Onderzoekers van Barracuda hebben ontdekt dat aanvallers steeds vaker valse CAPTCHA-controles inzetten als geavanceerde tools die detectie proberen te ontwijken. CAPTCHA’s zijn oorspronkelijk ontworpen om onderscheid te maken tussen mensen en bots. Gebruikers associëren CAPTCHA’s daarom met security en vertrouwen. Cybercriminelen maken nu misbruik van dat vertrouwen in phishing-campagnes. Uit analyse van Barracuda blijkt dat CAPTCHA-misbruik voorkwam in maar liefst 43% van de onderzochte phishing-kit-aanvallen in 2025.
Een valse CAPTCHA geeft gebruikers het idee dat ze een vertrouwde website met legitieme securitychecks bezoeken. Daardoor zullen ze makkelijker verder klikken, bestanden downloaden of gevoelige informatie invoeren. Een traditionele CAPTCHA-aanval kan bijvoorbeeld beginnen met een e‑mail waarin wordt gevraagd om een document, factuur, contract of beveiligd bestand te controleren. Wanneer de ontvanger op de link klikt, krijgen ze een legitiem uitziend CAPTCHA-venster te zien en denken ze dat ze een normaal securityproces doorlopen. In sommige campagnes worden slachtoffers dan doorgestuurd naar een valse Microsoft 365 loginpagina die is ontworpen om logingegevens te stelen.
In geavanceerdere aanvallen kan de CAPTCHA-stap ervoor zorgen dat er malware wordt gedownload of worden gebruikers aangezet om browsermeldingen in te schakelen. Valse CAPTCHA’s ontwikkelen zich zo van een simpele tussenstap voor het stelen van inloggegevens naar een actieve aanvalsmethode voor malware-infecties, misbruik van browsermeldingen om schadelijke content te tonen en het verleiden van gebruikers om zelf schadelijke commando’s uit te voeren (zoals de ClickFix-techniek).
Van visuele misleiding naar adaptieve aanvalsketens
Valse CAPTCHA’s zelf zijn niet de daadwerkelijke payload, maar zorgen ervoor dat een schadelijke payload betrouwbaar lijkt en helpt om deze te verbergen voor securityscanners. Geautomatiseerde crawlers en sandboxes zijn vaak niet in staat om de CAPTCHA-check met succes te doorlopen, terwijl echte gebruikers doorgestuurd worden. Bovendien passen deze pagina’s zich dynamisch aan op basis van het device, de locatie, de tijd of de activiteit van het slachtoffer. Ook verlopen de CAPTCHA’s snel om onderzoek door securityteams te bemoeilijken.
ClickFix: infectie door gebruikers zelf
Een van de gevaarlijkste ontwikkelingen is de combinatie van valse CAPTCHA’s met ClickFix-technieken. Hierbij worden gebruikers gevraagd om op een verificatiebutton te klikken, waarmee ongemerkt een schadelijk commando naar het clipboard wordt gekopieerd. Vervolgens geeft het slachtoffer de instructie om het dialoogvenster ‘Uitvoeren’ in Windows te openen, de eerder gekopieerde tekst te plakken en op Enter te drukken. Doordat aanvallers eerst een nep-probleem creëren (bijvoorbeeld een foutmelding of mislukte documentweergave) en vervolgens meteen een ‘oplossing’ geven, voeren slachtoffers de infectie onbewust zelf uit.
“Een CAPTCHA geeft aan dat een bezoeker menselijk is, maar het bevestigt niet dat de website veilig is”, zegt Poojitha B, Threat Analysis Associate bij Barracuda. “Organisaties moeten medewerkers daarom trainen om verder te kijken dan alleen het CAPTCHA-scherm en een gelaagde securitystrategie hanteren om deze aanvallen te stoppen.”
Voor meer informatie: https://blog.barracuda.com/2026/10/15/fake-captcha-phishing-attacks.
