ClickFix: o golpe que pede para você colar um comando

O ClickFix é um golpe em que a própria vítima instala o vírus: uma página ou mensagem diz que há algo a "consertar" ou "verificar" e pede que a pessoa copie e cole um comando em uma janela do sistema, como o PowerShell ou a caixa Executar do Windows. Ao apertar Enter, o comando baixa e instala um programa malicioso. A regra para se proteger é curta: nenhum site, verificação de segurança ou chatbot legítimo pede que você cole comandos no seu computador. A técnica voltou ao noticiário porque criminosos passaram a usar GPTs personalizados hospedados no site oficial do ChatGPT para aplicar o golpe.

O caso do GPT falso no site do ChatGPT

A campanha descrita por especialistas começa com anúncios patrocinados no Google. Quem clica é levado a um site externo que simula uma verificação de segurança da Cloudflare, empresa conhecida por aquelas telas de "confirme que você é humano". No esquema também entra um GPT personalizado, ou seja, uma versão do ChatGPT configurada por terceiros e publicada dentro do próprio site da OpenAI.

Na conversa, o chatbot induz o usuário a executar comandos no PowerShell. O resultado é a instalação de um trojan de acesso remoto, conhecido pela sigla RAT. Esse tipo de programa dá aos criminosos controle total do computador: eles podem ver a tela, acessar arquivos pessoais e usar a câmera e o microfone.

A empresa de segurança Huntress identificou dezenas de incidentes ligados a essa estrutura. A OpenAI removeu GPTs maliciosos, entre eles um identificado como "Plus 5.6", mas novas variantes continuam sendo detectadas. O endereço oficial do ChatGPT na barra do navegador dá uma falsa sensação de segurança, e é justamente isso que os golpistas exploram.

Como o ClickFix costuma aparecer

O caso do ChatGPT é uma variação de um roteiro que já circula há algum tempo. As versões mais comuns são estas:

A falsa verificação "não sou um robô"

A página mostra algo parecido com um captcha. Ao clicar, aparecem instruções: aperte a tecla Windows junto com R, depois Ctrl e V, depois Enter. Sem que a pessoa perceba, o site já copiou um comando para a área de transferência, e esses três passos fazem o computador executá-lo.

O falso erro que precisa ser corrigido

Outra versão exibe uma mensagem de erro, como um documento que não abre ou uma página que não carrega, e oferece um botão de "corrigir". O botão copia o comando e a tela ensina onde colar.

O assistente que "ajuda"

Na variação mais recente, a instrução vem de um chatbot, que conversa de forma natural e apresenta o comando como parte de um procedimento técnico. A conversa dá credibilidade ao pedido.

Por que o golpe funciona

O ClickFix explora três coisas. A primeira é o hábito: as pessoas estão acostumadas a resolver captchas e a seguir instruções para acessar sites. A segunda é a confiança no lugar onde o pedido aparece, seja um anúncio no buscador, seja um domínio conhecido. A terceira é técnica: como é a própria vítima que executa o comando, algumas proteções do sistema e do navegador, que bloqueariam um download suspeito, não entram em ação da mesma forma.

Além disso, quem não trabalha com tecnologia raramente sabe o que é o PowerShell ou a caixa Executar. Um código cheio de símbolos parece só mais uma etapa técnica, e não um sinal de alerta.

Como se proteger no dia a dia

A defesa contra o ClickFix não exige conhecimento avançado. Alguns hábitos resolvem a maior parte do risco.

Nunca cole em PowerShell, Prompt de Comando, caixa Executar ou Terminal um texto que um site, e-mail, mensagem ou chatbot mandou colar. Se a instrução inclui apertar Windows e R, pare ali.

Desconfie de verificações que pedem mais do que um clique ou a escolha de imagens. Um captcha de verdade nunca manda abrir programas do sistema.

Prefira digitar o endereço do site que você quer acessar, ou usar um favorito salvo, em vez de clicar em anúncios patrocinados no topo da busca.

Mantenha o Windows, o navegador e o antivírus atualizados. Eles não bloqueiam tudo, mas reduzem bastante o estrago de muitos ataques.

Trate conselhos técnicos de chatbots com o mesmo cuidado que você teria com um desconhecido. Se uma resposta pede para executar algo, confirme antes em fontes oficiais.

O que fazer se você já colou o comando

Se você seguiu as instruções e desconfia que caiu no golpe, não precisa entrar em pânico, mas vale agir rápido. Desconecte o computador da internet, tirando o cabo ou desligando o Wi-Fi. Rode uma verificação completa com o antivírus. Em seguida, de outro aparelho que você sabe estar limpo, troque as senhas de e-mail, banco e redes sociais e ative a verificação em duas etapas.

Se o computador é do trabalho, avise a equipe de TI imediatamente. Em casos de dúvida, procurar um técnico de confiança para avaliar e, se necessário, reinstalar o sistema é a forma mais segura de voltar a usar a máquina sem risco.

Perguntas frequentes

O que é o golpe ClickFix?

É uma técnica em que a vítima é convencida a copiar e colar um comando no próprio computador, achando que está resolvendo um problema ou passando por uma verificação. O comando instala um programa malicioso.

Como o golpe usou o site do ChatGPT?

O esquema combinava anúncios no Google, uma falsa verificação da Cloudflare e GPTs personalizados hospedados no site oficial do ChatGPT. O chatbot instruía o usuário a executar comandos no PowerShell, que instalavam um trojan de acesso remoto.

Algum site legítimo pede para colar comandos no PowerShell?

Não para usuários comuns. Verificações de segurança, sites, bancos e chatbots legítimos não pedem que você abra o PowerShell, o Terminal ou a caixa Executar para colar um código.

O que fazer depois de colar um comando suspeito?

Desconecte o computador da internet, rode o antivírus e troque suas senhas usando outro aparelho, ativando a verificação em duas etapas. Se for computador de trabalho, avise a TI. Na dúvida, procure um técnico.