Fałszywa CAPTCHA nie chce Cię sprawdzić, tylko skłonić, żebyś sam uruchomił polecenie: to technika socjotechniczna ClickFix i jej odmiana CrashFix. Granicą bezpieczeństwa nie jest samo zobaczenie strony, lecz wykonanie dostarczonego polecenia. Jeśli nie wiesz, co wkleiłeś, odłącz urządzenie od sieci i powiadom IT, zamiast wyłączać komputer na oślep.

Co właściwie oznacza ClickFix?

Problem wygląda jak drobna przeszkoda. Rozwiązanie może uruchomić program kradnący dane. Granicą bezpieczeństwa jest tutaj nie samo zobaczenie strony, lecz wykonanie dostarczonego polecenia. ClickFix to technika socjotechniczna, nie nazwa jednego wirusa. Microsoft opisuje kampanie, w których napastnik przekonuje użytkownika do samodzielnego wykonania kodu pod pretekstem CAPTCHA, naprawy błędu lub uruchomienia potrzebnej funkcji. Przynęta i końcowy program mogą się zmieniać.

Typowy łańcuch obejmuje stronę lub wiadomość, wiarygodnie wyglądający problem, skopiowanie polecenia do schowka i instrukcję uruchomienia go w systemie. Polecenie może pobrać kolejny element ataku. Dlatego tekst wklejany przez użytkownika nie musi zawierać całego złośliwego programu.

Łańcuch ataku ClickFix. Opracowanie własne na podstawie opisu Microsoft.

Czy przeglądarka może naprawdę się zepsuć?

Taką odmianę mechanizmu Microsoft opisał 5 lutego 2026 roku jako CrashFix. W kampanii wykrytej w styczniu napastnicy celowo doprowadzali do awarii przeglądarki, a następnie proponowali naprawę prowadzącą do uruchomienia złośliwego kodu. Ładunek obejmował narzędzie zdalnego dostępu oparte na Pythonie.

Różnica ma znaczenie: ostrzeżenie „nie wierz w wymyślone błędy” jest za wąskie. W CrashFix zakłócenie jest rzeczywiste, lecz proponowane rozwiązanie jest pułapką. Sam fakt wystąpienia awarii nie potwierdza uczciwości instrukcji naprawy.

Co oznaczają poszczególne etapy kontaktu z pułapką?

Co zrobić bezpośrednio po uruchomieniu polecenia?

Odłącz urządzenie od sieci i powiadom osobę odpowiedzialną za IT. Przewodnik CISA uzasadnia izolację ograniczaniem dalszej aktywności napastnika. Jeśli można odłączyć sieć, nie wyłączaj komputera odruchowo: wyłączenie może pozbawić specjalistę części ulotnych danych potrzebnych do analizy.

Reakcja po uruchomieniu polecenia. Opracowanie własne na podstawie wskazówek CISA i Microsoft.

Zapisz przybliżony czas, stronę, użyte okno i to, czy nacisnąłeś Enter. Nie publikuj polecenia na forum razem z danymi firmowymi. Microsoft wskazuje historię okna Uruchom w RunMRU jako jedno z miejsc, które mogą zawierać ślady; ich odczyt i interpretację zostaw specjaliście.

Z innego, zaufanego urządzenia zabezpieczaj konta według wskazań administratora. Priorytetem są tożsamość, poczta i konta o szerokich uprawnieniach. Samo zamknięcie strony nie unieważnia skradzionej sesji.

Czy antywirus lub brak uprawnień administratora wystarczą?

Nie traktuj ich jako gwarancji. Microsoft opisuje wykonanie poleceń ClickFix także na urządzeniach z EDR. Nie oznacza to, że ochrona jest zbędna, ale że wynik zależy od konfiguracji, wykrycia i reakcji. Odebranie praw administratora ogranicza część możliwości, nie zastępuje ochrony danych dostępnych zwykłemu użytkownikowi.

Propozycja wdrożenia: administrator powinien przetestować kontrolę uruchamiania aplikacji, ograniczenia narzędzi skryptowych i rejestrowanie zdarzeń. Blokada samego Win+R nie obejmie innych dróg wykonania polecenia.

Co powinien zrobić właściciel strony?

Scenariusz redakcyjny: klient zgłasza fałszywą weryfikację na Twojej domenie. Nie każ mu powtarzać kroków. Zapisz adres podstrony, czas i okoliczności, a administrator powinien zbadać witrynę oraz zależne skrypty. Znany adres nie wyklucza przejęcia strony, co potwierdzają kampanie opisane przez Microsoft.

Praktyczna zasada brzmi: CAPTCHA nie jest kanałem pomocy technicznej i nie powinna wymagać uruchamiania poleceń systemowych. To reguła rozpoznania ryzyka, nie obietnica wykrycia wszystkich oszustw.