TLDR
Microsoft Threat Intelligence ha rastreado una campaña ClickFix para macOS que engaña a los usuarios para que copien y ejecuten un comando malicioso en Terminal, lo que finalmente instala ladrones de información como Atomic Stealer (AMOS)...
Como funciona
Microsoft Threat Intelligence ha rastreado una campaña ClickFix para macOS que engaña a los usuarios para que copien y ejecuten un comando malicioso en Terminal, lo que finalmente instala ladrones de información como Atomic Stealer (AMOS)...
Señales de alerta
- Presion urgente para hacer clic, pagar o compartir codigos de inmediato.
- Enlace o remitente que no coincide con la organizacion oficial.
- Solicitud de tarjeta, contrasena, OTP, firma de wallet o transferencia.
Qué hacer
- 1Señales de alerta Una página web le pide que abra Terminal y pegue un comando para "solucionar" una descarga, un CAPTCHA o una actualización El sitio muestra una insignia "Editor verificado" falsificada para parecer legítimo La página se comporta de manera diferente según su navegador o sistema operativo, una señal de cloaking Qué hacer Nunca copie y pegue comandos en Terminal desde un sitio web, incluso si la página parece oficial Mantenga macOS y su navegador actualizados, y use protección de endpoint que marque las cadenas de curl/bash lanzadas desde el portapapeles Si ya ejecutó el comando, cambie las contraseñas guardadas en el navegador, revoque las sesiones activas y considere
Fuente
microsoft-security
Fuente verificada por Mythos Forensic Team
https://www.microsoft.com/en-us/security/blog/2026/08/05/macos-clickfix-campaign-learned-hide/FAQ
Es La estafa Mac ClickFix se oculta tras una puerta de fingerprinting para robar contraseñas una estafa real?
Si. Trata el mensaje, la llamada o la solicitud de pago como sospechosos hasta que los verifiques por un canal oficial.
Cuales son las primeras senales?
Presion urgente para hacer clic, pagar o compartir codigos de inmediato.; Enlace o remitente que no coincide con la organizacion oficial.; Solicitud de tarjeta, contrasena, OTP, firma de wallet o transferencia.
Que debo hacer primero?
Señales de alerta Una página web le pide que abra Terminal y pegue un comando para "solucionar" una descarga, un CAPTCHA o una actualización El sitio muestra una insignia "Editor verificado" falsificada para parecer legítimo La página se comporta de manera diferente según su navegador o sistema operativo, una señal de cloaking Qué hacer Nunca copie y pegue comandos en Terminal desde un sitio web, incluso si la página parece oficial Mantenga macOS y su navegador actualizados, y use protección de endpoint que marque las cadenas de curl/bash lanzadas desde el portapapeles Si ya ejecutó el comando, cambie las contraseñas guardadas en el navegador, revoque las sesiones activas y considere
Puede LegalAudit revisar mi caso?
Si. Abre el chat gratis y pega el mensaje, el enlace, el remitente o los datos de pago para un triage.