Qué es un captcha, por qué te lo piden y el captcha falso que instala malware
Las casillas «No soy un robot» y los semáforos sirven para frenar programas automáticos. Pero cuidado: un captcha de verdad nunca te pide pulsar Windows + R y pegar nada.
Un captcha es esa prueba que te aparece al registrarte en una web, al comprar entradas o al enviar un formulario: escribir unas letras deformadas, marcar la casilla «No soy un robot» o elegir las fotos con semáforos. Su nombre viene del inglés Completely Automated Public Turing test to tell Computers and Humans Apart: una prueba automática para distinguir a una persona de un programa.
Para qué sirve
Muchos abusos de internet se hacen con programas automáticos (bots): crear miles de cuentas falsas, enviar spam por los formularios, probar contraseñas robadas una tras otra o acaparar entradas para revenderlas. El captcha intenta frenarlos poniendo una tarea fácil para una persona y difícil para un programa.
Por qué a veces no ves ninguno
Los sistemas modernos intentan no molestarte. Por ejemplo, reCAPTCHA v3, de Google, no muestra ninguna prueba: analiza cómo interactúas con la web y le da a cada visita una puntuación de 0,0 a 1,0, donde 1,0 significa «muy probablemente una persona» y 0,0 «muy probablemente un bot». Solo si la puntuación es baja, la web te pide algo más.
Su problema: la accesibilidad
El W3C, el organismo que crea los estándares de la web, advierte de que los captchas excluyen a muchas personas:
- Las letras deformadas no las puede leer un lector de pantalla, y cuestan a quien tiene baja visión o dislexia.
- Los captchas de audio son difíciles de entender y no sirven a quien no oye o está en un sitio ruidoso.
- Además, cada vez son menos eficaces: el reconocimiento de texto y de voz resuelve muchos de ellos.
Si no puedes superar uno, busca el botón de otra prueba (audio, imagen nueva) o contacta con la web por otra vía.
Cuidado: el captcha falso que instala malware
Una estafa muy extendida, que Microsoft llama ClickFix, se disfraza de captcha. Una web (a la que llegas por un enlace, un anuncio o un correo) muestra una verificación que imita la de Google o la de Cloudflare y te pide algo así:
- Pulsa Windows + R.
- Pulsa Ctrl + V.
- Pulsa Intro.
Al marcar la casilla, la web ha copiado en secreto un comando en tu portapapeles. Si sigues los pasos, lo pegas en el cuadro Ejecutar de Windows (o en la terminal) y lo ejecutas tú mismo: instala malware que roba contraseñas o da el control del equipo a los delincuentes (más en tipos de malware).
La regla es sencilla: como recuerda Microsoft, un captcha o un mensaje de error de verdad nunca te pide abrir Ejecutar ni pegar nada en una terminal. Si una web te lo pide, ciérrala.
Si ya lo has hecho
- Desconecta el equipo de internet y pasa un análisis completo con el antivirus (Microsoft Defender sirve: ¿necesito un antivirus?).
- Desde otro dispositivo que sepas que está limpio, cambia las contraseñas importantes (correo, banco, redes) y activa la verificación en dos pasos.
- Si el equipo es del trabajo, avisa enseguida al departamento de informática.
- Si necesitas ayuda, llama al 017, la línea gratuita de INCIBE.
Este engaño funciona porque usa algo que todos hacemos sin pensar. Es un ejemplo de ingeniería social: desconfía de cualquier web que te dé instrucciones raras para «demostrar que eres humano». Si dudas de un enlace antes de abrirlo, pásalo por analizar enlace.