Otwierasz artykuł, klikasz „Nie jestem robotem”, a strona każe nacisnąć Windows + R, wkleić „kod weryfikacyjny” i dać Enter? Przeszedłem krok po kroku przez opisy takich ataków od CERT Polska i Microsoftu. Okazuje się, że pułapkę zdradzają trzy proste sygnały, a zatrzymać ją można jednym odruchem.
Jak sprawdzałem, w którym momencie da się zatrzymać atak
Wziąłem scenariusz opisany przez CERT Polska i rozpisałem go na pojedyncze ruchy użytkownika. Najpierw kliknięcie pola „Nie jestem robotem”. Potem skrót Windows + R albo Windows + X i wybór Terminala lub PowerShella. Na końcu Ctrl + V i Enter.
Obok położyłem opis kampanii, którą Microsoft nazwał TerminalFix i opisał 28 sierpnia 2026 roku, rozkładając ją na osiem etapów. Starsza odmiana, znana jako ClickFix, kierowała ofiarę do okna Uruchom. Nowa woli Windows Terminal, bo zmieści się w nim dłuższy, wieloliniowy skrypt, a sam terminal w firmie wygląda na zwykłe narzędzie pracy.
Co wyszło: trzy sygnały, które zdradzają oszustwo
Sygnał pierwszy: CAPTCHA wymaga od ciebie czegoś poza przeglądarką. Prawdziwa weryfikacja, także ta od Cloudflare, kończy się w oknie strony. Zaznaczasz pole albo nie robisz nic. Żaden test nie każe otwierać okna Uruchom, Terminala ani PowerShella.
Sygnał drugi: coś trafiło do schowka bez twojego kopiowania. CERT Polska zwraca uwagę, że fałszywa strona sama umieszcza polecenie w schowku, wystarczy kliknięcie pola. Jeśli niczego nie zaznaczałeś i nie kopiowałeś, a strona każe wklejać, to wklejasz cudzy tekst.
Sygnał trzeci: „kod” to ciąg niezrozumiałych znaków. Po wklejeniu widzisz polecenie, którego znaczenia nie rozumiesz. Oszuści potrafią dopisać na końcu „Nie jestem robotem”, żeby wyglądało to wiarygodnie. Po wklejeniu w terminalu mogą pojawić się komunikaty o weryfikacji Cloudflare, nawet z identyfikatorem sesji. To atrapa, a w tle pobiera się archiwum ze szkodliwym programem.
Najważniejszy wniosek jest prosty. Do momentu naciśnięcia Enter nic się jeszcze nie stało. Możesz zamknąć okno i opuścić stronę. Często jest to prawdziwa witryna, do której ktoś się włamał, więc znajomy adres niczego nie gwarantuje.
Co zmieniam w swoich nawykach i co robię, gdy ktoś już wkleił
Przyjąłem jedną regułę: żadna strona nie dostaje ode mnie skrótu Windows + R ani terminala. Instrukcja „otwórz terminal i wklej” na stronie z artykułem oznacza dla mnie koniec wizyty, bez względu na to, jak ładnie wygląda okienko z logo.
Pomaga też przeglądarka. Google zapowiada, że Chrome z zaawansowaną ochroną będzie rozpoznawał polecenia typu ClickFix. Po skopiowaniu skryptu uznanego za niebezpieczny usunie ze schowka dane osobowe, prześle tekst do analizy na serwerach Google i wyświetli ostrzeżenie. Warto włączyć ten tryb, ale nie traktuję go jako jedynej zapory.
Jeśli polecenie zostało już uruchomione, liczy się czas, więc od razu robię to:
- odłączam komputer od internetu, wyjmując kabel lub wyłączając Wi-Fi,
- zmieniam hasła do poczty, banku i komunikatorów, ale z innego, czystego urządzenia,
- wylogowuję wszystkie sesje w ważnych kontach i włączam weryfikację dwuetapową,
- w firmie natychmiast zgłaszam sprawę do działu IT, bo atak może prowadzić do przejęcia kontroli nad komputerem,
- zostawiam sprawdzenie i czyszczenie komputera specjalistom, zamiast samemu usuwać pliki.
Czego nie robię? Nie wklejam polecenia „jeszcze raz, żeby sprawdzić”, nie ukrywam wpadki przed IT ze wstydu i nie loguję się do banku na zainfekowanym komputerze, zanim ktoś go sprawdzi.
