假 CAPTCHA 騙局是一種驗證頁面：它不是讓你證明自己是真人，而是要求你複製、貼上或執行一段命令。ClickFix 攻擊把看似平常的驗證提示變成一項要求，讓你在自己的 Windows 電腦或 Mac 上親手執行攻擊者的指令。

關鍵要點

正常的 CAPTCHA 或會要求你揀選圖片、輸入字元或剔選方格，但不會要求你開啟「執行」、PowerShell 或終端機。

較安全的理解模型是：誘餌頁面 → 剪貼板 → 用戶執行 → 惡意載荷。

只是看到頁面，與執行了頁面上的指令並不相同，處理方法應與實際暴露程度相符。

如果執行過任何內容後又輸入了密碼，請用另一部可信裝置保護該帳戶。

若想全面了解如何減低釣魚、惡意軟件和帳戶風險，可先閱讀網絡安全指南。

假 CAPTCHA 騙局是怎樣運作的？

頁面借用常見反機械人檢查的外觀和用語，可能聲稱驗證失敗、瀏覽器出錯需要修正，或多做一個動作就能證明你不是自動程式。澳洲網絡安全中心描述過利用假 CAPTCHA 頁面誘使訪客執行命令的 ClickFix 活動，這類活動跨越了一條關鍵界線：由「瀏覽內容」變成「執行攻擊者提供的指令」。［1］

毋須重現任何命令，也能理解這種攻擊：

誘餌頁面： 遭入侵或具欺騙性的頁面編造一個看似合理的理由，要你完成檢查。
剪貼板： 某個按鈕或腳本動作把攻擊者控制的文字放進剪貼板，同時可能顯示一段看似無害的說明。
用戶執行： 受害者被引導開啟系統命令工具，貼上或批准這段文字。
惡意載荷： 被執行的指令會下載、啟動或啟用不需要的軟件，並可能導致憑證或資料被盜。

Microsoft 已把 ClickFix 記錄為一種同時針對 Windows 和 macOS 的社交工程手法。字眼和投放方式不斷改變，但攻擊者始終需要坐在鍵盤前的人替他跨過保安界線。［2］頁面再精美、有鎖形圖示或採用熟悉的 CAPTCHA 設計，都不會令它要求的動作變得安全。

假驗證頁面有哪些紅旗？

判斷的依據是頁面要求你做甚麼，而不是它的視覺設計。真正的人機驗證元件通常只在瀏覽器分頁內運作。它可能重新整理、再給你一張圖，或在失敗時正常顯示提示，但不應要求你開啟系統命令列、批准管理員權限、下載檔案或關閉保安防護。

提示或行為	風險較低的驗證表現	假 CAPTCHA 紅旗
人機檢查	在頁面內揀選圖片、解謎或剔選方格	開啟另一個系統工具
剪貼板	不會在背景暗中準備命令	按下按鈕後複製了隱藏文字
系統存取	整個過程都留在瀏覽器分頁內	開啟「執行」、PowerShell、命令提示字元、終端機或腳本工具
權限	不需要管理員權限	要求批准管理員或保安提示
下載	不必安裝任何東西即可完成驗證	下載壓縮檔、安裝程式、描述檔或所謂更新
用語	清楚的重試或拒絕存取提示	緊急聲稱電腦、瀏覽器或帳戶即將被封鎖

Proofpoint 追蹤到的 ClickFix 活動採用了多種不同誘餌，而非一套固定的視覺範本。［3］因此，與其記住某個標誌或某句話，不如學會辨認「要求你執行命令」這項請求本身。

ClickFix 惡意命令為甚麼比點擊頁面更危險？

瀏覽器通常會限制網頁可以做的事。網頁可以顯示內容、請求瀏覽器容許的操作，但不能隨意改動系統。當它誘使你把文字貼進命令工具時，就是想讓你自己的用戶帳戶去完成瀏覽器無法直接完成的動作。

複製的文字可能比顯示的更長、以空格掩飾，或在你檢查後被替換。不要為了「看看它會做甚麼」而把它貼到其他工具。不要把命令轉寄給朋友，不要放進網上解碼器，也不要在工作環境中執行。只有在毋須重複頁面要求的動作時，才保存頁面地址和截圖。

Windows 和 macOS 的工具與權限提示不同，但判斷規則一樣：網站不需要系統命令也能確認你是真人。若頁面同時聲稱裝置已中毒，請對照假病毒警告的識別特徵，然後離開頁面。

遇到 ClickFix 攻擊提示後怎麼辦？

按實際發生過的最高暴露級別處理。如果不確定命令有否執行，在能夠核實之前，一律當作「已執行」。

暴露程度	意思	首要行動
只看到頁面	沒有複製、貼上、下載或執行任何指令	關閉分頁；撤銷你曾授予的網站通知權限；單憑頁面本身，不需要重設裝置
點擊或複製了文字	剪貼板可能有攻擊者的文字，但你沒有執行	不要貼上；用無害文字覆蓋剪貼板；關閉頁面；檢查有否下載檔案
執行了命令	裝置可能已下載或啟動不需要的軟件	中斷網絡連線，停止用它處理敏感帳戶，開始調查裝置
執行後還輸入了憑證	裝置和帳戶可能都已被入侵	用另一部可信裝置更改已暴露的密碼、撤銷工作階段、檢查復原設定，然後才清理裝置

只看到頁面

直接關閉，不要用頁面本身的「取消」、「修正」或客服按鈕。如果頁面由某則訊息開啟，先保留訊息作舉報之用，再刪除。若你曾允許該網站傳送通知，請檢查瀏覽器的通知權限，因為之後的通知可能會延續騙局。

單看到頁面不能證明惡意軟件已自行安裝。出現其他跡象時才需要掃描，例如意料之外的下載、可信保安軟件發出的警示，或持續的異常行為。慌忙重設可能毀掉有用證據、浪費時間，卻沒處理真正的暴露點。

已點擊或複製，但沒有執行

不要把剪貼板內容貼到「執行」方塊、命令列、聊天視窗或搜尋欄。複製一句無害的句子覆蓋它，關閉分頁，然後在不開啟新檔案的情況下查看下載清單。如果瀏覽器已開始下載，不要開啟這個不可信的檔案，直接刪除，並使用作業系統內置的保安掃描。

點擊頁面按鈕也可能授予瀏覽器權限或觸發重新導向。請檢查新增的通知權限、已下載的檔案和新開的分頁。如果誘餌經電郵或短訊送來，請按較完整的釣魚攻擊防護清單處理。

已執行命令

中斷受影響裝置的 Wi-Fi 或有線網絡。不要再用它登入電郵、網上銀行、密碼管理工具或工作系統。記下大約時間、頁面地址、瀏覽器、你做過的操作，以及留意到的檔案或保安警示；不要為了重現證據而再次執行指令。

使用可信的保安軟件進行完整掃描，並安裝正式的作業系統更新。檢查最近的下載、已安裝的應用程式、瀏覽器擴充功能、登入項目、排定工作、描述檔和陌生用戶帳戶。掃描結果乾淨可減少不確定性，但不能證明沒有資料被複製、沒有憑證被截取。

如果命令曾獲管理員批准、保安工具被停用、陌生軟件仍然常駐，或裝置上有敏感工作資料，請尋求專業支援。影響較大時，周詳規劃的重裝或許合適，但它不是每次遇到這類提示的預設第一步。

又輸入了密碼或付款資料

把帳戶復原工作轉到另一部沒有牽涉此事的裝置上進行。先處理主電郵，因為它可重設其他帳戶，然後保護金融、工作、雲端和社交帳戶。更改已暴露或重複使用的密碼，登出其他工作階段，移除陌生的復原方式，並在服務支援時啟用可抵禦釣魚的 MFA 選項。

如涉及付款資料或交易，請透過已知的電話號碼聯絡金融機構。留意新裝置登入通知、密碼重設、轉寄規則、陌生應用程式，以及自稱調查人員的後續來電。點擊釣魚連結後的處理步驟可助你分清憑證暴露與裝置暴露。

如何避免信任網頁提供的惡意命令？

網站把任務移到瀏覽器以外時，先停下來。按快捷鍵前讀完整段提示，也不要因為頁面說命令「已驗證」就當它較安全。如果某項服務看似被封鎖，請在新分頁開啟其官方網站，或透過你自行找到的途徑聯絡客服。

不要責怪照着提示操作的人。ClickFix 本來就是設計來利用熟悉感和緊迫感。冷靜而迅速地報告，能讓僱主、學校或家人有更多時間隔離裝置、保護帳戶。

總結

假 CAPTCHA 騙局要求的是系統操作，而真正的瀏覽器驗證並不需要這類操作。
ClickFix 攻擊鏈依賴剪貼板，以及用戶親手執行攻擊者控制的文字。
處理由實際暴露程度開始：看到、複製、執行，或執行後再輸入憑證。
帳戶復原要在可信裝置上進行；裝置調查另外處理。
記住行為規則，而不是某個 CAPTCHA 標誌或某種誘餌。

常見問題

真 CAPTCHA 會要求開啟 PowerShell 或終端機嗎？

不會。正規的 CAPTCHA 沒有理由要求你開啟「執行」、PowerShell、命令提示字元、終端機或其他系統命令工具。請離開頁面，並透過自行開啟的官方網站核實該服務。

只看到頁面就代表感染嗎？

不一定。單單瀏覽頁面的暴露程度，低於下載或執行頁面上的指令。請檢查有否意料之外的下載或權限變更，但不要認定頁面本身就能證明裝置已受感染。

複製了命令但未貼上怎樣辦？

用無害的文字覆蓋剪貼板內容，然後關閉頁面。檢查下載和瀏覽器權限；如果那段文字從未執行，最關鍵的執行界線就沒有被跨越。

能貼到安全的地方檢查嗎？

不要。把攻擊者控制的文字貼到命令列、自動化工具、網上服務或共用的工作環境，都可能造成新的暴露。請改為保存頁面地址或一張安全的截圖，交由合資格的事故處理人員在不執行的情況下檢查。

瀏覽器一定會顯示安全警告嗎？

不會。這類社交工程頁面可能正常顯示，危險的一步發生在用戶按指示到瀏覽器以外操作之時。沒有出現警告，並不代表頁面要求的動作是安全的。

執行後需要更改所有密碼嗎？

優先處理曾在受影響裝置上輸入、顯示、儲存或使用的密碼，由主電郵和金融帳戶開始。請在可信裝置上操作，撤銷工作階段並檢查復原方式；在可能已被控制的電腦上更改密碼，可能令新密碼同樣外洩。

ClickFix 後一定要回復原廠設定嗎？

不一定。這取決於是否有東西被執行、它取得了甚麼權限、調查有何發現，以及裝置有多敏感。若曾以管理員權限執行、系統出現持續性改動，或裝置存有高價值工作資料，重裝系統可能是較穩妥的選擇。

Mac 也會遇到同樣騙局嗎？

會。工具名稱和提示有所不同，但 Microsoft 描述過跨平台的 ClickFix 活動。通用的警示訊號是：網頁要求你執行系統命令或批准異常的存取權限。

免責聲明：本文提供一般網絡安全教育，不能取代專業的事故應變、法律或金融建議。

來源

Australian Cyber Security Centre — ClickFix distributing Vidar Stealer via WordPress targeting Australian infrastructure — https://www.cyber.gov.au/about-us/view-all-content/alerts-and-advisories/clickfix-distributing-vidar-stealer-via-wordpress-targeting-australian-infrastructure
Microsoft Security Blog — Think before you ClickFix: Analyzing the ClickFix social engineering technique — https://www.microsoft.com/en-us/security/blog/2025/08/21/think-before-you-clickfix-analyzing-the-clickfix-social-engineering-technique/
Proofpoint — Security Brief: ClickFix social engineering technique floods threat landscape — https://www.proofpoint.com/us/blog/threat-insight/security-brief-clickfix-social-engineering-technique-floods-threat-landscape

Sources checked 2026 年 8 月 28 日。

延伸閱讀：

甚麼是假 CAPTCHA 騙局？識別 ClickFix 並按暴露程度處理