Falešné ověření „Nejsem robot“: když CAPTCHA spustí podvod
Skutečné ověření „Nejsem robot“ má potvrdit, že web používá člověk. Podvodná stránka ale může stejný vzhled zneužít k tomu, aby vás navedla k otevření systémového nástroje a spuštění příkazu. Tato technika se označuje jako ClickFix.
Co jste na stránce skutečně udělali?
Riziko se výrazně mění podle konkrétního kroku. Samotné zobrazení stránky není totéž jako ruční spuštění příkazu v operačním systému.
Jen se mi zobrazilo falešné ověření
Stránku jste viděli, ale nic jste nekopírovali ani nespouštěli.
Otevřít postup →Klikl/a jsem na „Nejsem robot“
Kliknutí proběhlo, ale neotevřeli jste Win + R, PowerShell ani terminál.
Otevřít postup →Vložil/a jsem příkaz, ale nespustil/a jej
Obsah jste vložili do systémového nástroje, ale ještě nepotvrdili jeho spuštění.
Otevřít postup →Příkaz jsem už spustil/a
Příkaz byl potvrzen a zařízení mohlo stáhnout nebo spustit další kód.
Otevřít krizový postup →Jak falešné ověření „Nejsem robot“ vede ke spuštění příkazu
Podvodník se snaží vytvořit dojem běžného bezpečnostního kroku, ale postupně vás přesune z prohlížeče do systémového nástroje.
Přijdete na stránku
Odkaz může přijít e-mailem, reklamou, vyhledávačem nebo z kompromitovaného legitimního webu.
Objeví se CAPTCHA nebo chyba
„Verify you are human“, „Nejsem robot“ nebo falešná technická chyba.
Stránka připraví příkaz
Po kliknutí může být skrytě vložen škodlivý příkaz do systémové schránky.
Dostanete instrukci k Win + R
Web vás navede k otevření systémového dialogu nebo jiného nástroje.
Máte použít Ctrl + V
Nevkládáte potvrzení CAPTCHA, ale příkaz připravený stránkou.
Příkaz spustí další kód
Následkem může být stažení malware, krádež přístupů nebo vzdálené ovládání zařízení.
CAPTCHA-gated phishing prudce roste
Co může dělat skutečná CAPTCHA a co už je varovný signál
Rozhodující není vzhled políčka nebo logo. Rozhodující je, co po vás stránka chce udělat.
Běžné ověření
- Probíhá uvnitř webové stránky.
- Může chtít kliknout na políčko.
- Může chtít vybrat obrázky.
- Může proběhnout automaticky.
- Neotevírá systémové nástroje.
- Nechce po vás ručně spouštět příkazy.
Falešné ověření
- Chce stisknout Win + R.
- Chce otevřít PowerShell nebo terminál.
- Chce vložit obsah přes Ctrl + V.
- Chce potvrdit spuštění příkazu.
- Tvrdí, že jde o „ruční ověření“.
- Nutí vás opustit prohlížeč.
Není to jen tlačítko „Nejsem robot“
Stejná technika může být skrytá za falešnou chybou, aktualizací nebo bezpečnostním upozorněním. Společným znakem je snaha přesvědčit vás, abyste sami spustili systémový příkaz.
„Nejsem robot“
Falešná CAPTCHA nebo „Verify you are human“.
„Dokument se nepodařilo načíst“
Je třeba údajně provést ruční opravu systému.
„Aktualizujte prohlížeč“
Web tvrdí, že chybí důležitá komponenta nebo aktualizace.
„Opravte chybu Windows“
Máte zkopírovat a spustit předem připravený příkaz.
„Ověřte svůj účet“
Podvod napodobuje známou službu nebo instituci.
„Alternativní ověření“
Po běžném CAPTCHA přijde další údajně nutný ruční krok.
Podvodník využívá důvěru v rutinní technické úkony
ClickFix nespoléhá jen na technologii. Využívá hlavně psychologii a očekávání, že běžné „ověření“ nebo „oprava“ je bezpečný krok.
Rutinní činnost
Lidé jsou zvyklí CAPTCHA automaticky potvrzovat a nepřemýšlet nad každým krokem.
Technická autorita
Instrukce vypadají jako postup poskytovaný systémem nebo známou službou.
Uživatel útok spustí sám
Nebezpečný krok není vždy klasický soubor, který by se pouze automaticky stáhl.
Schránka skrývá skutečný obsah
Uživatel nemusí přesně vědět, jaký příkaz Ctrl + V do systému vložil.
Co může následovat po spuštění příkazu
Výsledek závisí na konkrétním kódu. Není proto bezpečné předpokládat, že šlo jen o jednu konkrétní hrozbu.
Krádež hesel
Přihlašovací údaje uložené v prohlížeči nebo systému.
Krádež cookies a relací
Útočník se může pokusit zneužít již přihlášené relace.
Přístup k e-mailu
E-mail může sloužit k resetu dalších účtů a hesel.
Kryptoměnové údaje
Rizikem mohou být peněženky, rozšíření nebo přístupy k burzám.
Vzdálené ovládání zařízení
Stažený kód může umožnit další přístup nebo ovládání počítače.
Další malware
Příkaz může stáhnout další škodlivé komponenty.
Jakmile vás web posílá do systémových nástrojů, zastavte se
Win + R
CAPTCHA nemá důvod otevírat dialog Spustit.
Ctrl + V mimo prohlížeč
Web vás nutí vložit neznámý obsah do systému.
PowerShell
Ruční spuštění příkazu není běžnou součástí CAPTCHA.
Windows Terminal
Ověření člověka nevyžaduje terminál.
Příkazový řádek
Technická instrukce má uživatele přesunout mimo web.
Instalace neznámého programu
Stránka žádá stažení nástroje nebo „opravné“ aplikace.
Nečekané ruční ověření
Běžná webová kontrola se mění v systémový postup.
Web vás nutí opustit prohlížeč
Ověření pokračuje v systémových nástrojích.
Princip je důležitější než konkrétní klávesová zkratka
ClickFix kampaně byly zaznamenány také proti uživatelům macOS. Instrukce mohou být přizpůsobené cílovému systému.
Co dělat podle toho, kam už jste se dostali
Rozhodující je, zda jste pouze viděli stránku, klikli na tlačítko, vložili příkaz, nebo jej skutečně spustili.
Pouze se mi zobrazila stránka
- Nic nekopírujte.
- Nic nevkládejte do systémových nástrojů.
- Stránku zavřete.
- Neotvírejte znovu stejný podezřelý odkaz.
- Podezřelou stránku můžete nahlásit.
Klikl/a jsem na „Nejsem robot“, ale nic dalšího neprovedl/a
- Stránku zavřete.
- Obsah schránky z této stránky nepoužívejte.
- Nic nevkládejte do Win + R, PowerShellu ani terminálu.
- Nestahujte žádné „opravné“ nástroje.
- Samotné kliknutí ještě nemusí znamenat spuštění malware.
Vložil/a jsem příkaz, ale nespustil/a jej
- Příkaz smažte.
- Dialog nebo terminál zavřete.
- Nic nepotvrzujte klávesou Enter.
- Stránku zavřete.
- Pro jistotu spusťte bezpečnostní kontrolu zařízení.
Příkaz jsem už spustil/a
- Odpojte zařízení od internetu.
- Nepoužívejte jej pro banku, e-mail ani změnu hesel.
- Z jiného bezpečného zařízení změňte prioritní hesla.
- Ukončete aktivní relace u důležitých účtů.
- Spusťte úplnou kontrolu bezpečnostním softwarem.
- Zkontrolujte neznámé programy, účty a aktivní relace.
- Pokud jste poté používali bankovnictví nebo platební údaje, kontaktujte banku.
- Při zjištěné škodě nebo zneužití kontaktujte Policii České republiky.
Po spuštění neznámého příkazu nepokračujte v běžné práci
Pokud nevíte, co přesně příkaz udělal, pracujte s možností, že zařízení mohlo být kompromitované. Důležitá hesla měňte z jiného bezpečného zařízení.
Co si uchovat
Dokumentace může pomoci při dalším prověřování, ale kvůli získání důkazu znovu nic nespouštějte.
URL stránky
Přesná adresa podezřelé stránky a odkud jste se na ni dostali.
Screenshot falešné CAPTCHA
Vzhled stránky, text ověření a zobrazené instrukce.
Text instrukcí
Co přesně stránka požadovala provést.
Příkaz jako text
Pouze pokud je ještě bezpečně dostupný bez jeho opětovného spuštění.
Čas události
Datum a přibližný čas kliknutí, vložení nebo spuštění.
Nové soubory nebo programy
Názvy nově vzniklých souborů, instalací nebo podezřelých procesů.
Falešné „Nejsem robot“ a ClickFix – FAQ
Je každé „Nejsem robot“ nebezpečné?
Ne. CAPTCHA je běžný bezpečnostní mechanismus. Varovným znakem je zejména požadavek, abyste kvůli ověření opustili prohlížeč a ručně spustili systémový příkaz.
Je nebezpečné už samotné kliknutí na CAPTCHA?
Samotné kliknutí nemusí znamenat spuštění škodlivého kódu. U ClickFix může ale například připravit příkaz do schránky. Kritické je zejména jeho následné vložení a spuštění.
Co je ClickFix?
Jde o techniku sociálního inženýrství, při které web pod záminkou CAPTCHA, opravy chyby nebo technického ověření navede uživatele k ručnímu spuštění připraveného příkazu.
Proč podvod chce Win + R?
Dialog Spustit umožňuje uživateli ručně spustit příkaz. Podvodník se tak snaží přimět samotného uživatele, aby spustil obsah připravený webovou stránkou.
Může být napadený i legitimní web?
Ano. ClickFix nebo jiné škodlivé prvky se mohou objevit i na kompromitované legitimní stránce. Důvěryhodný název webu proto není důvodem spouštět neobvyklé systémové instrukce.
Co když jsem příkaz vložil/a, ale nespustil/a?
Příkaz smažte, systémový dialog zavřete a nic nepotvrzujte. Pro jistotu spusťte bezpečnostní kontrolu zařízení.
Co když jsem příkaz spustil/a?
Odpojte zařízení od internetu, nepoužívejte jej pro citlivé služby, změňte prioritní hesla z jiného bezpečného zařízení a proveďte úplnou bezpečnostní kontrolu.
Funguje ClickFix i na macOS?
Ano, stejný princip může být přizpůsoben jinému operačnímu systému. Důležité pravidlo je stejné: webová stránka nemá kvůli ověření požadovat ruční spouštění systémových příkazů.
Narazili jste na falešné „Nejsem robot“ nebo ClickFix stránku?
Uložte URL, screenshot a instrukce. Nahlášení projektu DPP nenahrazuje bezpečnostní kontrolu zařízení, kontakt s bankou ani oznámení Policii České republiky, pokud již vznikla škoda.