Una web te pide demostrar que eres humano, pero en vez de marcar una casilla te indica que pulses varias teclas y pegues un comando. Para ahí: no es un CAPTCHA normal. Es una técnica de estafa conocida como ClickFix, diseñada para que seas tú quien ejecute el programa malicioso. Google anunció el 20 de octubre nuevas defensas de Chrome contra este engaño, pero reconocerlo sigue siendo la mejor protección.
Cómo funciona el CAPTCHA falso
El aspecto cambia, pero el truco suele empezar con una pantalla parecida a las verificaciones que vemos todos los días. Puede decir que hay que confirmar que no eres un robot, corregir un error del navegador, abrir un documento o instalar una actualización.
Después llega la señal que lo delata: la página te pide abrir una herramienta del sistema y pegar algo. En Windows suele mencionar el cuadro Ejecutar, PowerShell o el Símbolo del sistema. En un Mac puede intentar llevarte al Terminal. El texto que se pega puede no coincidir siquiera con lo que la página asegura mostrar.
Regla sencilla: un CAPTCHA legítimo puede pedirte marcar una casilla, escribir caracteres o elegir imágenes. Nunca necesita que abras una consola, pulses una combinación para ejecutar comandos o pegues instrucciones en el sistema.
Por qué este engaño puede saltarse otras protecciones
No estamos ante un fallo que se arregle cerrando un anuncio. La página intenta convencerte de que ejecutes voluntariamente una orden. Según Google, estos comandos suelen aprovechar herramientas legítimas que ya vienen instaladas, como PowerShell o cmd.exe, para descargar o preparar malware. Así, parte de la actividad sale del navegador y puede parecer una tarea normal del propio sistema.
Una vez ejecutado, el programa malicioso puede buscar contraseñas guardadas, sesiones abiertas, datos del correo o credenciales bancarias. También puede instalar acceso remoto o descargar más amenazas. La Comisión Federal de Comercio de Estados Unidos ha alertado de que los CAPTCHA falsos pueden acabar robando accesos al correo, a la banca y a otros servicios.
Señales para reconocerlo antes de pulsar nada
- Te obliga a usar el teclado de una forma extraña: abrir Ejecutar, una consola o el Terminal no forma parte de una verificación humana.
- Te pide pegar algo sin enseñarlo claramente: una web puede colocar contenido en el portapapeles y ocultar lo que realmente vas a ejecutar.
- Aparece al intentar ver un vídeo, descargar un archivo o entrar en una página dudosa: el supuesto control de seguridad se usa como puerta de entrada.
- Te mete prisa: mensajes como “verificación obligatoria”, “navegador bloqueado” o “actualiza ahora” buscan que actúes sin pensar.
- Promete arreglar el ordenador desde la propia página: Chrome no te va a pedir que lo repares pegando comandos.
Qué hacer si aparece una pantalla así
- No sigas los pasos. No pegues nada, no aceptes descargas y cierra la pestaña.
- No vuelvas desde el historial. Si necesitas esa información, busca la web oficial escribiendo tú mismo la dirección o usando un resultado fiable.
- Actualiza el navegador desde su menú. Las actualizaciones de Chrome, Edge o Firefox se gestionan en el propio navegador, no desde avisos de una página cualquiera.
- Mantén activa la Navegación segura. En Chrome, la protección estándar viene activada de forma predeterminada. La protección mejorada analiza más señales y puede avisar también de amenazas nuevas.
Google explica que Chrome ya puede analizar, para usuarios con Protección mejorada, determinados comandos sospechosos copiados desde una página y mostrar un aviso si detecta peligro. También estrena una categoría de advertencia para sitios sospechosos, además de la que ya utiliza para páginas consideradas peligrosas. Es una ayuda importante, pero no cubre todos los navegadores, equipos ni variantes del engaño.
Ya pegaste el comando: actúa en este orden
Si solo copiaste el texto pero no lo pegaste ni lo ejecutaste, cierra la página y sustituye el contenido del portapapeles copiando una frase cualquiera. Si llegaste a pulsar Intro o viste que se abría una ventana, se descargaba algo o el antivirus mostraba un aviso, trátalo como una posible infección.
- Desconecta el equipo de internet, quitando el cable de red o desactivando el WiFi.
- No entres en el banco, el correo ni las redes sociales desde ese ordenador hasta revisarlo.
- Cambia las contraseñas importantes desde otro dispositivo limpio, empezando por el correo, y activa la verificación en dos pasos.
- Revisa los movimientos bancarios y contacta con la entidad por su teléfono oficial si introdujiste datos o ves una operación extraña.
- No borres pruebas a ciegas. Una foto del aviso, la dirección de la página y la hora pueden ayudar a entender qué ocurrió.
No basta con borrar el historial. Si el comando llegó a ejecutarse, el problema puede estar ya fuera del navegador. Tampoco conviene instalar tres limpiadores al azar: pueden estorbar el análisis, borrar pistas o añadir más software no deseado.
Qué hacemos en Valiña Informática
En Valiña Informática, en Piedras Blancas, podemos revisar el equipo si apareció un CAPTCHA falso, pegaste un comando o el ordenador empezó a comportarse de forma extraña:
- Comprobamos procesos, programas de inicio, extensiones, descargas y señales de acceso no autorizado con nuestro servicio de virus, anuncios y estafas.
- La revisión y presupuesto cuesta 15 €, gratis si lo reparamos.
- Reparamos ordenadores y portátiles, hacemos copia de datos y mejoramos equipos con SSD o ampliación de RAM cuando compensa.
- Disponemos de equipos nuevos y de segunda mano revisados con un año de garantía.
- Asesoramos entre 16 operadoras, tenemos comparador de tarifas y ofrecemos mantenimiento para empresas.
Estamos en C/ Ramiro I, 7, Piedras Blancas, de lunes a viernes de 9:00 a 17:00. Puedes consultar más explicaciones prácticas en nuestra sección de Consejos.
Autor: Efrén Valiña.
¿Pegaste un comando desde un CAPTCHA?
Desconecta el ordenador de internet y cuéntanos qué apareció en pantalla. Te ayudamos a comprobar si se instaló algo antes de volver a usar tus cuentas.
Fuentes: Google Security Blog – Nuevas defensas contra las estafas web · Google Chrome – Niveles de Navegación segura · FTC – Cómo detectar una estafa con CAPTCHA. Información revisada el 21 de octubre de 2026.