Qué es ClickFix y FileFix: la víctima ejecuta el ataque

La conclusión: ClickFix no explota una vulnerabilidad del sistema, explota la disposición de la persona a seguir una instrucción

ClickFix es una técnica de ingeniería social que convence a la persona de copiar un comando y pegarlo en su propio computador para, en apariencia, resolver un problema: un documento que no abre, un video que no carga, una casilla de "verificar que no soy un robot". El comando no arregla nada. Instala el software del atacante y lo ejecuta la propia víctima, sin que un archivo malicioso tuviera que burlar ningún filtro. FileFix es la variante más reciente de la misma idea, apoyada en la barra de direcciones del explorador de archivos en lugar de la ventana de comandos.

Lo que hace peligrosa a esta familia de ataques no es una falla del sistema, es un cambio de papeles: el equipo no fue vulnerado, la persona fue persuadida de vulnerarlo por él. Por eso la defensa no vive en la consola de seguridad, vive en el comportamiento de quien recibe la instrucción y decide seguirla. Entender el mecanismo importa, pero prepararse para él es otra cosa, y ahí es donde queremos detenernos.

Qué es ClickFix y cómo llega

ClickFix casi siempre empieza donde empiezan la mayoría de los ataques: en la bandeja de entrada o en una página señuelo a la que un correo dirige. CISA estima que más del 90 por ciento de los ciberataques exitosos comienzan con un correo de phishing, y ClickFix no es la excepción, solo cambia lo que pide el correo. En vez de un adjunto que hay que abrir o un enlace donde hay que entregar la contraseña, el mensaje lleva a una página que finge un error y ofrece una "solución" en tres pasos.

El libreto es reconocible una vez que se ha visto: la página muestra un aviso de aspecto oficial (una actualización pendiente, un CAPTCHA que no termina de pasar, un documento compartido que "requiere un ajuste rápido"), y a continuación una instrucción amable y detallada. Copie este texto. Abra esta ventana. Péguelo. Presione Enter. Cada paso, por separado, parece inofensivo. El daño está en la suma, y la suma la completa la persona.

El giro: la persona pega y ejecuta el comando del atacante

El punto que distingue a ClickFix de un phishing clásico es quién aprieta el gatillo. En un phishing tradicional, la persona entrega algo (una credencial, un click en un enlace) y el ataque sigue del otro lado. En ClickFix, la persona ejecuta el ataque en su propia máquina. El comando que copió, casi siempre ofuscado para que no signifique nada a simple vista, descarga y corre el programa del atacante con los permisos del usuario que lo pegó.

Funciona por una razón muy humana: la persona cree que está resolviendo, no que la están atacando. Quien sigue los pasos no siente que baja la guardia, siente que arregla algo que le estorba. El marco 90-5-5 de Cisco, que estima que cerca del 90 por ciento de las brechas involucran un factor humano, describe justo este terreno: no una torpeza, sino una superficie de riesgo que se activa cuando alguien, con toda la buena intención, hace lo que se le pide bajo un pretexto creíble. ClickFix está diseñado para caer dentro de ese 90 por ciento.

Qué es FileFix, la variante que abusa del explorador de archivos

FileFix nació como respuesta a que muchas empresas empezaron a vigilar o a bloquear la ventana de comandos. Si el terminal levanta sospechas, el atacante busca otra superficie familiar, y la encontró en el explorador de archivos. La página señuelo pide algo aparentemente rutinario: "para ver el documento, copie esta ruta y péguela en la barra de direcciones de su carpeta". Esa barra, que la mayoría usa solo para navegar entre carpetas, también puede ejecutar instrucciones, y el texto pegado esconde el mismo comando de siempre disfrazado de ruta.

La lección de FileFix no es memorizar dónde exactamente se pega el comando, porque mañana será otro lugar. La lección es que la técnica muta de superficie con facilidad: hoy el terminal, ayer la ventana Ejecutar, ahora el explorador. Lo único estable, lo que no cambia entre variantes, es el paso en el que una persona copia algo que no entiende y lo ejecuta porque una pantalla se lo pidió con seguridad.

Por qué ningún filtro detiene lo que la propia persona ejecuta

Los controles de correo y de red están construidos para interceptar un objeto malicioso: un adjunto con un patrón conocido, un enlace en una lista negra, un archivo que se comporta mal al abrirse. ClickFix y FileFix evitan casi todo eso porque no envían el objeto. Envían texto. Un instructivo y un comando en la pantalla no disparan las mismas alarmas que un ejecutable adjunto, y cuando el comando por fin corre, lo hace desde una acción legítima del usuario, en su sesión, con sus permisos. Para muchas defensas eso se ve como actividad normal.

Es el mismo patrón que ya vimos en otros vectores que rodean al correo tradicional sin reemplazarlo. El código QR malicioso saca el enlace del cuerpo del mensaje y lo mete en una imagen que el filtro no lee, como explicamos en nuestro artículo sobre el quishing. El engaño generativo hace más convincente el pretexto, un tema que tratamos al hablar de phishing con IA y deepfakes. ClickFix suma un giro propio: no le pide a la tecnología que falle, le pide a la persona que actúe. Y contra una acción voluntaria del usuario, el filtro llega tarde por diseño.

Cómo se prepara y valida el comportamiento ante este pretexto

Si el ataque se completa en una decisión humana, la preparación tiene que ocurrir en el mismo lugar: antes de la decisión, no después del incidente. Enseñar una vez al año que "no hay que pegar comandos raros" no cambia la conducta en el momento en que una pantalla urgente, creíble y bien redactada pide justamente eso. Lo que cambia la conducta es haber vivido el pretexto en un entorno seguro, haber sentido el tirón de resolver rápido y haber aprendido a detenerse en el paso exacto donde el ataque necesita la colaboración de la persona.

Y prepararse no basta si no se comprueba. La gestión de riesgo humano (Human Risk Management, HRM), la categoría que agrupa este enfoque, parte de una idea incómoda: haber recibido una capacitación no prueba que la conducta cambió. Lo que lo prueba es volver a poner a la persona frente a un pretexto de la misma familia semanas después, con otro disfraz, y ver si esta vez se detiene. Esa validación posterior, el retest, separa a quien entendió el mecanismo de quien solo recordó un correo puntual. Con una técnica que muta de superficie tan rápido como ClickFix y FileFix, validar el aprendizaje del patrón, y no de un caso, es lo que sostiene la defensa en el tiempo.

En Fensivo trabajamos ese terreno: preparamos el comportamiento de las personas frente a pretextos realistas por correo, entregamos capacitación específica en el momento en que alguien cae y validamos con retest que la lección se sostiene, no que se memorizó. Es el enfoque que aplicamos al caso de uso de defensa ante ingeniería social, donde el objetivo no es sumar cursos sino comprobar que la conducta resiste la próxima vez.

¿Si mañana una pantalla convincente le pidiera a alguien de tu equipo copiar un comando y pegarlo "para arreglar" un documento, sabes cuántos se detendrían en el paso justo, y cómo lo comprobarías?