Fałszywa CAPTCHA Win+R: atak ClickFix

Fałszywa CAPTCHA, która każe nacisnąć Win+R, wkleić zawartość schowka i zatwierdzić ją Enterem, jest elementem ataku ClickFix, a nie prawdziwą weryfikacją. 5 sierpnia 2026 CERT Orange ostrzegł o wzroście takich kampanii; użytkownicy Windows trafiali na strony udające test „Potwierdź, że jesteś człowiekiem”. Jeśli widzisz taki ekran, zamknij kartę i nie otwieraj okna „Uruchom”. Adres strony zgłoś do CERT Polska przez incydent.cert.pl/phishing. Jeśli polecenie zostało już wykonane, odłącz komputer od sieci i natychmiast skontaktuj się z firmowym zespołem IT lub bezpieczeństwa.

Jak wygląda fałszywa CAPTCHA Win+R

CERT Orange pokazał wariant, w którym kliknięcie „Potwierdź, że jesteś człowiekiem” kopiuje treść do schowka. Następnie strona prowadzi użytkownika przez otwarcie okna „Uruchom”, wklejenie zawartości schowka i jej wykonanie.

26 sierpnia 2026 Cofense, firma analizująca zagrożenia phishingowe, opisała osobny obserwowany wariant: po kliknięciu fałszywej CAPTCHA użytkownik dostawał instrukcje prowadzące do pobrania i uruchomienia NetSupport Manager, narzędzia zdalnego dostępu do komputera, które w opisie kampanii określono jako RAT. 24 września 2026 Arctic Wolf Labs, zespół badawczy ds. bezpieczeństwa firmy Arctic Wolf, opisał późniejszą falę tego samego wzorca na przejętych ukraińskich stronach firmowych, tym razem dostarczającą Psychedelic Stealer — złośliwe oprogramowanie wykradające między innymi hasła i tokeny z przeglądarek. To potwierdza aktywność metody we wrześniu, ale nie oznacza, że za oboma przypadkami stali ci sami sprawcy.

Po czym rozpoznać tę kampanię

• CAPTCHA każe wyjść poza przeglądarkę i otworzyć Win+R, PowerShell albo terminal.
• Przycisk weryfikacji kopiuje tekst do schowka, a kolejne kroki każą go wkleić i uruchomić.
• Komunikat przedstawia wykonanie polecenia jako warunek „potwierdzenia, że jesteś człowiekiem” albo naprawy problemu.
• Strona może wyglądać znajomo albo być prawdziwym, przejętym serwisem — podobnie jak w kampanii ClickFix na third-party.com. Sam wygląd strony nie potwierdza bezpieczeństwa instrukcji.

Co zrobić

Tylko zobaczyłem ekran albo dostałem link

Zamknij kartę bez wykonywania instrukcji. Zgłoś adres strony do CERT Polska przez formularz wskazany wyżej. Jeśli link przyszedł w służbowej wiadomości, prześlij ją firmowemu zespołowi IT lub bezpieczeństwa.

Kliknąłem „Potwierdź”, ale nie uruchomiłem polecenia

Nie wklejaj zawartości schowka do okna „Uruchom”, PowerShella ani terminala. Zamknij stronę i zgłoś jej adres. Samo kliknięcie fałszywego przycisku nie jest tym samym co wykonanie polecenia opisanego w tych kampaniach.

Wkleiłem polecenie i nacisnąłem Enter

Odłącz komputer od Wi‑Fi i kabla sieciowego. Natychmiast skontaktuj się z firmowym zespołem IT lub bezpieczeństwa i zgłoś incydent do CERT Polska przez incydent.cert.pl. Nie używaj tego komputera do dalszego logowania ani do zmiany haseł. Z innego, zaufanego urządzenia zmień hasła do kont używanych na tym komputerze i zakończ ich aktywne sesje.

Czego nie robić

Nie używaj Win+R, PowerShella ani terminala, aby „dokończyć CAPTCHA”. Nie wklejaj treści ze schowka, jeśli strona internetowa sama ją tam umieściła. Nie kontynuuj tylko dlatego, że ekran przypomina Cloudflare lub inną znaną weryfikację.

ClickFix to odmiana phishingu, w której strona skłania użytkownika do samodzielnego wykonania polecenia poza przeglądarką. W tym wariancie przynętą jest CAPTCHA, a momentem krytycznym — wklejenie i uruchomienie zawartości schowka.