CAPTCHAs falsos: cuidado con las páginas de verificación que propagan malware

Lima, agosto de 2025.– Aunque los CAPTCHA se han convertido en una herramienta confiable para frenar el accionar de bots en Internet, los cibercriminales están explotando esta confianza con páginas falsas de verificación que distribuyen malware, según alerta ESET, compañía especializada en ciberseguridad.

Los bots maliciosos representan cerca del 40 % de la actividad automatizada en la web, y muchos ciberdelincuentes aprovechan la impaciencia de los usuarios para hacer clic rápidamente en supuestas pruebas de verificación. En vez de proteger, estas páginas activan comandos ocultos que instalan programas maliciosos en los dispositivos.

“Cuando vemos un CAPTCHA solemos hacer clic sin pensarlo demasiado. Pero si el sitio es falso, ese clic puede poner en riesgo tu información personal”, advierte Camilo Gutiérrez Amaya, jefe del Laboratorio de Investigación de ESET Latinoamérica.

Los CAPTCHAs falsos suelen aparecer en sitios web comprometidos o llegar por medio de correos de phishing, SMS o redes sociales. Algunos incluso solicitan acciones inusuales como presionar teclas específicas para ejecutar comandos maliciosos en el sistema, aprovechando herramientas legítimas de Windows como PowerShell o mshta.exe.

Una de las amenazas más comunes derivadas de estos falsos CAPTCHA son los infostealers, programas diseñados para robar datos personales como contraseñas, credenciales bancarias, correos electrónicos y criptomonedas. En 2024, más de 23 millones de personas fueron víctimas de este tipo de ataques, y solo una variante como Lumma Stealer llegó a comprometer más de 10 millones de dispositivos.

Además, los atacantes también pueden instalar troyanos de acceso remoto (RAT), como AsyncRAT, que permiten el control total del dispositivo de la víctima, incluyendo la grabación de teclas, captura de pantalla y espionaje a distancia.

ESET recomienda a los usuarios extremar precauciones al enfrentarse a CAPTCHAs inusuales y tomar medidas como:

• Desconfiar de CAPTCHAs que pidan ejecutar comandos o aparecer en sitios sospechosos.
• Mantener el sistema operativo y navegador actualizados.
• Usar software de seguridad confiable.
• Evitar descargas desde fuentes pirata.
• Utilizar bloqueadores de anuncios para prevenir la carga de contenido malicioso.

Si el usuario ejecutó accidentalmente algún comando malicioso, es fundamental escanear el equipo con software antivirus, desconectarse de Internet, respaldar archivos importantes, restaurar el dispositivo a valores de fábrica y cambiar todas las contraseñas utilizando autenticación de dos factores.

Para más información, se puede visitar el portal de noticias de ESET:
https://www.welivesecurity.com/es/seguridad-digital/captchas-verificacion-falsos-propagan-malware

Y también escuchar su podcast “Conexión Segura” en Spotify:
https://open.spotify.com/show/0Q32tisjNy7eCYwUNHphcw