La estafa del captcha: así vacían su cuenta bancaria con un simple clic en 'No soy un robot'

¿Cómo funcionan estos captchas que en realidad son trampas?

Es importante tener presente que los captchas originalmente fueron diseñados como barreras de seguridad para diferenciar humanos de bots, por ello su uso es muy común que aparezcan en sitios web que necesitan proteger datos privados de los usuarios. 

Google, por ejemplo, los ha implementado en múltiples plataformas como parte de su estrategia contra el spam y el acceso no autorizado.

Sin embargo, los ciberdelincuentes han encontrado un mecanismo para replicar el chaptcha, usando el mismo diseño, los mismos textos, y hasta los mismos botones.

Lea además: Apple Intelligence cuáles son sus funciones más sorprendentes y cómo aprovecharlas en el iPhone y Mac

Pero cuando el usuario hace clic en la casilla “No soy un robot”, se copia automáticamente un código malicioso en el portapapeles del usuario. De hecho, en ciertos casos, se le solicita al usuario realizar combinaciones de teclas como Windows + R, seguido de Ctrl + V y Enter, lo que activa un código malicioso sin que el usuario lo note.

Segundos después, se ejecuta la instalación de un software malicioso diseñado para robar contraseñas, acceder a cuentas bancarias o tomar el control de la cámara y otras funciones del dispositivo infectado.

Según medios europeos, esta modalidad de estafa mediante captchas falsos fue identificada por primera vez a finales de 2024 por la Oficina Federal Suiza de Ciberseguridad (BACS). Pero en los últimos meses esta modalidad ha cobrado más fuerza al expandirse por sitios web y redes sociales.

¿Cómo saber si un captcha es falso?

Ante a esta nueva ola de trampas digitales, autoridades y expertos en ciberseguridad han emitido una serie de recomendaciones prácticas para que los cibernautas puedan detectar un captcha fraudulento.

Las señales que evidencias la trampa son:

Aparece en sitios donde no se necesitan captchas: si aparece la verificación de "no soy un robot" mientras se está leyendo un artículo o viendo un video, es una trampa.

Solicitan copiar y pegar códigos: ningún captcha seguro pedirá realizar este tipo de acciones. Si el mensaje incluye instrucciones para presionar teclas, se trata de una estafa.

La dirección web no parece confiable: revise con atención la URL. En caso de que haya errores ortográficos, símbolos extraños o nombres poco conocidos, es peligroso.

A su turno, voceros de Kaspersky indicaron que estos ataques están aumentando y que en casi todos los casos se utilizan captchas con instrucciones de copiar y pegar código, lo cual debería activar una alerta en los usuarios.

¿Qué debe hacer si ya cayó en la trampa?

En caso de que un usuario haya interactuado con un captcha fraudulento, lo más recomendable es:

• Desconectarse de internet inmediatamente
• Ejecutar un análisis completo del dispositivo con un antivirus actualizado
• Cambiar las contraseñas de cuentas bancarias, correo y redes sociales
• Verificar que no haya movimientos bancarios extraños y activar alertas de seguridad