A técnica de engenharia social conhecida como ClickFix consolidou-se em 2026 como um dos principais vetores de acesso inicial usados por cibercriminosos, e a sua mais recente evolução passa por incorporar browser fingerprinting — recolha de características do navegador — em centenas de domínios maliciosos para escapar à deteção e servir código apenas às vítimas certas. Investigadores de segurança têm documentado infraestruturas com centenas a milhares de domínios descartáveis que apresentam falsas verificações “não sou um robô” e levam o próprio utilizador a colar e executar comandos que instalam malware.
Resposta rápida: O ClickFix engana o utilizador com uma falsa página de verificação (por exemplo, um CAPTCHA da Cloudflare) e instrui-o a premir Win+R e a colar um comando que instala malware. Como é a própria vítima a executar, muitas defesas tradicionais não o travam. Nunca cole comandos que uma página web lhe peça para correr na caixa Executar, no PowerShell ou no Terminal — se vir esse pedido, feche o separador de imediato.
O que é o ClickFix e porque é tão eficaz
O ClickFix é uma técnica de engenharia social que se disfarça de passo de verificação legítimo — normalmente um falso CAPTCHA ou uma página do tipo “verifique que é humano” — e instrui o utilizador a colar e executar código como se fizesse parte do processo. Surgiu em meados de 2024 como um método de execução enganoso que abusava de elementos de interface familiares para induzir os utilizadores a correr malware sob a aparência de avisos legítimos do sistema, aparecendo frequentemente sob a forma de mensagens do tipo “corrigir agora” e “verificação de bot”.
O mecanismo é enganosamente simples. O utilizador é instruído a premir Windows + R, o que abre a caixa de diálogo Executar nativa do Windows; de seguida, o site diz-lhe para premir Ctrl + V, colando um comando silenciosamente copiado para a área de transferência através de JavaScript; ao premir Enter, o payload é executado. A técnica de fundo é conhecida como pastejacking: o JavaScript em segundo plano preenche a área de transferência da vítima com um comando ofuscado enquanto esta está distraída por engodos visuais como falsos overlays de reCAPTCHA ou da Cloudflare Turnstile.
A razão da sua eficácia é sobretudo psicológica e defensiva. O sucesso continuado do ClickFix deriva da capacidade de contornar controlos de segurança avançados baseados no navegador, ao deslocar o ponto de exploração para ações manuais assistidas pelo utilizador. Por outras palavras, como é a vítima quem executa o comando, esta técnica consegue evadir alguns controlos de segurança que dependem da deteção de exploits em vez do comportamento do utilizador. Os números confirmam a dimensão do problema: o ClickFix foi o ponto de acesso inicial mais comum para adversários no último ano, representando 47% dos ataques observados, segundo a Microsoft.
A nova geração: fingerprinting do navegador para evitar deteção
A tendência que domina a evolução recente é a personalização do ataque através da recolha de características do navegador da vítima. Segundo a Insikt Group da Recorded Future, é de esperar que os engodos ClickFix se tornem cada vez mais tecnicamente adaptáveis, incorporando browser fingerprinting mais seletivo, enquanto continuam a usar infraestruturas que podem ser montadas e desmanteladas rapidamente. O objetivo é claro: iterações futuras deverão incorporar browser fingerprinting mais granular para servir payloads de forma condicional com base no hardware da vítima, localização geográfica ou perfil organizacional.
Na prática, isto significa que as páginas maliciosas verificam quem as visita antes de mostrarem qualquer conteúdo perigoso. Como descreve um investigador que documentou a limpeza de sites WordPress infetados, o código malicioso verifica se o navegador do visitante se identifica como Windows ou macOS com uma versão real de Chrome, Edge ou Firefox; os user agents de scanners (como os da Sucuri, Wordfence ou o Googlebot) recebem uma resposta limpa, enquanto os user agents de visitantes reais recebem a injeção. Kits de ataque mais sofisticados chegam a incluir verificações de ambiente automatizado — payloads que começam por uma função abrangente de fingerprinting do navegador que verifica se está a correr num ambiente automatizado.
A escala destas infraestruturas é considerável. A Menlo Security, por exemplo, identificou cerca de 4.500 domínios pertencentes a uma campanha de polimorfismo, demonstrando uma infraestrutura massiva a alimentar estes ataques ClickFix evasivos. A empresa acrescenta que a telemetria mostra que a campanha se iniciou por volta de 25 de março de 2026, com um pico massivo de vítimas visadas no final de abril e início de maio.
Falsas verificações da Cloudflare: a isca preferida
A imitação da interface de verificação da Cloudflare tornou-se o disfarce mais comum. As campanhas mais recentes mostram uma mudança clara para falsas páginas de verificação Cloudflare e reCAPTCHA, provavelmente porque os utilizadores desenvolveram memória muscular em torno destas verificações, e muitas destas páginas são distribuídas através de sites de streaming pirata onde avisos intrusivos são esperados. A qualidade da imitação é elevada: os investigadores da Varonis descreveram que a versão de ClickFix observada foi entregue como um único ficheiro HTML autónomo que replicava a página Cloudflare Turnstile, com todas as imagens, estilos e scripts necessários embebidos localmente, sem recursos de terceiros carregados.
Um caso concreto e preocupante foi documentado pela Rapid7: cibercriminosos combinaram sites comprometidos com engodos ClickFix cada vez mais sofisticados para entregar novo malware do tipo infostealer, com uma única campanha a armar mais de 250 sites WordPress em 12 países. Segundo esse relatório, a campanha WordPress entrega três payloads infostealer separados — dois deles anteriormente desconhecidos — e usa uma infraestrutura de domínios que parece ter sido montada desde julho de 2025. Os sites afetados não eram alvos aleatórios de baixo perfil: os sites WordPress comprometidos incluíam meios de comunicação regionais, sites de empresas locais e até a página oficial de um candidato ao Senado dos EUA.
Como funciona a cadeia de ataque
| Fase | O que acontece |
|---|---|
| 1. Entrega | Malvertising, envenenamento de SEO, e-mail de phishing ou site legítimo comprometido conduzem a vítima à página maliciosa. |
| 2. Fingerprinting | A página verifica o navegador, o sistema operativo e sinais de automatização; scanners recebem conteúdo limpo, vítimas reais recebem a injeção. |
| 3. Engodo | É apresentada uma falsa verificação (por exemplo, Cloudflare Turnstile) com instruções para “confirmar que é humano”. |
| 4. Pastejacking | Ao interagir, o JavaScript copia silenciosamente um comando (PowerShell/mshta) para a área de transferência. |
| 5. Execução manual | A vítima abre a caixa Executar (Win+R), cola (Ctrl+V) e prime Enter, correndo o comando com as próprias mãos. |
| 6. Payload | Descarrega e executa malware — frequentemente infostealers como Lumma ou RATs — muitas vezes diretamente em memória. |
Quanto à distribuição, a Push Security aponta que das páginas ClickFix intercetadas em que o vetor de entrega foi observado, 4 em cada 5 foram acedidas via pesquisa do Google. Os tipos de malware entregues são variados: campanhas que usam ClickFix entregaram uma variedade de payloads desta forma — de malware de roubo de informação como Lumma e Stealc a trojans de acesso remoto (RATs) completos, que permitem aos atacantes controlar o sistema da vítima, como o NetSupport Manager.
Como se proteger
- Nunca cole comandos que uma página web lhe peça para executar em
Executar (Win+R), noPowerShellou noTerminal. Uma página legítima nunca lhe pede isto. - Perante um falso CAPTCHA que peça sequências de teclas, feche o separador do navegador de imediato.
- Nas organizações, considere restringir ou monitorizar o acesso dos utilizadores a utilitários nativos. Como notam os investigadores, a defesa deve afastar-se do simples bloqueio de indicadores e caminhar para o reforço comportamental agressivo dos utilitários de sistema em que o ClickFix se apoia.
- Mantenha a higiene do WordPress: mantenha plugins e temas atualizados, restrinja a exposição do painel de administração e implemente regras de WAF.
- Reforce a formação: treine o pessoal no padrão específico do ClickFix, não em sensibilização genérica de phishing — mostre ecrãs reais de falsos CAPTCHA que pedem para premir Win+R, porque a formação genérica não se transfere para esta isca.
Porque é que isto importa em Portugal
Para cidadãos, PME e organizações portuguesas, o ClickFix é uma ameaça de baixo custo e elevado retorno para os atacantes, que atinge quem quer que navegue na web — de sites de notícias a lojas locais. Um infostealer entregue por esta via pode exfiltrar palavras-passe, cookies de sessão e carteiras de criptomoedas, com implicações diretas na proteção de dados pessoais e nas obrigações do RGPD quando estão em causa dados de clientes ou colaboradores.
No plano organizacional, o novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a Diretiva NIS2) reforça as exigências de gestão de risco e de notificação de incidentes para as entidades abrangidas. Um comprometimento por ClickFix que resulte em roubo de credenciais ou ransomware pode constituir um incidente com relevância para o CNCS/CERT.PT, sublinhando a importância de detetar e travar estas campanhas o mais cedo possível na cadeia de ataque.
Perguntas frequentes
O que é exatamente um ataque ClickFix?
É uma técnica de engenharia social que apresenta uma falsa página de verificação (como um CAPTCHA da Cloudflare) e convence o utilizador a colar e executar um comando na caixa Executar, no PowerShell ou no Terminal. Esse comando instala malware. Como é a própria vítima a correr o código, muitas defesas tradicionais não o intercetam.
O que é o browser fingerprinting neste contexto?
É a recolha de características do navegador e do sistema (sistema operativo, versão, sinais de automatização) para decidir a quem servir o conteúdo malicioso. Scanners de segurança recebem uma página limpa, enquanto vítimas reais recebem a injeção — o que dificulta a deteção e permite direcionar o ataque.
Como sei se estou perante um ClickFix?
O sinal de alarme mais claro é uma página que lhe pede para premir Windows+R, Ctrl+V e Enter, ou para colar um comando no Terminal ou no PowerShell. Nenhum site legítimo pede isto. Se o vir, feche imediatamente o separador e não execute nada.
Que malware costuma ser entregue?
Frequentemente infostealers como o Lumma ou o Stealc, que roubam palavras-passe, cookies de sessão e carteiras de criptomoedas, mas também trojans de acesso remoto (RATs) como o NetSupport Manager, que dão controlo total do sistema ao atacante.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente por investigadores de segurança, incluindo a Recorded Future (Insikt Group), a Microsoft, a Rapid7, a Push Security, a Menlo Security e a Varonis.