Como funciona o ClickFix?
Ao contrário do phishing tradicional, que tenta convencer a vítima a clicar num anexo ou link malicioso, o ClickFix inverte a lógica do ataque: em vez de o atacante executar o código, é a própria vítima que o faz, guiada passo a passo por instruções aparentemente legítimas.
O ataque começa com uma isca num site comprometido, num anúncio malicioso (malvertising), num email ou num comentário de spam que direcciona a vítima para uma página fraudulenta. Essa página imita um ecrã de verificação comum, como um CAPTCHA do Cloudflare, mas em vez do habitual “não sou um robô”, pede à vítima para seguir passos técnicos: abrir a janela “Executar” do Windows (Windows + R), colar um comando e premir Enter.
O que a vítima cola e executa, sem perceber, é um comando malicioso que instala directamente o malware no computador, sem passar pelos filtros de segurança que normalmente inspeccionam anexos ou ficheiros descarregados. É precisamente essa simplicidade, segundo a Check Point, que torna o ClickFix tão eficaz: não depende de vulnerabilidades técnicas, apenas da confiança da vítima num ecrã que parece rotineiro.
De onde vem esta ameaça e porque está a espalhar-se tão depressa?
O ClickFix surgiu em 2024, mas foi em 2025 que se tornou uma das técnicas de acesso inicial mais significativas do panorama do cibercrime. Já foi adoptado por operações de infostealers estabelecidas como o RedLine e o Lumma, por campanhas que entregam o ransomware Interlock, e por famílias de malware mais recentes como o infostealer MonsterV2 e o RAT PureHVNC. Mesmo alguns grupos de ciberespionagem ligados a Estados já adoptaram o ClickFix como método preferencial, em vez das técnicas de acesso inicial mais tradicionais.
A técnica também já gerou variantes: o FileFix, que engana a vítima para colar um caminho de ficheiro malicioso no Explorador de Ficheiros do Windows em vez da janela “Executar”; e o ConsentFix, mais recente, que engana utilizadores para autorizarem o acesso a contas Microsoft/Azure através de um fluxo de autenticação aparentemente legítimo. A técnica já foi ainda adaptada para atacar utilizadores de macOS e de Linux, e existem já kits comerciais no mercado clandestino, como o chamado “IUAM ClickFix Generator” que permitem a qualquer criminoso, mesmo sem grandes conhecimentos técnicos, montar rapidamente a sua própria campanha.
Como se proteger?
A regra mais importante é simples: nenhuma verificação humana legítima seja um CAPTCHA, uma confirmação de idade ou uma validação de segurança alguma vez pede para abrir a janela “Executar”, colar um comando ou código, e premir Enter. Se um site pedir isso, a resposta correcta é fechar a página imediatamente, sem seguir nenhuma das instruções.
Vale também estar atento a outra tendência que o relatório associa a este mesmo movimento mais amplo de engenharia social: o crescimento de burlas por telefone e por voz, incluindo chamadas em que os atacantes se fazem passar por técnicos de suporte, bancos ou operadoras, para pressionar a vítima a redefinir credenciais ou a autorizar acessos. Com a crescente adopção de banca móvel e de serviços digitais em Angola, o princípio de defesa é o mesmo: nenhuma instituição legítima pede, por telefone ou por uma janela pop-up, que o utilizador execute comandos ou partilhe códigos de verificação.