Fałszywe CAPTCHA w 43% ataków phishingowych, w tym podróbki logowania Microsoft 365

Barracuda wykryła fałszywe CAPTCHA w 43% ataków zestawami phishingowymi, które przeanalizowała w 2025 roku. To nie jest luka w oprogramowaniu, więc nie ma poprawki: ofiara sama klika, loguje się albo uruchamia polecenie. Atak zaczyna się od maila z prośbą o przejrzenie dokumentu, faktury, umowy lub pliku. Link prowadzi do strony z weryfikacją. Po niej ofiara trafia na podrobione logowanie Microsoft 365, pobiera złośliwe oprogramowanie albo włącza powiadomienia przeglądarki. W atakach ClickFix kliknięcie przycisku „Verify” kopiuje polecenie do schowka, a strona każe otworzyć okno Uruchom w Windows, wkleić tekst i nacisnąć Enter. Strony zmieniają się zależnie od urządzenia, lokalizacji i pory, a niektóre wygasają po obejrzeniu.

Kogo dotyczy

Według materiału celem są odbiorcy maili z prośbą o otwarcie dokumentu, w tym użytkownicy Microsoft 365 i komputerów z Windows. CAPTCHA zatrzymuje też automatyczne skanery i narzędzia testujące, więc systemy bezpieczeństwa nie widzą kolejnej strony.