CAPTCHA-misbruik gezien bij ruim 40 procent van phishing-kits
Cybercriminelen maken op grote schaal misbruik van het vertrouwen dat gebruikers hebben in CAPTCHA-controles. Uit onderzoek van cybersecuritybedrijf Barracuda blijkt dat valse CAPTCHA's zich ontwikkelen van eenvoudige misleidingsstappen tot actieve dreigingen die securityscanners omzeilen en slachtoffers verleiden om zelf malware te installeren. Bij maar liefst 43 procent van de onderzochte phishing-kit-aanvallen in 2025 werd misbruik gemaakt van CAPTCHA-mechanismen.
CAPTCHA’s werden oorspronkelijk ontworpen om menselijke bezoekers van geautomatiseerde bots te onderscheiden. Omdat internetgebruikers de controles associëren met beveiliging en betrouwbaarheid, benutten aanvallers deze psychologische voorsprong in phishing-campagnes. Slachtoffers die via een e-mail naar een document of factuur zoeken, worden geconfronteerd met een realistisch ogend CAPTCHA-venster. Denkend dat zij een regulier beveiligingsproces doorlopen, voeren zij vervolgens gevoelige gegevens in op nep-inlogpagina's of voeren zij handelingen uit die leiden tot een malware-infectie.
Adaptieve aanvalsketens en omzeiling van scanners
De valse CAPTCHA fungeert niet als de uiteindelijke schadelijke lading (payload), maar dient als een tussenlaag om de aanval te maskeren. Geautomatiseerde beveiligingsscanners, crawlers en sandboxes lopen vast op de CAPTCHA-interactie, terwijl menselijke slachtoffers wel worden doorgestuurd.
Bovendien passen deze valse pagina's zich dynamisch aan op basis van het apparaat, de locatie en het tijdstip van het slachtoffer. Om onderzoek door cybersecurityteams te bemoeilijken, verlopen de CAPTCHA-sessies daarnaast snel.
ClickFix: gebruiker voert infectie zelf uit
Een van de meest geavanceerde toepassingen is de combinatie met de zogeheten ClickFix-techniek. Hierbij genereert de valse CAPTCHA een nep-foutmelding of documentfout en biedt direct een 'oplossing' aan. Wanner de gebruiker op een verificatieknop klikt, wordt er ongemerkt een schadelijke instructie naar het klembord van het besturingssysteem gekopieerd.
Vervolgens krijgt het slachtoffer de instructie om het Windows-uitvoervenster te openen, de gekopieerde tekst te plakken en op Enter te drukken. Hierdoor voert de gebruiker het schadelijke script zelfstandig en onbewust uit op het eigen systeem.
Gelaagde beveiliging noodzakelijk
Volgens onderzoekers onderstreept deze ontwikkeling de noodzaak voor scherpere bewustwording binnen organisaties. "Een CAPTCHA geeft aan dat een bezoeker menselijk is, maar het bevestigt niet dat de website veilig is", stelt Poojitha B, Threat Analysis Associate bij Barracuda. Veiligheidsexperts benadrukken dat organisaties medewerkers moeten trainen om verder te kijken dan vertrouwde visuele elementen en een gelaagde beveiligingsstrategie moeten hanteren om dit type geautomatiseerde en adaptieve aanvallen te stoppen.
Meer over phishing
Over Witold Kepinski
