A maioria dos profissionais de PME já copiou um comando do terminal directamente de um site, sem verificar. Seja para instalar uma ferramenta, corrigir um erro ou seguir um tutorial, o hábito é colar primeiro e ler depois. Os ataques ClickFix transformaram esse gesto automático na principal via de entrada de malware em 2025, com mais de 53% das infecções a começarem exactamente assim.
O esquema é simples e eficaz: uma página falsa de verificação — muitas vezes um CAPTCHA que não funciona ou um vídeo que não arranca — pede ao utilizador para copiar um comando e executá-lo no terminal. Em segundos, o malware instala-se, as palavras-passe são roubadas e o atacante ganha controlo remoto da máquina. E o pior: a técnica já não é um truque exótico, mas o método de distribuição dominante.
O que são os ataques ClickFix e como funcionam
Os ataques ClickFix começam com uma armadilha visual. Imagine que está a navegar num site legítimo e, de repente, surge um ecrã a pedir para verificar que é humano. O botão não funciona, a página recarrega e aparece uma mensagem de erro com instruções: “Copie este comando, abra a janela Executar (Windows + R) e cole-o”. O utilizador, frustrado e com pressa, obedece. O comando, aparentemente inofensivo, desencadeia a descarga e execução de software malicioso.
Esta técnica explora a confiança que depositamos em interfaces familiares. O falso CAPTCHA imita na perfeição os sistemas de verificação que encontramos diariamente. A diferença é que, em vez de validar um clique, injecta código diretamente no sistema operativo. Segundo a empresa de cibersegurança Huntress, este método foi responsável por mais de metade de todos os incidentes de distribuição de malware no ano passado — um salto que o coloca como o novo padrão para ataques de engenharia social.
Em maio de 2026, a escala do problema tornou-se ainda mais evidente. Atacantes exploraram uma vulnerabilidade de injeção SQL no Ghost CMS (CVE-2026-26980) para comprometer mais de 700 sites dos setores da educação e tecnologia. Em cada um deles, os visitantes passaram a ser recebidos com uma página falsa da Cloudflare que os induzia a copiar e executar o comando malicioso. O ataque em cadeia mostrou como uma única falha de software pode transformar centenas de sites legítimos em vetores de infeção.
O que diferencia este ataque de outras ameaças
Até agora, a maioria dos ataques de phishing dependia de anexos de email ou links para sites fraudulentos. O utilizador tinha de clicar, descarregar um ficheiro e, muitas vezes, ignorar avisos de segurança. Os ataques ClickFix contornam essas barreiras porque o utilizador é quem executa ativamente o comando, convencido de que está a resolver um problema técnico. Não há ficheiro suspeito para analisar, nem link para bloquear — apenas texto que o próprio utilizador cola e executa.
Outra diferença crítica é a superfície de ataque. Enquanto o phishing tradicional mira a credulidade humana, o ClickFix explora a automatização de processos. O utilizador não precisa de ser enganado por um email convincente; basta estar distraído ou com pressa. E como o comando é executado localmente, as defesas de rede tradicionais, como firewalls e filtros de email, são completamente cegas a este vetor.
Além disso, a técnica é altamente escalável. Os atacantes podem comprometer um site popular e, em minutos, atingir milhares de utilizadores sem qualquer interação adicional. A campanha contra os sites Ghost CMS é o exemplo perfeito: uma única exploração técnica permitiu-lhes servir o falso CAPTCHA a todos os visitantes, independentemente do seu perfil ou comportamento.
O que isto significa para PMEs portuguesas
Para uma PME portuguesa, o risco é concreto e imediato. Basta um colaborador copiar um comando malicioso durante uma pesquisa no Google ou ao tentar aceder a um site de um fornecedor comprometido para que toda a rede da empresa fique exposta. O malware pode roubar credenciais de acesso ao email, ao software de faturação ou até aos dados de clientes — com consequências que vão desde a perda de produtividade até coimas por violação do RGPD.
O custo de um incidente destes não se mede apenas em euros gastos em recuperação. A paragem operacional, a perda de confiança dos clientes e o tempo da equipa de gestão a lidar com a crise têm um impacto desproporcional em empresas com menos de 50 colaboradores. E, ao contrário do que muitos pensam, não é preciso ser um alvo de alto perfil: os atacantes preferem PMEs precisamente porque sabem que têm menos defesas e que um resgate ou roubo de dados pode ser pago rapidamente.
Proteger-se exige uma combinação de formação e tecnologia. A primeira linha de defesa é ensinar a equipa a nunca executar comandos copiados da internet sem validação. Mas isso não chega. Ferramentas de segurança endpoint, políticas de privilégio mínimo e uma consultoria estratégica em cibersegurança podem ajudar a blindar a operação. O importante é agir antes que o falso CAPTCHA apareça no ecrã de alguém da sua empresa.
O erro que a maioria comete
O erro mais comum é acreditar que o antivírus resolve tudo. A maioria das PMEs instala uma solução de segurança básica e assume que está protegida contra qualquer ameaça. Mas os ataques ClickFix não são bloqueados por antivírus tradicionais porque o utilizador legítimo é quem executa o comando. O software de segurança vê uma ação autorizada, não um ataque. O resultado é uma falsa sensação de segurança que dura até ao primeiro incidente.
Riscos e limitações
Esta técnica de ataque é particularmente perigosa para empresas com políticas de “traga o seu próprio dispositivo” (BYOD) ou com colaboradores em teletrabalho que usam máquinas pessoais. Sem controlo centralizado, um único equipamento infetado pode servir de ponte para a rede corporativa. Além disso, a formação dos utilizadores, embora essencial, não é infalível: basta um momento de distração para que alguém cole o comando errado. A versão atual dos ataques ClickFix também é difícil de detetar em tempo real, porque o tráfego de comando e controlo muitas vezes imita padrões legítimos. Para já, a melhor defesa continua a ser a prevenção e a restrição de privilégios de execução.
Veredito Descomplicar®
Os ataques ClickFix não são uma ameaça futurista — são o presente da cibercriminalidade. Para a maioria das PMEs portuguesas, o risco justifica uma ação imediata: rever as políticas de segurança, formar a equipa e, se necessário, procurar apoio especializado. Não se trata de alarmismo, mas de reconhecer que o gesto mais banal — copiar e colar — se tornou uma porta de entrada para prejuízos reais. Vale a pena agir agora, antes que o próximo comando copiado seja o que compromete o seu negócio. Para um plano de ação adaptado à sua realidade, uma consultoria estratégica pode ser o primeiro passo.