ClickFix to rodzaj socjotechniki, w której przestępcy nie próbują bezpośrednio wykorzystać skomplikowanej luki w systemie, lecz przekonują użytkownika do wykonania niebezpiecznej czynności własnymi rękami. Schemat może rozpocząć się od strony informującej, że konieczne jest potwierdzenie, iż odwiedzający nie jest robotem. Po kliknięciu pojawiają się instrukcje sugerujące wykonanie dodatkowego kroku. Użytkownik może zostać poproszony o otwarcie systemowego narzędzia i wklejenie znajdującej się już w schowku treści. Strona wcześniej umieszcza tam odpowiednie polecenie, dlatego ofiara nie musi nawet widzieć całego kodu. Wszystko jest przedstawiane jako standardowa procedura bezpieczeństwa. Pojawiają się numery weryfikacji, paski postępu, komunikaty o błędach, odliczanie czasu i elementy graficzne przypominające popularne zabezpieczenia stron.
Skuteczność tego mechanizmu wynika przede wszystkim z przyzwyczajenia internautów. CAPTCHA od lat wymaga od nas wykonywania nietypowych zadań - wybierania zdjęć z sygnalizacją świetlną, przesuwania elementów, zaznaczania pól albo przepisywania znaków. Kolejna instrukcja może więc nie wzbudzić natychmiastowego podejrzenia. Cyberprzestępcy wykorzystują również autorytet znanych marek. Fałszywa weryfikacja może przypominać Cloudflare, Microsoft, Google lub inną usługę, którą użytkownik wcześniej widział wiele razy. Najważniejsza zasada jest jednak bardzo prosta: prawdziwa CAPTCHA powinna zostać rozwiązana w obrębie przeglądarki. Jeżeli strona każe otworzyć narzędzie systemowe i wkleić do niego polecenie, nie jest to normalny sposób potwierdzania, że użytkownik jest człowiekiem.
W typowym ataku ClickFix samo zaznaczenie pola przypominającego "Jestem człowiekiem" nie musi jeszcze oznaczać infekcji. Najważniejszy etap następuje później, gdy fałszywa strona przekonuje użytkownika do wykonania dodatkowych instrukcji. Kliknięcie może natomiast spowodować automatyczne umieszczenie przygotowanej przez przestępców treści w schowku. Następnie użytkownik otrzymuje instrukcję, aby wkleić ją do wskazanego miejsca i zatwierdzić. W efekcie to sam właściciel komputera uruchamia polecenie, które może rozpocząć pobieranie i instalowanie złośliwego oprogramowania. Dla systemów ochronnych jest to trudniejsza sytuacja niż zwykłe przypadkowe pobranie podejrzanego pliku, ponieważ część działań wykonywana jest przy użyciu legalnych narzędzi obecnych w Windows od początku. Microsoft wskazuje, że właśnie taki mechanizm jest charakterystyczny dla kampanii ClickFix.
Dlatego osoba, która jedynie kliknęła podejrzane pole CAPTCHA, ale nie wykonywała później żadnych instrukcji poza przeglądarką, znajduje się w innej sytuacji niż użytkownik, który wkleił i uruchomił otrzymane polecenie. Nie należy wpadać w panikę tylko dlatego, że strona okazała się fałszywa. Warto ją zamknąć, nie zezwalać na pobieranie plików ani powiadomienia i sprawdzić, czy nic nie zostało uruchomione. Jeżeli natomiast wykonano opisane przez stronę działania w systemowym oknie poleceń, Terminalu albo podobnym narzędziu, sytuację należy potraktować jako potencjalny incydent bezpieczeństwa. W 2026 roku CERT Polska opisał przypadek dużej polskiej organizacji, w którym właśnie Fake CAPTCHA i działanie wykonane przez użytkownika stały się początkiem znacznie poważniejszej infekcji infrastruktury.
Atak na Windows często wykorzystuje fakt, że w systemie znajdują się legalne narzędzia mogące wykonywać polecenia, pobierać dane i uruchamiać skrypty. Cyberprzestępca nie musi więc od razu dostarczać użytkownikowi pliku o nazwie "wirus.exe", który łatwo wzbudziłby podejrzenie. Zamiast tego fałszywa CAPTCHA prowadzi ofiarę przez kilka pozornie prostych kroków. Końcowym efektem może być uruchomienie kodu, który kontaktuje się z serwerem atakującego i dopiero wtedy pobiera właściwy składnik infekcji. W zależności od kampanii może to być program wykradający dane, zdalny dostęp do komputera, narzędzie przejmujące zapisane hasła albo kolejny etap przygotowujący system do dalszego ataku. Microsoft obserwował kampanie wykorzystujące ten schemat do dostarczania różnych rodzin szkodliwego oprogramowania.
Problemem jest również wykorzystanie tak zwanych technik living off the land, czyli nadużywanie legalnych komponentów systemu zamiast dostarczania wszystkich narzędzi przez atakującego. Program ochronny musi wtedy rozpoznać nie tyle obecność konkretnego pliku, ile nietypową kombinację zachowań. Dodatkowo kod może być zaciemniony lub zmieniać się pomiędzy kolejnymi kampaniami. Nie oznacza to, że Defender lub inne zabezpieczenia są bezradne - współczesne rozwiązania potrafią wykrywać wiele takich zachowań. Problem polega na tym, że użytkownik świadomie wykonujący kolejne instrukcje może pomagać atakowi ominąć część naturalnych barier bezpieczeństwa. CERT Polska zwraca uwagę, że kampanie Fake CAPTCHA mają charakter masowy, a jeden przejęty komputer firmowy może w niektórych przypadkach stać się punktem wyjścia do znacznie szerszego incydentu.
Przekonanie, że tego typu problem dotyczy wyłącznie użytkowników Windows, jest już zdecydowanie nieaktualne. Kampanie ClickFix są aktywnie dostosowywane do macOS. Schemat socjotechniczny pozostaje bardzo podobny, ale zmieniają się instrukcje prezentowane użytkownikowi. Fałszywa strona może rozpoznać system operacyjny odwiedzającej ją osoby i wyświetlić wersję przygotowaną specjalnie dla Maca. Microsoft opisał w sierpniu 2026 roku kampanie, w których strony stosowały nawet mechanizmy rozpoznające parametry przeglądarki i urządzenia, aby pokazywać przynętę przede wszystkim rzeczywistym użytkownikom macOS, a jednocześnie utrudniać analizę badaczom bezpieczeństwa. Celem pozostawało skłonienie ofiary do uruchomienia polecenia, które prowadziło do kolejnego etapu infekcji.
Atakujący eksperymentują również z metodami, które wyglądają mniej podejrzanie niż klasyczne proszenie użytkownika o wpisywanie poleceń. W 2026 roku badacze opisywali kampanie wykorzystujące mechanizmy macOS do otwierania edytora skryptów z przygotowaną zawartością. Innym popularnym celem ataków są osoby poszukujące w Google popularnych programów lub narzędzi związanych ze sztuczną inteligencją. Fałszywa instrukcja instalacji może prowadzić do uruchomienia infostealera, którego zadaniem jest przejęcie danych z przeglądarek, zapisanych loginów, portfeli kryptowalutowych lub innych informacji znajdujących się na komputerze. Mac nie jest więc automatycznie odporny na ClickFix. Mechanizm ataku wykorzystuje przede wszystkim zaufanie człowieka, a nie tylko słabość konkretnego systemu operacyjnego.
Najważniejszym sygnałem ostrzegawczym jest żądanie opuszczenia przeglądarki. Normalna CAPTCHA może wymagać zaznaczenia pola, rozwiązania zadania, przesunięcia elementu lub po prostu poczekania na automatyczną analizę. Nie powinna wymagać uruchomienia systemowych narzędzi administracyjnych, konsoli, Terminala ani wklejania treści ze schowka. Szczególnie podejrzane są instrukcje składające się z kilku kroków opartych na skrótach klawiaturowych oraz zakończone poleceniem zatwierdzenia wcześniej wklejonej treści. Strona może próbować przekonać użytkownika, że jest to "kod weryfikacyjny", "identyfikator Cloudflare" albo sposób naprawienia błędu. W rzeczywistości zwykła strona internetowa nie potrzebuje uruchamiania poleceń w systemie operacyjnym do potwierdzenia, że przed komputerem siedzi człowiek.
Nie można również zakładać, że strona jest bezpieczna tylko dlatego, że trafiliśmy na nią z wyszukiwarki albo wygląda profesjonalnie. Kampanie ClickFix są rozpowszechniane przez reklamy, wiadomości phishingowe, wyniki wyszukiwania i przejęte legalne witryny. Zdarza się więc, że użytkownik wcale nie odwiedza adresu wyglądającego jak oczywista domena oszustów. W 2026 roku CERT Polska informował o wykorzystywaniu przejętych polskich stron internetowych, a badacze bezpieczeństwa opisują również pozycjonowanie fałszywych witryn i reklamy prowadzące do niebezpiecznych instrukcji. Dlatego lepszą ochroną niż zapamiętywanie wyglądu konkretnej fałszywej CAPTCHA jest jedna uniwersalna zasada: weryfikacja człowieka kończy się w przeglądarce. Instrukcja wymagająca uruchamiania kodu na komputerze powinna natychmiast zakończyć wizytę na stronie.
Jeżeli podejrzana instrukcja została wykonana, nie warto zakładać, że brak widocznych objawów oznacza brak infekcji. Wiele współczesnych infostealerów zostało zaprojektowanych tak, aby działać możliwie cicho. Nie muszą wyświetlać reklam, spowalniać komputera ani powodować charakterystycznych komunikatów. Ich celem może być szybkie przejęcie informacji zapisanych w przeglądarce, plików cookie umożliwiających dostęp do aktywnych sesji, danych logowania, informacji z portfeli kryptowalutowych lub innych poufnych danych. Pierwszym krokiem powinno być odłączenie potencjalnie zainfekowanego urządzenia od sieci i przeprowadzenie kontroli z wykorzystaniem aktualnego oprogramowania zabezpieczającego. W przypadku komputera firmowego najlepiej natychmiast poinformować dział IT lub osobę odpowiedzialną za bezpieczeństwo zamiast próbować samodzielnie ukryć incydent.
Jeśli na komputerze znajdowały się zapisane hasła lub aktywne sesje do ważnych usług, rozsądne jest założenie, że część danych mogła zostać przejęta. Hasła do poczty, bankowości, mediów społecznościowych i innych kluczowych kont należy zmieniać z innego, zaufanego urządzenia, zaczynając od poczty elektronicznej, ponieważ często umożliwia ona resetowanie haseł do pozostałych usług. Warto również wylogować aktywne sesje i włączyć uwierzytelnianie wieloskładnikowe. W środowisku firmowym konsekwencje mogą być znacznie poważniejsze, ponieważ przejęcie pojedynczego konta może umożliwić dalsze przemieszczanie się atakującego w sieci. Przypadek analizowany przez CERT Polska pokazuje, że pozornie niewinna fałszywa CAPTCHA może być początkiem ataku obejmującego znacznie więcej niż jeden komputer.
Największą siłą ClickFix jest przeniesienie części odpowiedzialności za infekcję na użytkownika. Systemy operacyjne są coraz lepsze w blokowaniu nieznanych aplikacji, analizowaniu pobieranych plików i ostrzeganiu przed programami pochodzącymi z niezaufanych źródeł. Atakujący próbują więc ominąć ten model poprzez skłonienie człowieka do świadomego uruchomienia operacji. Ofiara nie uważa przy tym, że instaluje nieznany program. Jest przekonana, że potwierdza CAPTCHA, naprawia błąd przeglądarki, odzyskuje dostęp do strony albo instaluje legalne narzędzie. Microsoft zaobserwował nawet wariant CrashFix, w którym przestępcy celowo wywoływali problemy z działaniem przeglądarki, a następnie przedstawiali złośliwe polecenie jako sposób przywrócenia jej normalnej pracy.
Producenci systemów reagują na rosnącą skalę zagrożenia. Mechanizmy ochronne coraz częściej analizują zachowanie poleceń, ruch sieciowy oraz nietypowe działania legalnych narzędzi systemowych. Na macOS rozwijane są także ostrzeżenia mające utrudniać bezrefleksyjne wklejanie potencjalnie niebezpiecznych komend do Terminala. Cyberprzestępcy odpowiadają jednak zmianą metod. Pojawiają się nowe przynęty, automatyczne dopasowywanie instrukcji do systemu operacyjnego, strony pokazujące materiały instruktażowe, a nawet mechanizmy próbujące odróżnić prawdziwą ofiarę od badacza analizującego kampanię. Dlatego najskuteczniejszą warstwą ochrony pozostaje świadomość prostego faktu: żadna normalna CAPTCHA nie wymaga od użytkownika ręcznego uruchamiania kodu na jego komputerze.
ClickFix jest dobrym przykładem zmiany zachodzącej w cyberprzestępczości. Atak nie musi wyglądać jak podejrzany załącznik wysłany przez nieznaną osobę. Może pojawić się w trakcie wykonywania zupełnie zwyczajnej czynności - otwierania strony, pobierania programu albo potwierdzania, że użytkownik nie jest botem. Fałszywa CAPTCHA wykorzystuje element internetu, któremu nauczyliśmy się ufać i który wykonujemy niemal bez zastanowienia. Skala problemu może więc rosnąć niezależnie od poziomu wiedzy technicznej użytkowników. Szczególnie niebezpieczne jest to, że podobne mechanizmy można szybko modyfikować. Dzisiaj przynętą jest CAPTCHA, jutro może nią być komunikat o problemie z przeglądarką, aktualizacji, dokumencie lub konieczności zwolnienia miejsca na dysku. Wspólnym elementem pozostaje próba przekonania człowieka do wykonania polecenia dostarczonego przez nieznaną stronę.
Nie oznacza to jednak, że korzystanie z internetu wymaga podejrzliwości wobec każdej weryfikacji "Jestem człowiekiem". Prawdziwe systemy CAPTCHA nadal są powszechne i służą ochronie stron przed automatycznymi botami. Wystarczy nauczyć się rozpoznawać moment, w którym procedura przestaje być normalna. Zaznaczenie pola, wybór obrazków czy oczekiwanie na automatyczne potwierdzenie to typowe działania. Otwieranie narzędzia systemowego i uruchamianie przekazanego przez stronę polecenia - nie. Ta jedna zasada może być obecnie ważniejsza niż rozpoznawanie konkretnego logo czy wyglądu fałszywej strony. ClickFix jest skuteczny dlatego, że wykorzystuje rutynę. Najlepszą ochroną jest więc przerwanie tej rutyny dokładnie w chwili, gdy zwykła internetowa weryfikacja zaczyna prosić o dostęp do funkcji znajdujących się poza przeglądarką.
