El crimen organizado ya no necesita derribar puertas ni romper directamente las barreras de seguridad de una computadora. En algunos ataques, basta con engañar al usuario para que sea él mismo quien permita la entrada.

Así funciona ClickFix, una técnica de ingeniería social cuyo nombre puede traducirse como “haz clic para corregir”. Su objetivo es mostrar falsas alertas o mensajes de error que convencen a las personas de copiar, pegar y ejecutar comandos aparentemente destinados a resolver un problema, pero que en realidad descargan programas maliciosos.

La modalidad comenzó a ser documentada en 2024 y se distingue porque los ciberdelincuentes no atacan directamente las defensas del equipo. En su lugar, manipulan a la víctima para que siga una serie de instrucciones y abra, sin saberlo, el acceso a su propia computadora.

Las excusas pueden cambiar: una supuesta actualización del navegador, un error al abrir un documento, fallas en el micrófono de plataformas como Google Meet o Zoom, e incluso una falsa verificación CAPTCHA para demostrar que el usuario no es un robot.

Cuando la persona cumple los pasos indicados, ejecuta el código malicioso sin darse cuenta. Por esta razón, puede creer que nunca descargó un archivo o instaló un programa, aunque el equipo ya haya sido comprometido.

De acuerdo con el sitio especializado WeLiveSecurity, esta técnica puede permitir la instalación de programas diseñados para robar contraseñas, correos electrónicos, cuentas de redes sociales, fotografías, documentos e información laboral. También puede facilitar la suplantación de identidad, la comisión de fraudes y el acceso remoto al equipo sin que la víctima lo note.

ClickFix ya tiene presencia en América Latina

Las campañas relacionadas con ClickFix ya han sido identificadas en diferentes países de América Latina.

En abril de 2025 se detectó una afectación en el sitio de la Escuela de Ingeniería Industrial de la Universidad Católica de Chile. Otro caso involucró al portal del Fondo de Vivienda Policial de Perú. También existen reportes de esta técnica en Argentina, Brasil y Colombia

Por otro lado, en territorio mexicano, una de las operaciones detectadas recientemente fue identificada como REF6045/SCM Banker, una campaña dirigida principalmente contra usuarios de instituciones bancarias, empresas financieras tecnológicas y plataformas de intercambio de criptomonedas.

Mediante páginas falsas de verificación de Google, los atacantes buscaban instalar una herramienta conocida como SCMBANKER, capaz de vigilar la actividad de los equipos, tomar capturas de pantalla y facilitar fraudes bancarios con la intervención directa de operadores criminales. Sin embargo, todavía no se conoce públicamente el alcance económico total de esta operación.

El delito también se ofrece como servicio

ClickFix se relaciona con un modelo conocido como Crime-as-a-Service, o crimen como servicio. Bajo este esquema, grupos o individuos ofrecen herramientas, infraestructura, programas maliciosos y conocimientos especializados para que otros delincuentes puedan realizar ataques digitales a gran escala.

Esto significa que una organización criminal no necesariamente necesita contar con sus propios expertos informáticos. Puede contratar a terceros para espiar, robar información, cometer fraudes o atacar a gobiernos, empresas y adversarios.

El riesgo no es únicamente hipotético. En junio de 2025, una auditoría del Departamento de Justicia de Estados Unidos reveló que, durante 2018, un hacker contratado por el Cártel de Sinaloa obtuvo registros de llamadas y datos de geolocalización vinculados al teléfono de un agregado adjunto del FBI en la Embajada estadounidense en la Ciudad de México.

De acuerdo con el periodista Óscar Balderas, el ciberdelincuente también utilizó el sistema de videovigilancia de la capital para seguir los movimientos del funcionario e identificar a las personas con las que se reunía. Según el informe, esa información fue utilizada por el grupo criminal para intimidar y, en algunos casos, asesinar a posibles informantes o testigos colaboradores.

El caso muestra hasta dónde puede llegar la combinación entre delincuencia organizada, ingeniería social y herramientas de vigilancia. En el nuevo escenario criminal, un mensaje de error, una actualización falsa o un simple CAPTCHA pueden convertirse en la puerta de entrada para el robo de información y el control completo de un equipo.

ANDREA QUINTERO