículos digitales o criptomonedas. Cualquier sitio en el que las personas inicien sesión y muevan dinero es un objetivo tentador. ps que se podrían implementar. Todas las redes son diferentes. Sin duda, vale la pena comprobar lo que ofrecen para evitar que se produzcan este tipo de problemas.
Artículos relacionados
¿Cuáles son los peligros de un virus troyano en las estafas de CAPTCHA falsos?
¿Cuáles son los tipos más comunes de estafas en línea hoy en día?
¿Qué papel desempeña la ingeniería social en las estafas con CAPTCHA falsos?
¿Cuáles son las señales de advertencia de un ataque de suplantación de identidad?