Мошенничество с поддельной CAPTCHA — это страница якобы для проверки человека, которая просит не выбрать картинки, а скопировать, вставить или выполнить команду. Такая атака ClickFix использует привычный вид проверки, чтобы вы сами перенесли инструкцию злоумышленника из браузера в Windows или macOS.

Ключевые выводы

Обычная CAPTCHA может попросить выбрать изображения, ввести символы или поставить флажок, но не просит открыть Run, PowerShell, командную строку или Terminal.

Безопасная модель выглядит так: страница-приманка → буфер обмена → выполнение пользователем → вредоносная нагрузка.

Просмотр страницы, копирование текста, выполнение команды и последующий ввод пароля требуют разной реакции.

Если после выполнения инструкции вы вводили учётные данные, защищайте аккаунты с другого доверенного устройства.

Общие правила защиты аккаунтов, устройств и резервных копий собраны в руководстве по онлайн-безопасности.

Как работает мошенничество с поддельной CAPTCHA?

Страница копирует оформление знакомого виджета и утверждает, что проверка не прошла, браузер неисправен или осталось сделать ещё один шаг. Австралийский центр кибербезопасности описывает кампанию ClickFix, где поддельная CAPTCHA убеждала посетителя запустить команду. Главная граница проходит не в момент показа страницы, а в момент выполнения подготовленного злоумышленником текста.［1］

Механизм можно объяснить без публикации опасных инструкций:

Страница-приманка. Скомпрометированный или ложный сайт придумывает причину для обязательной проверки.
Буфер обмена. Кнопка помещает туда контролируемый злоумышленником текст, хотя на экране может быть безобидная фраза.
Выполнение пользователем. Человека направляют в системный интерфейс команд и просят вставить содержимое.
Вредоносная нагрузка. Запущенная инструкция может получить или включить нежелательную программу и привести к краже данных.

Microsoft описывает ClickFix как межплатформенную технику для Windows и macOS.［2］ Названия инструментов различаются, но смысл один: пользователь даёт веб-странице возможность косвенно выполнить действие, которое браузер сам сделать не может. Красивый дизайн, значок замка и знакомый логотип CAPTCHA не подтверждают безопасность.

Какие признаки выдаёт поддельная проверка CAPTCHA?

Оценивайте требуемое действие, а не внешний вид. Настоящая проверка обычно остаётся внутри вкладки: предлагает изображения, символы, флажок или повторную попытку. Ей не нужны системная оболочка, права администратора, установщик или отключённая защита.

Поведение	Обычная проверка	Тревожный признак
Проверка человека	Выбор изображений, задача или флажок	Запуск отдельной системной утилиты
Буфер обмена	Команда не копируется скрытно	Кнопка подготавливает неизвестный текст
Системный доступ	Всё происходит во вкладке	Просьба открыть Run, PowerShell, Terminal или сценарий
Привилегии	Администратор не требуется	Просьба подтвердить повышение прав
Загрузка	Ничего устанавливать не надо	Архив, установщик, профиль или «обновление»
Давление	Можно повторить или уйти	Угроза блокировки компьютера, браузера или аккаунта

Proofpoint наблюдала разные приманки ClickFix, а не один постоянный шаблон.［3］ Поэтому поведенческое правило «сайт просит выполнить системную команду» надёжнее запоминания отдельной картинки.

Почему команда из поддельной CAPTCHA опаснее просмотра страницы?

Браузер ограничивает доступ сайта к системе. Веб-страница может показывать содержимое и запрашивать разрешённые браузером действия, но не должна свободно менять компьютер. Вставляя подготовленный текст в командный интерфейс, вы позволяете своей учётной записи сделать то, чего страница не могла выполнить напрямую.

Текст в буфере может быть длиннее видимого поля, замаскирован пробелами или подменён уже после того, как вы его просмотрели. Не вставляйте его в другую утилиту «просто чтобы посмотреть, что он делает». Не пересылайте команду друзьям, не проверяйте её в онлайн-декодере и не запускайте в рабочей среде. Сохраните адрес и безопасный снимок экрана, если это не требует повторения действий, но не запускайте инструкцию заново для создания доказательств.

Правило одинаково для Windows и Mac: сайту не нужна системная команда, чтобы определить, человек ли вы. Если он также утверждает, что устройство заражено, закройте страницу и сравните сообщение с признаками поддельного предупреждения о вирусе.

Что делать, если атака ClickFix уже сработала?

Выберите самый высокий уровень воздействия, который действительно произошёл. Если вы не уверены, запустилась ли команда, временно исходите из того, что она выполнилась.

Уровень	Что произошло	Первое действие
Только просмотр	Ничего не копировали, не загружали и не запускали	Закройте вкладку и отзовите выданное сайту разрешение на уведомления; сам показ страницы не требует сброса устройства
Нажатие или копирование	В буфере мог оказаться чужой текст, но он не выполнялся	Не вставляйте его, замените безобидным текстом и проверьте загрузки
Выполнение команды	Устройство могло получить нежелательную программу	Отключите сеть, не используйте компьютер для важных аккаунтов и начните проверку устройства
Команда плюс учётные данные	Под угрозой и устройство, и аккаунты	С доверенного устройства смените пароль, завершите сеансы и проверьте восстановление

Если вы только увидели страницу

Закройте вкладку, не нажимая на её кнопки «исправить», «отмена» или «поддержка». Если сайт получил право на уведомления, отзовите его через настройки браузера. Одного показа недостаточно, чтобы считать, что вредоносная программа установилась сама. Сканирование нужно, только если есть другой признак: неожиданная загрузка, предупреждение от доверенного защитного ПО или продолжающееся странное поведение устройства.

Если страница открылась из сообщения, сохраните его для жалобы, затем удалите. Не спешите сбрасывать устройство в панике: без признаков выполнения это может уничтожить полезные сведения и отнять время, не устранив реальный риск.

Если вы нажали или скопировали, но не выполняли

Не вставляйте содержимое буфера в Run, терминал, поиск или мессенджер. Скопируйте безобидную фразу поверх него, закройте страницу и просмотрите список загрузок, не открывая новые файлы. Если браузер начал загрузку, удалите недоверенный файл, не запуская его, и выполните обычную проверку встроенными средствами защиты системы.

Кнопка могла также выдать разрешение на уведомления или открыть перенаправление. Проверьте новые права и вкладки. Если приманка пришла в сообщении, используйте чек-лист защиты от фишинга.

Если вы выполнили команду

Отключите Wi-Fi и Ethernet. Не входите с этого устройства в почту, банк, менеджер паролей и рабочие системы. Запишите время, адрес страницы, браузер, свои действия, появившиеся файлы и предупреждения; не повторяйте запуск.

Установите официальные обновления и выполните полное сканирование доверенным защитным средством. Проверьте недавние загрузки, приложения, расширения, элементы входа, задания, профили и неизвестных пользователей. Чистый результат снижает неопределённость, но не доказывает, что данные не копировались и секреты не перехватывались.

Если команда получила права администратора, отключила защиту, оставила устойчивый доступ или устройство содержит важные рабочие данные, обратитесь за квалифицированной помощью. Чистая переустановка может быть оправдана в серьёзном случае, но не является первым шагом после одного лишь показа CAPTCHA.

Если после команды вы вводили пароль или платёжные данные

Перейдите на устройство, которым злоумышленник не управлял. Сначала защитите основную почту, потому что она сбрасывает другие аккаунты, затем финансовые, рабочие, облачные и социальные сервисы. Смените раскрытые и повторно используемые пароли, завершите сеансы, удалите неизвестные способы восстановления и включите устойчивую к фишингу MFA, если сервис её поддерживает.

Если раскрыты платёжные данные или проведена операция, свяжитесь с финансовой организацией по известному официальному номеру. Следите за новыми устройствами, сбросами пароля, правилами пересылки почты, неизвестными приложениями и звонками лже-следователей. Инструкция после перехода по фишинговой ссылке помогает разделить риск для аккаунта и риск выполнения на устройстве.

Как не довериться команде с сайта?

Остановитесь, когда сайт переносит задачу за пределы браузера. Прочитайте всё сообщение до нажатия сочетания клавиш. Не считайте текст безопасным только потому, что страница называет его «проверенным». Откройте официальный адрес самостоятельно или свяжитесь с поддержкой по найденному независимо каналу.

Не обвиняйте человека, который поверил инструкции. ClickFix специально использует знакомые элементы и срочность. Быстрое спокойное сообщение даёт работодателю, учебному заведению или близким больше времени, чтобы изолировать устройство и защитить аккаунты.

Итоги

Поддельная CAPTCHA требует системного действия, которое не нужно настоящей проверке.
Цепочка ClickFix зависит от буфера обмена и выполнения пользователем.
Реакция различается для просмотра, копирования, запуска и раскрытия пароля.
Аккаунты защищают на доверенном устройстве, а затронутый компьютер исследуют отдельно.
Запоминайте границу поведения, а не внешний вид отдельной приманки.

Часто задаваемые вопросы (FAQ)

Может ли настоящая CAPTCHA просить открыть PowerShell или Terminal?

Нет. У настоящей CAPTCHA нет причин просить открыть Run, PowerShell, командную строку, Terminal или другой системный инструмент для команд. Покиньте страницу и проверьте сервис через официальный сайт, открытый самостоятельно.

Заражён ли компьютер, если я только увидел страницу?

Не обязательно. Просмотр страницы — меньший уровень воздействия, чем загрузка файла или выполнение её инструкций. Проверьте, не было ли неожиданной загрузки или изменения разрешений, но не считайте сам показ доказательством заражения.

Что делать, если команда скопирована, но не вставлена?

Замените буфер безобидным текстом и закройте страницу. Проверьте загрузки и разрешения; ключевая граница выполнения не была пересечена, если текст не запускался.

Можно ли вставить текст в безопасное место для проверки?

Нет. Оболочка, средство автоматизации, онлайн-сервис или общая рабочая среда могут создать новый риск. Сохраните адрес страницы или безопасный снимок экрана и передайте случай специалисту для анализа без выполнения команды.

Браузер обязательно покажет предупреждение?

Нет. Страница может отображаться нормально, а опасное действие происходит за пределами браузера. Отсутствие предупреждения не подтверждает безопасность инструкции.

Нужно ли менять все пароли после запуска?

Сначала меняйте пароли, которые вводились, отображались, хранились или использовались на затронутом устройстве, начиная с почты и финансов. Делайте это с доверенного устройства, завершайте сеансы и проверяйте восстановление: подконтрольный злоумышленнику компьютер может раскрыть и новые пароли.

Всегда ли нужен сброс устройства?

Нет. Решение зависит от того, выполнялось ли что-нибудь, какие привилегии это получило, что показала проверка и насколько важно устройство. Выполнение с правами администратора, устойчивые изменения или ценные рабочие данные делают переустановку более безопасным вариантом.

Может ли ClickFix атаковать Mac?

Да. Microsoft описывает межплатформенную активность. Названия инструментов меняются, но просьба сайта выполнить системную команду остаётся общим признаком.

Отказ от ответственности: Статья содержит общую информацию по кибербезопасности и не заменяет профессиональное реагирование, юридическую или финансовую консультацию.

Источники

Australian Cyber Security Centre — ClickFix distributing Vidar Stealer via WordPress targeting Australian infrastructure — https://www.cyber.gov.au/about-us/view-all-content/alerts-and-advisories/clickfix-distributing-vidar-stealer-via-wordpress-targeting-australian-infrastructure
Microsoft Security Blog — Think before you ClickFix: Analyzing the ClickFix social engineering technique — https://www.microsoft.com/en-us/security/blog/2025/08/21/think-before-you-clickfix-analyzing-the-clickfix-social-engineering-technique/
Proofpoint — Security Brief: ClickFix social engineering technique floods threat landscape — https://www.proofpoint.com/us/blog/threat-insight/security-brief-clickfix-social-engineering-technique-floods-threat-landscape

Sources checked 28 августа 2026 г.

Рекомендуемые статьи:

Что такое мошенничество с поддельной CAPTCHA?