Okienko „Nie jestem robotem” zna każdy, kto czegoś szuka w sieci. Oszuści przerabiają je na pułapkę: zamiast klikać w obrazki, użytkownik ma nacisnąć kilka klawiszy, wkleić „kod weryfikacyjny” i zatwierdzić. W ten sposób sam uruchamia na komputerze program, który może wykraść hasła zapisane w przeglądarce i przejąć pocztę. CERT Polska tłumaczy, jak rozpoznać fałszywy test i co robić po wpadce — a na końcu możesz sprawdzić, czy odróżnisz prawdziwą CAPTCHA od podróbki.
Prawdziwa CAPTCHA ma jedno zadanie: odsiać automaty od ludzi. Zwykle wystarczy zaznaczyć pole albo wskazać na obrazkach przejścia dla pieszych. Fałszywa wygląda podobnie, często z logo przypominającym usługę Google, ale po kliknięciu zaczyna wydawać polecenia. Według CERT Polska samo kliknięcie pola może skopiować do schowka komputera polecenie przygotowane przez oszustów. Użytkownik o tym nie wie, bo widzi jedynie prośbę o dokończenie weryfikacji.
Instrukcja na stronie jest krótka i brzmi technicznie, co ma budzić zaufanie. Zwykle wygląda tak:
Polecenie bywa nazywane „kodem weryfikacyjnym”, choć ze sprawdzaniem, czy ktoś jest człowiekiem, nie ma nic wspólnego. W rzeczywistości pobiera i uruchamia szkodliwy program. CERT Polska opisuje to jako atak socjotechniczny: nikt nie łamie zabezpieczeń systemu, to użytkownik własnoręcznie wpuszcza intruza. Specjaliści nazywają tę technikę ClickFix.
Program uruchomiony w ten sposób może wykraść hasła zapisane w przeglądarce, pliki oraz dane pozwalające przejąć konta, na przykład skrzynkę mailową czy profile w mediach społecznościowych. Na studenckim laptopie zwykle zalogowane jest niemal wszystko: poczta uczelniana, dysk z pracą zaliczeniową, bank i komunikatory. Najgorsze, że złośliwe oprogramowanie potrafi działać w tle, bez żadnych widocznych objawów. Komputer chodzi jak wcześniej, a dane już wędrują do przestępców.
We wpisie z 20 listopada 2024 roku CERT Polska opisał kampanię, w której fałszywa CAPTCHA prowadziła do pobrania programu Lumma Stealer, służącego do kradzieży poufnych informacji, np. danych logowania do różnych usług.
Ciekawostka: w tamtej kampanii przestępcy wykorzystali serwis GitHub. Zakładali zgłoszenia (tzw. issue) w repozytoriach, a serwis automatycznie wysyłał e-maile do autorów i osób obserwujących projekt. W wiadomości był link do rzekomego raportu bezpieczeństwa, a dostępu do niego „pilnowała” fałszywa CAPTCHA.
17 lutego 2026 roku CERT Polska opublikował analizę incydentu w jednej z dużych polskich organizacji. Początek był banalny: ktoś trafił na fałszywą weryfikację, skopiował polecenie i uruchomił je przez Windows + R. Na komputerze pojawiło się złośliwe oprogramowanie, a atakujący mógł rozpoznawać sieć firmy i utrzymywać w niej dostęp. Autorzy podkreślają, że kampanie tego typu są masowe i nie celują w konkretne organizacje, więc trafić może każdego. To przestroga także na pierwszy staż czy pracę w biurze.
Najprostsza zasada: prawdziwa CAPTCHA rozwiązuje się w oknie przeglądarki. Nie wymaga uruchamiania programów, instalowania dodatków ani wpisywania czegokolwiek w systemie. CERT Polska pisze wprost, że żadna prawdziwa CAPTCHA nie będzie wymagała opuszczenia strony internetowej. Każda prośba o wklejenie czegoś do okna „Uruchom”, PowerShella czy Terminala powinna zapalić czerwoną lampkę, nawet gdy strona przedstawia to jako naprawę błędu.
Fałszywy test może się też pojawić na stronie, z której ktoś korzysta od dawna (na przykład po jej przejęciu), albo po kliknięciu reklamy lub linku w wiadomości. Nie warto więc ignorować ostrzeżeń przeglądarki ani antywirusa. Dobra wiadomość jest taka, że samo wejście na stronę z fałszywą CAPTCHA nie oznacza jeszcze zainfekowania komputera. Kłopot zaczyna się dopiero wtedy, gdy coś zostanie uruchomione.
Gdy ktoś zorientuje się po fakcie, liczy się kolejność działań. CERT Polska zaleca:
Adres podejrzanej strony można przekazać przez formularz na incydent.cert.pl. W zgłoszeniu warto opisać, czego wymagał komunikat i czy cokolwiek zostało uruchomione. Zrzut ekranu się przyda, ale nie należy wracać na podejrzaną stronę tylko po to, żeby go zrobić. CERT Polska działa w strukturach NASK – Państwowego Instytutu Badawczego i od 1996 roku zajmuje się reagowaniem na incydenty bezpieczeństwa.
Fałszywa CAPTCHA nie przełamuje zabezpieczeń, tylko prosi, żeby użytkownik zrobił to sam. Prawdziwy test „Nie jestem robotem” kończy się w przeglądarce, bez skrótów klawiszowych, okna „Uruchom” i wklejania kodów. Jeśli strona każe nacisnąć Windows + R i Ctrl + V, najlepszym ruchem jest zamknięcie karty. A gdy polecenie zostało już uruchomione: odłączyć sieć, zmienić hasła z innego urządzenia i zgłosić sprawę.
5 pytań · minuta
poleca:
