Uma nova e sofisticada campanha de malware está a circular ativamente contra utilizadores de macOS, utilizando uma técnica de engenharia social conhecida como ClickFix. O esquema recorre a verificações CAPTCHA falsas para enganar as vítimas e levá-las a instalar, sem se aperceberem, infostealers — malware especializado no roubo silencioso de palavras-passe, dados bancários, credenciais de carteiras de criptomoedas e outros dados sensíveis.
Como funciona o ataque ClickFix
A técnica ClickFix baseia-se num princípio simples mas eficaz: em vez de explorar uma vulnerabilidade técnica, convence a própria vítima a instalar o malware. O ataque começa quando o utilizador acede a um website comprometido ou fraudulento e se depara com uma página que imita uma verificação de segurança legítima — por exemplo, um teste CAPTCHA da Cloudflare ou um alegado erro do browser.
A página instrui o utilizador a abrir o Terminal do macOS (usando o atalho Comando + Espaço) e a colar e executar um comando aparentemente inofensivo. Uma vez executado, o comando desencadeia silenciosamente o download e a instalação de malware a partir de um servidor controlado pelos atacantes. Porque é o próprio utilizador a executar o comando numa ferramenta legítima do sistema, o ataque consegue contornar muitos mecanismos de segurança automáticos do macOS.
O que o malware rouba
As campanhas ClickFix para macOS identificadas pelos investigadores da Palo Alto Networks Unit 42, da Microsoft e da Malwarebytes distribuem variantes de infostealers como o AMOS (Atomic macOS Stealer), o MacSync e o Shub Stealer. Estes malware são concebidos para roubar:
- Palavras-passe guardadas no browser e no Keychain do macOS
- Dados de carteiras de criptomoedas (Exodus, Atomic Wallet, Ledger)
- Chaves SSH e tokens de acesso a serviços cloud
- Documentos, ficheiros e capturas de ecrã
- Dados do iCloud
- Credenciais de contas de email e redes sociais
Alguns malware vão mais longe: substituem aplicações legítimas de carteiras de criptomoedas por versões trojanizadas, permitindo roubar as seed phrases de recuperação — a chave-mestra de qualquer carteira digital.
A escala do problema: mais de 700 websites comprometidos
O ClickFix tornou-se um dos vetores de ataque mais prolíficos de 2026. Investigadores da Malwarebytes identificaram uma campanha que comprometeu mais de 700 websites legítimos baseados em Ghost, injetando JavaScript malicioso que apresenta páginas CAPTCHA falsas aos visitantes. A Microsoft reportou estar a acompanhar campanhas ClickFix para macOS desde fevereiro de 2026, com pelo menos 20 campanhas distintas identificadas entre fevereiro e março de 2026 dirigidas a ferramentas de IA e de desenvolvimento de software.
Porque o macOS é cada vez mais visado
Durante anos, os utilizadores de macOS beneficiaram de uma perceção de invulnerabilidade. Essa perceção está a mudar rapidamente. Os investigadores da Pillar Security apontam a razão: utilizadores de macOS tendem a ter credenciais de maior valor — chaves SSH, tokens de acesso à cloud, carteiras de criptomoedas — tornando-os alvos mais rentáveis para os atacantes.
Como se proteger
- Nunca cole comandos no Terminal a partir de websites — nenhum serviço legítimo requer isto para verificações CAPTCHA.
- Desconfie de páginas de verificação urgentes, especialmente se pedirem ações no Terminal ou no PowerShell.
- Não instale software de fontes não verificadas — use apenas a App Store ou os websites oficiais dos programadores.
- Mantenha o macOS e as aplicações atualizados — as atualizações de segurança fecham vulnerabilidades exploradas por campanhas desta natureza.
- Use um gestor de palavras-passe com autenticação de dois fatores para limitar os danos em caso de comprometimento de credenciais.
Fontes: Palo Alto Networks Unit 42, Microsoft Security Blog, Malwarebytes — 2026.