警惕虚假验证码：43%钓鱼攻击借此植入恶意软件

据安全厂商Barracuda披露，虚假验证码（CAPTCHA）已不再仅用于隐藏钓鱼页面。攻击者正将这一常见的“人机验证”步骤，转变为分发恶意软件、推送恶意浏览器通知以及诱导用户自行执行恶意命令的入口。

Barracuda数据显示，在2025年其审查的网络钓鱼套件攻击中，高达43%的案件涉及验证码滥用。这些验证环节不仅有助于建立用户信任、筛选真实访客，还能有效掩盖面向自动化安全工具的恶意内容。

此类攻击通常始于一封要求审阅文档、发票或合同的邮件。点击链接后，用户会被引导至一个强制验证页面，必须完成验证才能访问所谓“内容”。

验证完成后，攻击路径出现分化：部分用户被重定向至伪造的Microsoft 365登录页以窃取凭证；另一部分则触发恶意软件下载，或被诱导启用浏览器通知，以便攻击者持续发送恶意信息。

此外，验证码挑战能阻止自动化扫描器和安全测试工具访问后续页面，从而限制安全团队对攻击行为的检测。Barracuda威胁分析助理Poojitha B指出，这些页面会根据设备、位置、活动或时间动态调整，且部分页面仅在短时间内显示或查看后即过期，增加了事后调查的难度。

虚假验证码也广泛应用于“ClickFix”攻击中。攻击者以完成验证或解决问题为幌子，诱骗受害者执行恶意命令。

当用户点击复选框或“验证”按钮时，恶意命令可能在不知情的情况下被复制到剪贴板。随后，页面指示用户打开Windows运行对话框或其他系统工具，粘贴并执行该文本，从而启动恶意软件感染。部分变体甚至在网页交互或鼠标移动后自动复制命令，依赖用户的后续操作完成攻击。

这些页面常模仿浏览器错误、文档预览失败、会议问题或软件更新通知，并附带所谓的“恢复指南”，指导用户执行启动攻击所需的关键动作。

借助AI和无代码开发工具，攻击者能快速创建高度逼真的验证码页面、登录界面和网络钓鱼序列。页面可整合收件人个人信息或组织品牌标识，并针对目标调整语言和内容。

某些攻击活动采用多阶段冒充策略。例如，文档共享链接可能先导向验证码，随后弹出类似Adobe的提示，最后跳转至微软登录页面。这种模拟正常工作流的序列，旨在降低用户警惕性，诱导其输入凭证。

若网站要求运行命令、安装软件、启用浏览器通知，或索要密码及一次性验证码，均为虚假验证码的典型危险信号。意外的下载请求，以及关于账户暂停或数据丢失的威胁，也应立即引起警惕并停止操作。

Barracuda建议，用户应仔细检查网址是否存在拼写错误的域名、异常子域名或与所提供服务无关的地址。在遵循任何指示或输入敏感信息前，务必核实网站身份。