El ataque Claude ClickFix utilizó un Google resultado patrocinado que mostraba una dirección de Bing de confianza, pero dirigía a los usuarios de macOS a un instalador falso de Claude. Documentada por Push Security y BleepingComputer el 9 de octubre de 2026, la página mostraba el comando de instalación real de Anthropic, mientras que su botón de copia colocaba un comando diferente en el portapapeles. No se identificó la carga útil final descargada.
¿Qué es el ataque Claude ClickFix?
Un ataque Claude ClickFix es una técnica de ingeniería social que persuade a los usuarios para copiar y ejecutar comandos de shell controlados por atacantes bajo la apariencia de instalar el software Claude de Anthropic. La campaña de octubre de 2026 combinó un resultado patrocinado engañoso, seguimiento de redirecciones multiplataforma, comprobaciones del referente y sustitución del portapapeles para llegar a usuarios de macOS.
Push Security detectó la campaña mediante telemetría del navegador en el entorno de un cliente y publicó su investigación el 9 de octubre de 2026. La empresa denomina «Adception» a la técnica de redirección entre motores de búsqueda y rastrea internamente el kit de páginas ClickFix compartido como «AcSig». Estos nombres describen los mecanismos de distribución, no una familia de malware confirmada.
La distinción es importante. Push Security y BleepingComputer no informaron de ninguna carga útil final identificada, de una cifra fiable del total de víctimas ni de pérdidas económicas en 2026. Por tanto, afirmar que la campaña instaló un infostealer, una puerta trasera o una ransomware variante concreta iría más allá de las pruebas publicadas.
Los ataques ClickFix trasladan un paso crítico a la víctima: usted ejecuta el comando personalmente. Este enfoque puede eludir algunas expectativas asociadas a las aplicaciones descargadas, ya que la acción inicial se produce en Terminal en lugar de mediante un paquete de instalación convencional.
¿Cómo explotaron los anuncios falsos de Claude las redirecciones de Google y Bing?
El ataque Claude ClickFix comenzó con un resultado patrocinado de Google para «claude mac» que mostraba bing.com como destino aparente. El 9 de octubre de 2026, los investigadores siguieron la solicitud a través del seguimiento de anuncios de Google, el seguimiento de clics de Bing, una página de WordPress comprometida y, finalmente, el dominio falsificado claude-desk-code[.]com.
La cadena observada contenía cuatro transiciones de confianza distintas. Cada destino proporcionaba a la siguiente solicitud el contexto suficiente para superar otro filtro, lo que dificultaba reproducir la ruta abriendo directamente la dirección final.
| Escenario | Host o ruta observados | Comportamiento documentado en 2026 |
|---|---|---|
| Clic en el anuncio de Google | google.com/aclk |
Envió el navegador hacia una dirección de seguimiento de Bing mostrada en el resultado patrocinado. |
| Rastreador de clics de Bing | bing.com/ck/a |
Devolvió JavaScript que redirigía el navegador y proporcionaba un referente de Bing. |
| Sitio web comprometido | homeopatiaalemana[.]com/quienes-somos/ |
Comprobó el referente de Bing y seleccionó las cabeceras del navegador antes de redirigir. |
| Instalador falsificado | claude-desk-code[.]com |
Requería un referente de Google o Bing; las demás solicitudes recibían una respuesta HTTP 404. |
Push Security descodificó una marca de tiempo del enlace de seguimiento de Bing correspondiente al 5 de octubre de 2026, probablemente la fecha en que Bing generó dicho enlace. Su informe identificó el intermediario como la página de WordPress comprometida de un minorista sudamericano. Que un sitio legítimo se convierta en un redireccionador desechable también recuerda que el acceso fraudulento de un administrador de WordPress puede tener consecuencias mucho más allá del sitio original.
La participación de Bing no significaba que Microsoft alojara el instalador falsificado. El bing.com/ck/a endpoint proporcionaba un dominio reconocible y un referente de Bing, mientras que la página comprometida y el sitio final utilizaban ese contexto para decidir quién veía el señuelo. La etiqueta «Adception» de Push Security capta el truco clave: la ruta publicitaria de un motor de búsqueda parecía tomar prestada la confianza de la infraestructura de seguimiento de otro motor de búsqueda.
¿Por qué parecía legítimo el instalador falsificado de Claude?
El instalador falsificado de Claude mostraba el comando auténtico de Anthropic para macOS y Linux, curl -fsSL https://claude.ai/install.sh | bash, que la documentación de Anthropic indicaba como su comando de instalación nativa recomendado en octubre de 2026. El texto visible era correcto, pero el botón Copiar de la página colocaba silenciosamente un código diferente en el portapapeles.
Según las investigaciones de octubre de 2026, el comando sustituido mostraba un mensaje tranquilizador de descarga de Claude, descodificaba una URL codificada, obtenía datos de lake-90[.]com y canalizaba el resultado a zsh. BleepingComputer identificó ese dominio tras descodificar el contenido del portapapeles. Los investigadores no determinaron qué acabó distribuyendo el servidor remoto.
El riesgo que suele pasarse por alto es sencillo: leer el comando en una página web no verifica el comando que se ha copiado. Un sitio web puede utilizar JavaScript para escribir texto arbitrario en el portapapeles, por lo que la inspección visual antes de hacer clic en Copiar no garantiza qué llegará a Terminal.
Hay un aspecto contradictorio. El método de instalación auténtico de Anthropic en 2026 también descarga un script y lo envía directamente a un shell, por lo que curl | bash no demuestra automáticamente que exista un compromiso. El contexto determina el riesgo: la página de origen, el dominio de destino, el contenido del portapapeles y la correspondencia con la documentación del proveedor guardada en los marcadores deben coincidir.
¿Cómo se puede comprobar de forma segura un comando de Claude copiado?
Puede inspeccionar un comando de Claude copiado sin ejecutarlo pegándolo en un editor de texto plano que no ejecute contenido, consultando el historial del portapapeles en macOS Tahoe o ejecutando pbpaste en Terminal. En 2026, las cadenas codificadas, los dominios no relacionados y las canalizaciones de descarga al shell requieren investigación antes de aprobar cualquier instalación de Claude.
Realice las siguientes comprobaciones en orden y deténgase si el texto copiado difiere de la documentación oficial de Anthropic:
- Abra la documentación de Claude desde un marcador o escriba usted mismo la dirección conocida del proveedor, en lugar de volver a ella a través de un resultado patrocinado.
- Copia el comando y, a continuación, pégalo en un editor de texto sin formato que no ejecute sintaxis de shell. Compara todos los dominios, opciones, tuberías y nombres de shell.
- En macOS Tahoe, revisa el texto copiado recientemente a través del historial del portapapeles en Spotlight, una función Manzana documentada el 24 de agosto de 2026.
- Como alternativa, introduce
pbpastepara mostrar el contenido del portapapeles. Mostrar el texto del portapapeles no ejecuta el texto que contiene. - Detente si ves una decodificación Base64, un host no relacionado como
lake-90[.]com, o un comando que descargue contenido remoto y lo envíe inmediatamente azshobash.
Apple advirtió el 15 de junio de 2026 que los usuarios no deberían omitir las advertencias de pegado de Terminal a menos que entiendan el comando y confíen en su origen. Esa advertencia es un punto de decisión, no una molestia de la interfaz. Sinceramente, omitirla solo porque un anuncio parecía cuidado frustra la protección.
La documentación de seguridad de Apple del 3 de agosto de 2026 indica que macOS 26.4 o posterior añade advertencias de pegado en Terminal, inspección de XProtect de los árboles de procesos creados por comandos pegados y comprobaciones de artefactos de red frente al servicio Safe Browsing de Apple. Esos controles pueden detectar comportamientos sospechosos, pero no hacen seguro un comando no verificado.
¿Cómo deberían las organizaciones bloquear y detectar el ataque Claude ClickFix?
Las organizaciones deberían reducir la exposición al ataque Claude ClickFix permitiendo instalaciones de software únicamente desde documentación del proveedor guardada en marcadores, catálogos gestionados o repositorios de paquetes aprobados. La detección debería correlacionar clics en anuncios, solicitudes de seguimiento de Bing, redirecciones inesperadas de WordPress, respuestas que dependan del referente, dominios parecidos, comandos codificados y procesos de shell que descarguen y ejecuten inmediatamente contenido remoto.
Un único evento puede parecer normal. El tráfico de clics en anuncios de Google es habitual, la /ck/a ruta es una infraestructura legítima de seguimiento, y una respuesta HTTP 302 de WordPress no es intrínsecamente hostil. La señal útil procede de la secuencia y el momento: clic en un anuncio, rastreador entre motores, sitio no relacionado, dominio parecido, shell controlado por el portapapeles y recuperación saliente.
Los equipos de seguridad pueden comprobar el cloaking sospechoso comparando solicitudes con y sin referentes de Google o Bing y modificando las cabeceras del navegador en un entorno controlado. En la campaña observada en octubre de 2026, el acceso directo al sitio falsificado devolvía HTTP 404 salvo que estuviera presente el contexto requerido del motor de búsqueda. Esa discrepancia es una evidencia de detección, pero no una prueba por sí sola.
Los operadores de WordPress deberían investigar redirecciones inexplicables desde páginas de contenido normales, cuentas de administrador no autorizadas, plugins modificados y JavaScript inyectado. Una disciplina similar se aplica a las cadenas de suministro de software: los controles de dependencias para el desarrollo asistido por IA ayudan a mantener explícitas las vías de adquisición, en lugar de dejar que los desarrolladores confíen en los resultados de búsqueda.
En los Mac gestionados, restringe la ejecución de Terminal y de shell a los usuarios que no las necesiten. Los desarrolladores que sí necesiten acceso al shell deberían recibir instrucciones de instalación aprobadas mediante documentación interna o un catálogo de software. Las restricciones en tiempo de ejecución son más fiables que las políticas por sí solas, un principio que también se refleja en la gobernanza de la IA aplicada mediante controles técnicos.
La atribución debe seguir siendo prudente. La ruta de redirección, la sustitución del portapapeles y el dominio remoto se documentaron en 2026; la familia de malware final no. Está justificado bloquear la infraestructura, pero atribuir una carga útil no confirmada puede contaminar los registros del incidente y hacer que los equipos de respuesta busquen los indicadores equivocados.
Preguntas frecuentes sobre el ataque Claude ClickFix
¿Se ha visto comprometido el instalador real de Claude de Anthropic?
No se informó de ninguna vulneración del instalador oficial de Anthropic en las investigaciones de octubre de 2026. La página fraudulenta mostraba el comando legítimo de Anthropic, pero su botón «Copiar» sustituía el comando del portapapeles por otro diferente.
¿Bing alojó la descarga falsa de Claude?
Bing no alojó el instalador falsificado de Claude en la cadena documentada de 2026. El bing.com/ck/a endpoint de seguimiento legítimo de Bing reenvió el navegador a una página de WordPress comprometida, que después redirigió a determinados visitantes a otro lugar.
¿Qué malware instaló el anuncio falso de Claude?
A fecha de 9 de octubre de 2026, ni Push Security ni BleepingComputer habían identificado una familia de malware definitiva. El comando sustituido recuperó datos remotos, pero los informes publicados no establecieron cuál era la carga útil resultante ni cuál era su comportamiento.
¿Son maliciosos todos los comandos curl-to-bash?
No. La documentación oficial de Anthropic de 2026 recomendaba una curl | bash comando de instalación para Claude, pero cualquier canalización que descargue contenido y lo envíe al shell conlleva riesgos porque el código se ejecuta inmediatamente. Verifica el origen, el texto copiado y el dominio de destino antes de ejecutarlo.