Atak ClickFix wykorzystuje przede wszystkim socjotechnikę. Użytkownik widzi stronę przypominającą popularny mechanizm CAPTCHA, komunikat o błędzie albo instrukcję rozwiązania problemu. Zamiast zwykłego zaznaczenia pola otrzymuje jednak polecenie wykonania kilku czynności w systemie Windows — na przykład uruchomienia okna „Uruchom” i wklejenia znajdującej się w schowku komendy.
W lutym 2026 roku CERT Polska opisał rzeczywisty incydent w dużej polskiej organizacji, w którym właśnie Fake CAPTCHA była początkiem infekcji. Przypadek pokazuje, że pozornie niewinna czynność jednego użytkownika może stać się początkiem poważnego incydentu bezpieczeństwa. (CERT Polska)
Czym jest atak ClickFix?
ClickFix nie jest nazwą jednego konkretnego wirusa. Microsoft klasyfikuje go jako technikę socjotechniczną, której zadaniem jest przekonanie użytkownika do samodzielnego rozpoczęcia łańcucha infekcji. Przynętą może być fałszywa CAPTCHA, komunikat o błędzie albo ostrzeżenie sugerujące konieczność wykonania określonych czynności. (Microsoft)
To istotna różnica w porównaniu z częścią klasycznych ataków. Cyberprzestępca nie zawsze musi wykorzystywać podatność oprogramowania czy przesyłać użytkownikowi oczywisty plik wykonywalny. Próbuje zamiast tego przekonać pracownika, aby ten sam uruchomił przygotowane polecenie.
Typowy scenariusz może wyglądać następująco:
- Pracownik trafia na złośliwą lub przejętą stronę.
- Pojawia się ekran przypominający CAPTCHA albo komunikat techniczny.
- Strona nakłania użytkownika do wykonania dodatkowej „weryfikacji”.
- Złośliwa komenda zostaje umieszczona w schowku.
- Instrukcja prosi użytkownika o otwarcie okna Windows „Uruchom”, terminala lub PowerShell.
- Użytkownik wkleja polecenie i je wykonuje.
- Komenda może pobrać i uruchomić kolejne elementy ataku.
Microsoft wskazuje, że w takich kampaniach wykorzystywane są m.in. legalne komponenty Windows, takie jak PowerShell, curl.exe czy mshta.exe. (Microsoft)
Dlaczego fałszywa CAPTCHA jest skuteczna?
CAPTCHA jest elementem, z którym użytkownicy spotykają się regularnie. Zaznaczanie pola „nie jestem robotem”, wybieranie obrazków czy przechodzenie dodatkowej weryfikacji nie jest samo w sobie podejrzane.
Atakujący wykorzystują właśnie to przyzwyczajenie.
Fałszywa strona może imitować popularne rozwiązania weryfikacyjne. Microsoft zaobserwował między innymi strony podszywające się pod Google reCAPTCHA i Cloudflare Turnstile. (Microsoft)
Kluczowym sygnałem ostrzegawczym nie jest więc sam wygląd CAPTCHA, lecz czynności, których strona wymaga od użytkownika.
Normalna weryfikacja internetowa nie powinna wymagać od pracownika:
- uruchamiania
Win + R, - otwierania PowerShell lub terminala,
- wklejania nieznanego polecenia,
- wykonywania skryptu,
- uruchamiania polecenia skopiowanego automatycznie do schowka.
Jeżeli strona internetowa prosi o takie działania, użytkownik powinien przerwać operację i zgłosić sytuację administratorowi lub helpdeskowi.
ClickFix w polskiej firmie — przypadek opisany przez CERT Polska
Szczególnie istotnym przykładem jest analiza opublikowana przez CERT Polska 17 lutego 2026 roku. Zespół uczestniczył w analizie incydentu dotyczącego dużej polskiej organizacji, w której atakujący uzyskał aktywność w sieci.
Analiza logów wskazała, że na jednym z komputerów wykonano polecenie pobierające zawartość z Internetu i przekazujące ją do PowerShell. Według CERT Polska było to charakterystyczne dla ataku Fake CAPTCHA/ClickFix. (CERT Polska)
W analizowanym przypadku wykryto złośliwe oprogramowanie z rodziny Supper oraz mechanizmy pozwalające malware utrzymywać się w systemie. CERT Polska podkreśla jednocześnie, że kampanie Fake CAPTCHA mają charakter masowy i nie muszą być wymierzone w jedną konkretną organizację. (CERT Polska)
To ważne z punktu widzenia mniejszych przedsiębiorstw. Brak statusu dużej korporacji nie oznacza automatycznie braku ryzyka.
Dlaczego atak ClickFix jest problemem dla firmy?
Pojedynczy zainfekowany komputer może być początkiem większego incydentu.
Microsoft obserwował wykorzystanie ClickFix do dostarczania m.in. infostealerów, narzędzi zdalnego dostępu i loaderów. Kampanie mogą prowadzić do kradzieży informacji oraz eksfiltracji danych. (Microsoft)
Dla firmy oznacza to potencjalne ryzyko dotyczące nie tylko samej stacji roboczej, ale również danych i zasobów dostępnych z konta użytkownika.
Dlatego bezpieczeństwo sieci firmowej nie powinno ograniczać się wyłącznie do instalacji programu antywirusowego. Potrzebne są również odpowiednia konfiguracja urządzeń, kontrola uprawnień, monitoring oraz procedury reagowania na nietypowe zachowania.
Jak rozpoznać fałszywą CAPTCHA?
Sam wygląd strony może nie wystarczyć do oceny jej wiarygodności. Znacznie skuteczniejsze jest zwracanie uwagi na żądane działania.
Szczególnie podejrzana jest sytuacja, gdy CAPTCHA lub komunikat w przeglądarce:
- każe nacisnąć
Win + R, - wymaga użycia
Ctrl + V, - prosi o uruchomienie PowerShell, CMD lub terminala,
- twierdzi, że wykonanie komendy jest konieczne do potwierdzenia tożsamości,
- nakazuje zainstalowanie nietypowego dodatku lub „poprawki”,
- próbuje wymusić szybkie wykonanie instrukcji.
Pracownik nie musi rozumieć składni PowerShell, aby uniknąć takiego ataku. Wystarczy prosta zasada organizacyjna: strona WWW nie powinna instruować użytkownika, aby ręcznie uruchamiał nieznane polecenia systemowe.
Jak chronić firmę przed ClickFix?
Nie istnieje pojedyncze zabezpieczenie eliminujące wszystkie warianty tego zagrożenia. Ochrona powinna składać się z kilku warstw.
1. Edukacja użytkowników
Pracownicy powinni wiedzieć, że CAPTCHA wymagająca uruchomienia polecenia systemowego jest sygnałem alarmowym.
Warto pokazywać użytkownikom konkretne mechanizmy ataków zamiast ograniczać szkolenia do ogólnego zalecenia „nie klikaj podejrzanych linków”.
2. Ograniczenie niepotrzebnych możliwości użytkownika
Microsoft rekomenduje rozważenie utwardzenia konfiguracji urządzeń, w tym ograniczenia dostępu do okna „Uruchom” w środowiskach, w których pracownicy nie potrzebują tej funkcji do wykonywania obowiązków. (Microsoft)
Podobna zasada dotyczy uprawnień administracyjnych — użytkownik powinien posiadać tylko te uprawnienia, których rzeczywiście potrzebuje.
3. Monitoring stacji roboczych i sieci
Nietypowe uruchomienie PowerShell, pobieranie kodu z nieznanych domen czy niespodziewane połączenia sieciowe mogą być sygnałem wymagającym analizy.
Stały nadzór nad komputerami, serwerami i infrastrukturą może być elementem obsługi informatycznej firm, szczególnie tam, gdzie przedsiębiorstwo nie posiada własnego zespołu bezpieczeństwa.
4. Aktualne zabezpieczenia endpointów
Oprogramowanie zabezpieczające powinno być aktualne i centralnie zarządzane. Sam antywirus nie rozwiązuje jednak problemu socjotechniki — zwłaszcza gdy to użytkownik wykonuje działania wymagane przez napastnika.
Dlatego zabezpieczenia techniczne należy łączyć z politykami bezpieczeństwa, monitoringiem oraz szkoleniami.
5. Regularny audyt zabezpieczeń
Firma powinna wiedzieć, jakie urządzenia działają w jej sieci, kto posiada uprawnienia administratora, jakie mechanizmy ochronne są aktywne i czy możliwe jest odtworzenie danych po incydencie.
Punktem wyjścia może być audyt IT, obejmujący analizę infrastruktury, zabezpieczeń, backupu oraz potencjalnych obszarów ryzyka.
Co zrobić, jeśli pracownik wykonał instrukcję fałszywej CAPTCHA?
Nie należy zakładać, że zamknięcie przeglądarki rozwiązało problem. Jeśli użytkownik wkleił i uruchomił nieznaną komendę, zdarzenie powinno zostać potraktowane jako potencjalny incydent bezpieczeństwa.
W praktyce należy możliwie szybko:
- zgłosić zdarzenie administratorowi lub helpdeskowi,
- odizolować podejrzaną stację od sieci zgodnie z firmową procedurą reagowania,
- zabezpieczyć informacje potrzebne do analizy incydentu,
- przeanalizować procesy, logi i połączenia sieciowe,
- sprawdzić, czy nie powstały mechanizmy utrzymujące malware w systemie,
- zweryfikować konta i dane, do których użytkownik miał dostęp,
- ustalić, czy podobne zdarzenia wystąpiły na innych urządzeniach.
Samo usunięcie jednego podejrzanego pliku może być niewystarczające. Zakres reakcji powinien wynikać z analizy konkretnego incydentu.
Przykłady dla firm
Biuro rachunkowe: pracownik szuka dokumentu lub informacji w Internecie i trafia na przejętą stronę. Fałszywa CAPTCHA prosi o wykonanie dodatkowej weryfikacji. Uruchomienie komendy może narazić dane dostępne z jego komputera.
Firma handlowa: użytkownik trafia na fałszywą stronę poprzez reklamę lub link. Instrukcja wygląda jak rozwiązanie problemu z przeglądarką, więc wykonuje ją bez konsultacji z IT.
Mała firma bez administratora na miejscu: pracownik zauważa nietypową CAPTCHA, ale nie ma jasnej procedury zgłaszania takich sytuacji. Brak szybkiej reakcji może utrudnić ustalenie, czy doszło do infekcji.
W każdym z tych przypadków istotne są nie tylko zabezpieczenia techniczne, lecz również jasna procedura: pracownik musi wiedzieć, komu i jak zgłosić nietypową sytuację.
Wnioski
Atak ClickFix pokazuje zmianę podejścia cyberprzestępców. Zamiast zawsze próbować automatycznie przełamać zabezpieczenia systemu, mogą wykorzystać użytkownika do wykonania potrzebnej operacji.
Fałszywa CAPTCHA jest szczególnie niebezpieczna dlatego, że wykorzystuje znany i pozornie rutynowy element Internetu. Kluczowym sygnałem ostrzegawczym jest żądanie wykonania operacji poza przeglądarką — zwłaszcza uruchomienia polecenia systemowego.
Podsumowanie
Atak ClickFix łączy fałszywe komunikaty, socjotechnikę i legalne mechanizmy systemu operacyjnego, aby skłonić użytkownika do uruchomienia złośliwego kodu. CERT Polska udokumentował już przypadek takiej infekcji w dużej polskiej organizacji, a Microsoft opisuje ClickFix jako technikę wykorzystywaną w wielu kampaniach malware. (CERT Polska)
Dla przedsiębiorstwa najważniejsze są warstwowe zabezpieczenia: świadomi użytkownicy, ograniczone uprawnienia, monitoring, właściwie skonfigurowane stacje robocze oraz procedura reagowania na incydenty.
Jeżeli firma nie ma pewności, czy obecne zabezpieczenia pozwalają wykryć podobny incydent i odpowiednio na niego zareagować, można skontaktować się z Exabytes i zweryfikować konfigurację infrastruktury oraz organizację opieki IT.
Najnowsze komentarze