Malware de actualizaciones falsas del navegador y captchas falsos dirigido a usuarios de cripto
Cómo el malware de captcha falso y las actualizaciones falsas del navegador roban cripto: el truco de pegar un comando, señales de alerta, medidas de protección y qué hacer si lo ejecutaste.
Los ataques de captchas falsos y actualizaciones falsas del navegador te engañan para que instales malware tú mismo: un sitio web muestra un convincente recuadro de «confirma que eres humano» o un aviso de «actualiza tu navegador» y luego te indica que descargues un archivo o pegues un comando en tu ordenador, lo que instala software que roba datos de billeteras cripto, contraseñas y sesiones del navegador. Un captcha o una actualización de navegador reales nunca te piden abrir una ventana de comandos ni ejecutar un archivo descargado de un sitio cualquiera.
Los usuarios de cripto son objetivos prioritarios porque un solo ordenador infectado puede exponer archivos de hot wallets, frases semilla guardadas en notas, sesiones de exchanges y gestores de contraseñas. Esta guía explica cómo funcionan estos ataques, las señales de alerta y qué hacer si crees que ejecutaste uno.
Cómo funciona el truco del captcha falso
Esta técnica, a la que los investigadores de seguridad suelen llamar «ClickFix», convierte a la víctima en quien instala el malware.
- 1Llegas a una página: quizá un blog hackeado, un visor de documentos falso, un sitio de software pirata o un enlace enviado en un chat de una comunidad cripto.
- 2Aparece una verificación de aspecto familiar, con el estilo de un conocido servicio de captcha, que dice que debes confirmar que eres humano.
- 3Cuando haces clic en la casilla, la página copia en silencio un comando malicioso a tu portapapeles.
- 4Aparecen nuevas instrucciones: en Windows, «pulsa Windows + R, luego Ctrl + V y luego Enter»; en un Mac, una variante puede pedirte que abras Terminal y pegues.
- 5Ejecutas el comando sin verlo completo. Descarga e inicia malware en segundo plano.
- 6La página puede mostrar «verificación completada» y dejarte continuar, de modo que nada parece ir mal.
El truco funciona porque elude muchas protecciones del navegador: eres tú, y no el sitio web, quien ejecuta el programa.
Cómo funcionan los ataques de actualizaciones falsas del navegador
El primo mayor de los captchas falsos es el banner de actualización falso:
- Un sitio comprometido o malicioso superpone un mensaje a pantalla completa que dice que tu navegador está desactualizado o que una página no puede mostrarse sin una actualización.
- La página imita la marca de tu navegador y ofrece un botón de descarga.
- El archivo es malware, a menudo disfrazado de instalador o de archivo comprimido que contiene un script.
Los navegadores reales se actualizan automáticamente o mediante actualizaciones del sistema. Nunca necesitas descargar una actualización del navegador desde un sitio que estabas visitando por casualidad.
Qué roba el malware
La mayoría de estas campañas distribuyen ladrones de información (infostealers): malware que recopila rápidamente datos valiosos y los envía al atacante. Para los usuarios de cripto, eso puede incluir:
| Datos robados | Por qué importa |
|---|---|
| Datos de extensiones de billetera del navegador | Las bóvedas cifradas pueden descifrarse sin conexión si la contraseña es débil o está guardada |
| Contraseñas guardadas y autocompletado | Accesos a exchanges, cuentas de correo y contraseñas de billeteras |
| Cookies de sesión | A veces los atacantes pueden secuestrar sesiones iniciadas sin necesitar la contraseña ni el código 2FA |
| Archivos y notas | Capturas de pantalla o archivos de texto que contienen frases semilla |
| Portapapeles | Algunos malware cambian las direcciones copiadas; consulta malware del portapapeles |
Como los ladrones actúan en segundos, las pérdidas pueden producirse antes de que notes algo inusual.
Un ejemplo hipotético
Lo siguiente es una ilustración compuesta, no un caso real.
Imagina a Alex, que busca una herramienta gratuita de gráficos y abre un sitio de descargas. Aparece un recuadro de captcha. Tras hacer clic, se le indica a Alex que pulse Windows + R y pegue para «completar la verificación». Le parece raro, pero el sitio tiene aspecto profesional. Unas horas después, la billetera del navegador de Alex está vacía y una cuenta de exchange muestra un intento de retiro. El ladrón había copiado los datos cifrados de la billetera, las contraseñas guardadas y las cookies de sesión a los pocos minutos de ejecutarse.
Lista de señales de alerta
- Un «captcha» te pide usar atajos de teclado, abrir Ejecutar, Terminal o PowerShell, o pegar cualquier cosa.
- Un sitio web, y no tu navegador, dice que debes descargar una actualización.
- Una descarga llega como script, acceso directo o tipo de archivo inusual en lugar de un instalador normal del proveedor oficial.
- La página apareció tras una redirección desde un sitio que no esperabas o desde un anuncio de búsqueda.
- Un enlace en una conversación de Discord, Telegram o X lleva a un paso de «verificación».
- Tu navegador o antivirus advierte sobre el archivo y la página te dice que ignores la advertencia.
Cómo protegerte
- 1Nunca pegues comandos que no entiendas, sobre todo si vienen de una página web.
- 2Actualiza el software solo desde fuentes oficiales: el menú de configuración del navegador, la herramienta de actualización del sistema operativo o el sitio web oficial del proveedor.
- 3Mantén las frases semilla fuera de línea. Nunca las guardes en apps de notas, capturas de pantalla ni documentos en la nube. Consulta cómo hacer una copia de seguridad de una frase semilla correctamente.
- 4Usa una billetera de hardware para cantidades importantes, de modo que las claves privadas nunca estén en tu ordenador.
- 5Usa un gestor de contraseñas con una contraseña maestra sólida y activa 2FA basada en app o con llave de hardware en exchanges y correo.
- 6Separa actividades: considera un dispositivo o perfil de navegador dedicado a cripto que no uses para descargas ni para navegar por sitios cualesquiera.
- 7Ten cuidado con los anuncios de búsqueda de software y herramientas cripto; nuestra guía sobre phishing mediante anuncios de búsqueda explica por qué.
Qué hacer si lo ejecutaste
- 1Desconecta el dispositivo infectado de internet.
- 2Desde un dispositivo limpio, crea una billetera nueva con una frase semilla nueva y mueve los fondos de cualquier billetera que estuviera en el ordenador infectado. Sigue qué hacer de inmediato si tu billetera está comprometida.
- 3Cambia las contraseñas del correo, los exchanges y tu gestor de contraseñas, empezando por el correo, y cierra todas las sesiones activas.
- 4Revoca las aprobaciones de tokens de cualquier billetera afectada que sigas usando.
- 5Borra y reinstala el ordenador infectado, o pide a un profesional que lo haga; eliminar ladrones de información manualmente no es fiable.
- 6Denuncia el sitio malicioso en la herramienta de navegación segura de tu navegador y a nosotros mediante nuestro formulario de denuncia.
Conclusión
Los captchas falsos y las actualizaciones falsas tienen éxito porque hacen que seas tú quien ejecute el malware. Ninguna verificación real te pide pegar un comando, y ningún navegador real necesita una descarga desde una página cualquiera. Mantén las claves fuera de los ordenadores de uso diario, actualiza solo desde fuentes oficiales y, si cometiste un error, actúa rápido desde un dispositivo limpio.
Preguntas frecuentes
¿Qué es un ataque de captcha falso?
Un ataque de captcha falso muestra una página que parece una verificación normal de «confirma que eres humano», pero en lugar de hacer clic en imágenes te pide pulsar atajos de teclado que abren una ventana de comandos y pegar un comando oculto. Ese comando descarga malware, a menudo un ladrón de información que apunta a billeteras cripto, contraseñas y datos del navegador.
¿Un captcha real me pediría alguna vez ejecutar un comando?
No. Los captchas legítimos te piden marcar una casilla, hacer clic en imágenes o resolver un rompecabezas en el navegador. Nunca te piden abrir el cuadro Ejecutar, Terminal o PowerShell, ni pegar nada. Cualquier instrucción de ese tipo es un ataque y deberías cerrar la página.
¿De verdad los navegadores necesitan actualizaciones manuales desde sitios web?
Los navegadores modernos como Chrome, Firefox, Edge y Safari se actualizan solos o mediante el sistema de actualizaciones de tu sistema operativo. Un sitio web que te dice que descargues un archivo de actualización del navegador es casi siempre malicioso. Busca actualizaciones solo desde el menú de configuración del propio navegador.
Ejecuté el comando. ¿Están seguras mis criptomonedas?
Supón que no. Desconecta el ordenador, usa otro dispositivo limpio para mover los fondos de cualquier hot wallet cuyas claves o frase estuvieran en ese ordenador a una billetera nueva, cambia las contraseñas importantes desde el dispositivo limpio y revoca las sesiones activas. Después, haz que se borre y reinstale el ordenador infectado.