Pulsar «No soy un robot» se ha convertido en un gesto automático, y los ciberdelincuentes lo saben. Un CAPTCHA falso imita esa casilla de verificación, pero en lugar de comprobar que eres humano te pide que pegues y ejecutes un comando en tu propio ordenador. Ese comando descarga malware que roba contraseñas, sesiones del navegador y carteras de criptomonedas. La técnica se llama ClickFix y es una de las estafas más eficaces de los últimos años, porque eres tú quien instala el virus.

En esta guía te explicamos cómo reconocerlo en segundos, cómo blindar el PC de casa y qué hacer si ya has caído.

Qué es un CAPTCHA falso (ClickFix)

Un CAPTCHA legítimo, como el reCAPTCHA de Google o Cloudflare Turnstile, se resuelve dentro de la página: marcas una casilla, eliges imágenes o simplemente esperas un segundo. Nunca necesita nada fuera del navegador.

El CAPTCHA falso aparece en webs comprometidas, en anuncios maliciosos, en enlaces de descarga de películas o programas pirata, e incluso en correos que suplantan a empresas conocidas. Al pulsar la casilla, la página copia en silencio un comando en tu portapapeles y te muestra unas «instrucciones de verificación» como estas:

1. Pulsa Windows + R.
2. Pulsa Ctrl + V.
3. Pulsa Intro.

Parece inofensivo, pero lo que acabas de hacer es abrir el cuadro Ejecutar de Windows, pegar un comando de PowerShell o mshta y lanzarlo con tus permisos. En la mayoría de casos ni siquiera ves el comando completo, porque está disfrazado con un texto del tipo «I am not a robot – Verification ID: 4821».

Por qué funciona tan bien

ClickFix no aprovecha un fallo técnico de Windows, sino la confianza del usuario. Como el comando lo ejecutas tú, muchas defensas no lo ven como un ataque. Según el informe de amenazas de ESET del primer semestre de 2025, las detecciones de ClickFix crecieron más de un 500 % respecto al semestre anterior y ya suponían cerca del 8 % de todos los ataques bloqueados, solo por detrás del phishing. Desde entonces la técnica sigue activa y se ha diversificado.

Lo que suele instalar es un infostealer: un programa que vacía en minutos las contraseñas guardadas en el navegador, las cookies de sesión (que permiten entrar en tus cuentas sin conocer la contraseña ni pasar el doble factor), los datos de autocompletado y las carteras de criptomonedas. En otros casos instala troyanos de acceso remoto o incluso ransomware.

Variantes que debes conocer

• Win + X y Terminal: en lugar del cuadro Ejecutar, te piden abrir el menú de Windows + X, elegir «Terminal» o «PowerShell» y pegar el texto.
• FileFix: la página te pide pegar una «ruta de un documento» en la barra de direcciones del Explorador de archivos. En realidad es un comando que se ejecuta.
• Versión para Mac: te indica que abras la app Terminal y pegues una línea para «verificar» o «instalar una actualización». El resultado es el mismo: un ladrón de datos para macOS.
• Falsos errores: avisos de que «Word no puede mostrar el documento» o de que «el navegador necesita una corrección», con un botón «Cómo solucionarlo» que lleva a los mismos pasos.

Cómo detectar un CAPTCHA falso en 5 segundos

Hay una regla que lo resume todo: ninguna web legítima te pedirá nunca que pegues algo en Windows + R, en la Terminal, en PowerShell o en la barra del Explorador para demostrar que eres humano. Si lo ves, cierra la pestaña.

Otras señales de alarma:

• La verificación aparece al abrir una web de descargas, un enlace acortado o una página que no tiene nada que ver con lo que buscabas.
• Te pide atajos de teclado o te enseña capturas de cómo pulsarlos.
• La casilla o el diseño de «Cloudflare» se ven raros, con errores de ortografía o un texto mal traducido.
• Después de pulsar la casilla, el navegador avisa de que la web ha copiado algo al portapapeles.

Cómo proteger tu ordenador (y el de tu familia)

La mejor defensa es saber que esta estafa existe, pero puedes añadir varias capas para que un clic despistado no acabe en desastre:

• Explícaselo a los demás usuarios del PC. Los menores y las personas mayores son los objetivos más fáciles. La frase clave es la de antes: nada se verifica pegando comandos.
• No guardes contraseñas sensibles en el navegador si puedes usar un gestor de contraseñas con contraseña maestra. Y activa la verificación en dos pasos en el correo, el banco y las redes sociales.
• Mantén activo Microsoft Defender (o tu antivirus) y Windows actualizado. No bloquea todos los casos, pero detiene muchas de las cargas conocidas.
• Usa una cuenta estándar, no de administrador, para el día a día. Limita lo que puede hacer el malware si consigue ejecutarse.
• Desactiva el cuadro Ejecutar en equipos compartidos. En Windows 11 Pro puedes hacerlo desde el editor de directivas de grupo (gpedit.msc), en Configuración de usuario > Plantillas administrativas > Menú Inicio y barra de tareas > «Quitar el menú Ejecutar del menú Inicio». En la edición Home se consigue con la clave de registro NoRun. Ojo: los atacantes pueden recurrir a la Terminal, así que no sustituye a la prudencia.
• Evita webs de descargas pirata y anuncios que prometen películas, cracks o programas gratis: son la vía de entrada más habitual.

Qué hacer si ya has ejecutado el comando

Si has seguido los pasos de un CAPTCHA falso, actúa rápido y en este orden:

1. Desconecta el ordenador de internet (Wi-Fi o cable) para cortar el envío de datos.
2. Desde otro dispositivo limpio (el móvil, por ejemplo), cambia las contraseñas del correo, el banco y las cuentas importantes, empezando por el correo principal.
3. Cierra todas las sesiones abiertas en Google, Microsoft, redes sociales y tiendas. Cambiar la contraseña no basta si te han robado las cookies de sesión.
4. Avisa a tu banco si tenías tarjetas guardadas en el navegador y revisa los movimientos.
5. Pasa un análisis sin conexión de Microsoft Defender (Seguridad de Windows > Protección antivirus > Opciones de examen > Examen sin conexión).
6. Si tienes dudas, lo más seguro es copiar tus documentos y reinstalar Windows desde cero. Es lo que recomiendan los equipos de respuesta ante un infostealer, porque pueden dejar puertas traseras difíciles de detectar.

En España puedes llamar gratis al 017, la línea de ayuda en ciberseguridad de INCIBE, que te orienta paso a paso. Si te han robado dinero, presenta denuncia con todas las capturas que tengas.

Preguntas frecuentes

¿Cloudflare o Google me pueden pedir que pulse Windows + R?

No. Los CAPTCHA reales se resuelven siempre dentro del navegador. Cualquier petición de abrir Ejecutar, Terminal o PowerShell es un engaño.

¿Solo afecta a Windows?

Windows es el objetivo principal, pero existen variantes para macOS y Linux que piden pegar el comando en la Terminal.

¿Me protege el antivirus?

Ayuda, pero no es infalible: como eres tú quien ejecuta el comando, algunas variantes pasan desapercibidas. La regla de oro es no pegar nunca comandos que te pida una web.