30 Października 2026
CAPTCHA – co to jest, jak działa i czym jest fałszywa CAPTCHA (ClickFix)?
CAPTCHA ma pomóc stronie internetowej odróżnić prawdziwego użytkownika od zautomatyzowanego ruchu. Może poprosić o zaznaczenie pola, rozpoznanie obrazów albo działać niemal niewidocznie w tle. Sam znajomy komunikat „Nie jestem robotem” nie oznacza jednak, że strona jest bezpieczna. Cyberprzestępcy coraz częściej kopiują wygląd weryfikacji i wykorzystują tzw. Fake CAPTCHA w atakach ClickFix. Zamiast sprawdzić, czy jesteś człowiekiem, próbują nakłonić Cię do uruchomienia polecenia w systemie i samodzielnego zainstalowania złośliwego oprogramowania.
ZWIĘKSZ BEZPIECZEŃSTWO SWOICH DANYCH
ZWIĘKSZ BEZPIECZEŃSTWO SWOICH DANYCH
O czym pamiętać?
- CAPTCHA sprawdza, czy interakcja wygląda na wykonaną przez człowieka, ale nie potwierdza Twojej tożsamości tak jak logowanie lub 2FA.
- Prawidłowa CAPTCHA może działać jako pole wyboru, zadanie obrazkowe, test dźwiękowy albo mechanizm oceniający ruch w tle.
- Sama obecność CAPTCHA nie potwierdza wiarygodności strony. Fałszywa witryna również może wyświetlić pole „Nie jestem robotem”.
- Prawdziwa weryfikacja antybotowa nie powinna kazać Ci otwierać okna Uruchamianie, PowerShella, Wiersza polecenia ani Terminala i wklejać komendy.
- Jeżeli „CAPTCHA” prosi o skopiowanie polecenia, użycie skrótu systemowego lub wyłączenie zabezpieczeń, przerwij działanie. To typowy sygnał ClickFix.
- Jeśli wykonałeś podejrzane polecenie, potraktuj sytuację jak możliwą infekcję urządzenia i reaguj z czystego, zaufanego sprzętu.
Co to jest CAPTCHA?
CAPTCHA to skrót od Completely Automated Public Turing test to tell Computers and Humans Apart. Jest to mechanizm stosowany w serwisach internetowych do ograniczania automatycznych działań wykonywanych przez boty. Może chronić formularze, rejestrację kont, komentarze, logowanie lub inne operacje podatne na masowe nadużycia.
Najprostsza CAPTCHA przedstawia zadanie, które powinno być łatwe dla człowieka, a trudniejsze dla automatycznego programu. Współczesne rozwiązania nie zawsze wymagają jednak ręcznego zaznaczania obrazów. Część systemów analizuje sygnały związane z ruchem i zachowaniem przeglądarki, a zadanie pokazuje dopiero wtedy, gdy interakcja wygląda podejrzanie.
CAPTCHA nie jest tym samym co uwierzytelnianie. Jej celem nie jest ustalenie, czy użytkownik jest konkretną osobą, tylko ograniczenie ruchu automatycznego lub nadużyć. Dlatego zaznaczenie „Nie jestem robotem” nie potwierdza, że jesteś właścicielem konta.
Najprostsza CAPTCHA przedstawia zadanie, które powinno być łatwe dla człowieka, a trudniejsze dla automatycznego programu. Współczesne rozwiązania nie zawsze wymagają jednak ręcznego zaznaczania obrazów. Część systemów analizuje sygnały związane z ruchem i zachowaniem przeglądarki, a zadanie pokazuje dopiero wtedy, gdy interakcja wygląda podejrzanie.
CAPTCHA nie jest tym samym co uwierzytelnianie. Jej celem nie jest ustalenie, czy użytkownik jest konkretną osobą, tylko ograniczenie ruchu automatycznego lub nadużyć. Dlatego zaznaczenie „Nie jestem robotem” nie potwierdza, że jesteś właścicielem konta.
Jak działa CAPTCHA?
Dokładny mechanizm zależy od rozwiązania. Klasyczne testy mogą wymagać wpisania znaków, wskazania właściwych obrazów albo wykonania prostego zadania. Nowsze narzędzia mogą analizować ryzyko i na tej podstawie zdecydować, czy użytkownik powinien zobaczyć dodatkowe wyzwanie.
Google reCAPTCHA udostępnia m.in. wariant z polem wyboru „Nie jestem robotem”, wersję niewidoczną oraz mechanizmy, które zwracają ocenę ryzyka bez konieczności ręcznego rozwiązywania zadania. Inne systemy antybotowe również mogą działać bez klasycznych łamigłówek.
Dla zwykłego użytkownika ważniejsza od nazwy technologii jest jedna zasada: prawidłowa CAPTCHA działa w obrębie strony lub przeglądarki. Nie wymaga uruchamiania poleceń systemowych ani wykonywania instrukcji w narzędziach administracyjnych komputera.
Google reCAPTCHA udostępnia m.in. wariant z polem wyboru „Nie jestem robotem”, wersję niewidoczną oraz mechanizmy, które zwracają ocenę ryzyka bez konieczności ręcznego rozwiązywania zadania. Inne systemy antybotowe również mogą działać bez klasycznych łamigłówek.
Dla zwykłego użytkownika ważniejsza od nazwy technologii jest jedna zasada: prawidłowa CAPTCHA działa w obrębie strony lub przeglądarki. Nie wymaga uruchamiania poleceń systemowych ani wykonywania instrukcji w narzędziach administracyjnych komputera.
Jakie są rodzaje CAPTCHA?
CAPTCHA tekstowa
Użytkownik odczytuje zniekształcony ciąg znaków i wpisuje go w polu. Taki model był bardzo popularny w starszych serwisach, ale wraz z rozwojem rozpoznawania obrazu jest stosowany rzadziej.
CAPTCHA obrazkowa
Użytkownik wskazuje zdjęcia spełniające określony warunek, np. przedstawiające konkretny obiekt. Celem jest odróżnienie człowieka od zautomatyzowanego programu.
CAPTCHA dźwiękowa
Alternatywa dla wyzwań wizualnych. Użytkownik odsłuchuje nagranie i podaje usłyszane informacje. Takie rozwiązanie może wspierać dostępność dla osób, które nie mogą skorzystać z zadania obrazkowego.
Checkbox i niewidoczna weryfikacja
W niektórych rozwiązaniach wystarczy zaznaczyć pole, a system ocenia dodatkowe sygnały. Inne mechanizmy działają w tle i proszą o dodatkowe zadanie tylko przy podwyższonym ryzyku. To dlatego brak klasycznej łamigłówki nie oznacza, że system nie wykonuje kontroli antybotowej.
Użytkownik odczytuje zniekształcony ciąg znaków i wpisuje go w polu. Taki model był bardzo popularny w starszych serwisach, ale wraz z rozwojem rozpoznawania obrazu jest stosowany rzadziej.
CAPTCHA obrazkowa
Użytkownik wskazuje zdjęcia spełniające określony warunek, np. przedstawiające konkretny obiekt. Celem jest odróżnienie człowieka od zautomatyzowanego programu.
CAPTCHA dźwiękowa
Alternatywa dla wyzwań wizualnych. Użytkownik odsłuchuje nagranie i podaje usłyszane informacje. Takie rozwiązanie może wspierać dostępność dla osób, które nie mogą skorzystać z zadania obrazkowego.
Checkbox i niewidoczna weryfikacja
W niektórych rozwiązaniach wystarczy zaznaczyć pole, a system ocenia dodatkowe sygnały. Inne mechanizmy działają w tle i proszą o dodatkowe zadanie tylko przy podwyższonym ryzyku. To dlatego brak klasycznej łamigłówki nie oznacza, że system nie wykonuje kontroli antybotowej.
Do czego służy CAPTCHA?
CAPTCHA jest jednym z elementów ochrony serwisu przed automatyzacją. Może ograniczać:
- masowe wysyłanie spamu przez formularze i komentarze;
- automatyczne zakładanie dużej liczby fałszywych kont;
- część zautomatyzowanych prób logowania lub nadużywania formularzy;
- automatyczne rezerwacje, głosowania lub inne działania, w których serwis chce ograniczyć udział botów;
- masowe zapytania wykonywane przez proste skrypty.
CAPTCHA nie jest jednak samodzielnym zabezpieczeniem przed każdym atakiem. W przypadku logowania powinna być tylko jednym z elementów ochrony obok limitów prób, dobrych haseł, bezpiecznej autoryzacji i monitorowania ryzyka. Jeżeli interesuje Cię temat automatycznego odgadywania haseł, sprawdź: Brute force – co to jest i jak się chronić?
Czy CAPTCHA oznacza, że strona jest bezpieczna?
Nie. Mechanizm CAPTCHA mówi jedynie, że strona próbuje rozróżnić ruch człowieka i bota – albo przynajmniej tak wygląda. Przestępca może umieścić podobny element na stronie phishingowej, skopiować logo znanej firmy i stworzyć bardzo wiarygodny ekran „weryfikacji”.
Dlatego nie oceniaj bezpieczeństwa witryny na podstawie samego pola „Nie jestem robotem”. Sprawdź domenę, kontekst wejścia na stronę i to, czego witryna żąda po zakończeniu weryfikacji. Jeśli trafiłeś tam z podejrzanego linku, przeczytaj: Czy link jest bezpieczny? Jak to sprawdzić?
Dlatego nie oceniaj bezpieczeństwa witryny na podstawie samego pola „Nie jestem robotem”. Sprawdź domenę, kontekst wejścia na stronę i to, czego witryna żąda po zakończeniu weryfikacji. Jeśli trafiłeś tam z podejrzanego linku, przeczytaj: Czy link jest bezpieczny? Jak to sprawdzić?
Co to jest Fake CAPTCHA i ClickFix?
Fake CAPTCHA to fałszywa strona lub element podszywający się pod znany mechanizm weryfikacji. Jednym z najgroźniejszych scenariuszy jest ClickFix – technika socjotechniczna, w której użytkownik jest przekonywany, że aby „naprawić błąd” albo „potwierdzić, że nie jest robotem”, musi wykonać dodatkowe instrukcje w systemie.
CERT Polska opisał w 2026 r. incydent, w którym fałszywa CAPTCHA doprowadziła do infekcji stacji roboczej i dalszego naruszenia bezpieczeństwa organizacji. W typowym wariancie użytkownik jest proszony o skopiowanie przygotowanej treści, otwarcie systemowego okna uruchamiania poleceń i wklejenie jej. To użytkownik sam uruchamia polecenie, dlatego atak może wyglądać jak zwykła procedura weryfikacyjna.
Microsoft obserwował również kampanie ClickFix skierowane do użytkowników macOS, gdzie fałszywa weryfikacja nakłaniała do uruchomienia polecenia w Terminalu. To ważne: ClickFix nie jest problemem wyłącznie systemu Windows i nie musi zawsze wyglądać identycznie.
CERT Polska opisał w 2026 r. incydent, w którym fałszywa CAPTCHA doprowadziła do infekcji stacji roboczej i dalszego naruszenia bezpieczeństwa organizacji. W typowym wariancie użytkownik jest proszony o skopiowanie przygotowanej treści, otwarcie systemowego okna uruchamiania poleceń i wklejenie jej. To użytkownik sam uruchamia polecenie, dlatego atak może wyglądać jak zwykła procedura weryfikacyjna.
Microsoft obserwował również kampanie ClickFix skierowane do użytkowników macOS, gdzie fałszywa weryfikacja nakłaniała do uruchomienia polecenia w Terminalu. To ważne: ClickFix nie jest problemem wyłącznie systemu Windows i nie musi zawsze wyglądać identycznie.
Jak działa atak ClickFix krok po kroku?
1. Trafiasz na stronę z fałszywą weryfikacją
Może to być strona otwarta po kliknięciu reklamy, linku, wyniku wyszukiwania lub przekierowania. Wyświetla komunikat przypominający CAPTCHA, błąd przeglądarki albo ostrzeżenie bezpieczeństwa.
2. Strona twierdzi, że zwykłe kliknięcie nie wystarcza
Zamiast zakończyć test w przeglądarce, witryna pokazuje instrukcję użycia skrótu systemowego, otwarcia narzędzia do uruchamiania poleceń i wklejenia przygotowanej treści. Czasem komunikat sugeruje, że to konieczne do „potwierdzenia człowieka”, „naprawy błędu” lub uzyskania dostępu do strony.
3. Użytkownik sam uruchamia złośliwe polecenie
Polecenie może pobrać albo uruchomić dodatkowy kod. Ofiara ma wrażenie, że wykonuje instrukcję techniczną, a w rzeczywistości uruchamia proces infekcji. Nie trzeba rozumieć treści komendy, aby atak zadziałał.
4. Na urządzeniu pojawia się złośliwe oprogramowanie
Dalszy przebieg zależy od kampanii. Skutkiem może być kradzież danych logowania, przejęcie sesji, instalacja kolejnych narzędzi albo dostęp przestępcy do systemu. W środowisku firmowym pojedyncza infekcja może stać się punktem wyjścia do szerszego incydentu.
Może to być strona otwarta po kliknięciu reklamy, linku, wyniku wyszukiwania lub przekierowania. Wyświetla komunikat przypominający CAPTCHA, błąd przeglądarki albo ostrzeżenie bezpieczeństwa.
2. Strona twierdzi, że zwykłe kliknięcie nie wystarcza
Zamiast zakończyć test w przeglądarce, witryna pokazuje instrukcję użycia skrótu systemowego, otwarcia narzędzia do uruchamiania poleceń i wklejenia przygotowanej treści. Czasem komunikat sugeruje, że to konieczne do „potwierdzenia człowieka”, „naprawy błędu” lub uzyskania dostępu do strony.
3. Użytkownik sam uruchamia złośliwe polecenie
Polecenie może pobrać albo uruchomić dodatkowy kod. Ofiara ma wrażenie, że wykonuje instrukcję techniczną, a w rzeczywistości uruchamia proces infekcji. Nie trzeba rozumieć treści komendy, aby atak zadziałał.
4. Na urządzeniu pojawia się złośliwe oprogramowanie
Dalszy przebieg zależy od kampanii. Skutkiem może być kradzież danych logowania, przejęcie sesji, instalacja kolejnych narzędzi albo dostęp przestępcy do systemu. W środowisku firmowym pojedyncza infekcja może stać się punktem wyjścia do szerszego incydentu.
Jak rozpoznać fałszywą CAPTCHA?
Najważniejsza zasada: test antybotowy nie powinien wymagać od Ciebie ręcznego uruchamiania komend systemowych. Przerwij działanie, jeśli strona:
- każe nacisnąć kombinację klawiszy otwierającą systemowe okno uruchamiania poleceń;
- prosi o otwarcie PowerShella, Wiersza polecenia, Terminala lub podobnego narzędzia;
- nakazuje wkleić treść skopiowaną do schowka i nacisnąć Enter;
- żąda wyłączenia programu antywirusowego, zabezpieczeń przeglądarki lub innych mechanizmów ochrony;
- twierdzi, że do zwykłego wejścia na stronę musisz zainstalować program, rozszerzenie lub „certyfikat”;
- pojawia się na podejrzanej domenie lub po serii nietypowych przekierowań.
Samo pole wyboru i profesjonalny wygląd nie są dowodem autentyczności. Przestępcy kopiują znane elementy interfejsu właśnie po to, aby użytkownik wykonał instrukcję bez zastanowienia.
Czy prawdziwa CAPTCHA może prosić o użycie PowerShella lub Terminala?
Nie jest to normalny sposób działania CAPTCHA. Weryfikacja antybotowa odbywa się w obrębie strony, przeglądarki lub aplikacji. Może poprosić o zaznaczenie pola, wykonanie zadania, ponowienie próby albo po prostu działać w tle.
Jeżeli strona mówi, że musisz otworzyć narzędzie systemowe i wkleić komendę, potraktuj to jako sygnał alarmowy. Nie próbuj „sprawdzać”, co polecenie zrobi. Zamknij stronę i nie wykonuj instrukcji.
Jeżeli strona mówi, że musisz otworzyć narzędzie systemowe i wkleić komendę, potraktuj to jako sygnał alarmowy. Nie próbuj „sprawdzać”, co polecenie zrobi. Zamknij stronę i nie wykonuj instrukcji.
Co zrobić, jeśli zobaczyłeś fałszywą CAPTCHA, ale nie wykonałeś polecenia?
Jeśli tylko otworzyłeś stronę i nie uruchomiłeś żadnej komendy, nie pobierałeś plików i nie podawałeś danych, zamknij kartę. Sprawdź historię pobrań i upewnij się, że przeglądarka nie zapisała nieoczekiwanego pliku. Nie wracaj na stronę tylko po to, aby ponownie przeanalizować instrukcję.
Jeżeli trafiłeś na stronę z wiadomości lub reklamy, zachowaj adres do zgłoszenia, ale nie klikaj go ponownie. Podejrzaną stronę można zgłosić do CERT Polska.
Jeżeli trafiłeś na stronę z wiadomości lub reklamy, zachowaj adres do zgłoszenia, ale nie klikaj go ponownie. Podejrzaną stronę można zgłosić do CERT Polska.
Co zrobić, jeśli wykonałeś polecenie z Fake CAPTCHA?
Potraktuj urządzenie jako potencjalnie zainfekowane. Zakres działań zależy od sytuacji, ale bezpieczna kolejność wygląda następująco:
- jeśli to możliwe, odłącz urządzenie od sieci, aby ograniczyć dalszą komunikację z infrastrukturą atakującego;
- nie wpisuj na nim kolejnych haseł, danych bankowych ani kodów autoryzacyjnych;
- na innym, zaufanym urządzeniu zmień hasło do poczty i najważniejszych kont oraz sprawdź aktywne sesje;
- uruchom aktualne narzędzia bezpieczeństwa i pełne skanowanie systemu;
- jeśli to komputer służbowy, natychmiast poinformuj dział IT lub zespół bezpieczeństwa i nie próbuj samodzielnie „czyścić” urządzenia przed analizą;
- jeśli na komputerze były dane finansowe lub dostęp do bankowości, skontaktuj się z bankiem i monitoruj operacje;
- zgłoś incydent do CERT Polska przez incydent.cert.pl.
W przypadku infekcji pomocny będzie również poradnik: Złośliwe oprogramowanie – jak się chronić? Jeśli pojawiły się podejrzane logowania lub wiadomości, sprawdź także, czy nie doszło do phishingu: Phishing – co to jest i jak się przed nim chronić?
CAPTCHA a prywatność i dostępność
Systemy CAPTCHA mają ograniczenia. Klasyczne zadania obrazkowe i tekstowe mogą być trudne dla części użytkowników, dlatego dostawcy stosują alternatywy dźwiękowe, analizę ryzyka lub rozwiązania mniej wymagające dla człowieka. Część mechanizmów antybotowych stara się wykonywać większość oceny w tle.
Z punktu widzenia użytkownika warto zwracać uwagę na to, czy mechanizm pochodzi od znanego dostawcy i czy pojawia się w logicznym miejscu procesu. Nie instaluj dodatkowego oprogramowania tylko po to, aby przejść test CAPTCHA.
Z punktu widzenia użytkownika warto zwracać uwagę na to, czy mechanizm pochodzi od znanego dostawcy i czy pojawia się w logicznym miejscu procesu. Nie instaluj dodatkowego oprogramowania tylko po to, aby przejść test CAPTCHA.
Czy CAPTCHA chroni konto przed przejęciem?
Może utrudnić część zautomatyzowanych prób, ale nie zastępuje dobrego hasła, passkey, 2FA ani zabezpieczeń po stronie serwisu. Bot może zostać zatrzymany przez test, ale człowiek podszywający się pod właściciela konta nadal może próbować wyłudzić hasło lub kod.
CAPTCHA należy więc traktować jako element ochrony serwisu, a nie gwarancję bezpieczeństwa użytkownika. Jeśli strona, na której ją widzisz, wygląda podejrzanie, test „Nie jestem robotem” nie powinien obniżać Twojej czujności.
CAPTCHA należy więc traktować jako element ochrony serwisu, a nie gwarancję bezpieczeństwa użytkownika. Jeśli strona, na której ją widzisz, wygląda podejrzanie, test „Nie jestem robotem” nie powinien obniżać Twojej czujności.
Jak może pomóc Chroń PESEL?
Chroń PESEL nie blokuje fałszywych CAPTCHA i nie jest programem antywirusowym. Może jednak uzupełniać ochronę tożsamości, jeśli w wyniku infekcji lub wyłudzenia dane osobowe zostaną przejęte i pojawi się ryzyko ich wykorzystania.
W zależności od wybranego pakietu dostępne są funkcje monitoringu dotyczące danych i numeru PESEL. Sprawdź pakiety Chroń PESEL i wybierz zakres ochrony dopasowany do swoich potrzeb.
W zależności od wybranego pakietu dostępne są funkcje monitoringu dotyczące danych i numeru PESEL. Sprawdź pakiety Chroń PESEL i wybierz zakres ochrony dopasowany do swoich potrzeb.
Podsumowanie
CAPTCHA ma ograniczać działanie botów, ale nie jest dowodem, że strona jest prawdziwa. Najważniejszym nowym zagrożeniem są fałszywe weryfikacje ClickFix, które wykorzystują znajomy wygląd CAPTCHA do nakłonienia użytkownika, aby sam uruchomił złośliwe polecenie.
Prawidłowa CAPTCHA działa na stronie lub w przeglądarce. Jeżeli „weryfikacja człowieka” wymaga otwarcia PowerShella, Terminala, systemowego okna Uruchamianie albo wklejenia komendy, przerwij działanie. A jeśli polecenie zostało już wykonane, potraktuj urządzenie jako potencjalnie zainfekowane i reaguj od razu.
Prawidłowa CAPTCHA działa na stronie lub w przeglądarce. Jeżeli „weryfikacja człowieka” wymaga otwarcia PowerShella, Terminala, systemowego okna Uruchamianie albo wklejenia komendy, przerwij działanie. A jeśli polecenie zostało już wykonane, potraktuj urządzenie jako potencjalnie zainfekowane i reaguj od razu.
Najczęściej zadawane pytania FAQ
Czy CAPTCHA może być wirusem?
Sama technologia CAPTCHA nie jest wirusem. Przestępcy mogą jednak stworzyć fałszywą CAPTCHA i wykorzystać ją do nakłonienia użytkownika do uruchomienia złośliwego polecenia lub pobrania pliku.
Czy kliknięcie „Nie jestem robotem” jest bezpieczne?
Na prawidłowej stronie może być zwykłym elementem weryfikacji. Nie oceniaj jednak witryny wyłącznie na podstawie wyglądu CAPTCHA. Sprawdź domenę i przerwij, jeśli kolejne instrukcje wymagają uruchamiania poleceń systemowych.
Co to jest ClickFix?
ClickFix to technika socjotechniczna, w której użytkownik jest przekonywany do samodzielnego wykonania instrukcji prowadzącej do infekcji, np. wklejenia polecenia do narzędzia systemowego. Fałszywa CAPTCHA jest jednym z popularnych pretekstów.
Czy prawdziwa CAPTCHA każe nacisnąć Win+R?
Nie jest to normalny element testu CAPTCHA. Jeśli strona każe użyć skrótu systemowego, otworzyć narzędzie do uruchamiania poleceń i coś wkleić, potraktuj ją jako podejrzaną.
Co zrobić po wklejeniu polecenia z fałszywej CAPTCHA?
Ogranicz korzystanie z urządzenia, odłącz je od sieci, jeśli jest to bezpieczne, i z zaufanego sprzętu zabezpiecz najważniejsze konta. Wykonaj skan bezpieczeństwa, a w przypadku urządzenia służbowego zgłoś incydent do IT. Zdarzenie możesz też zgłosić do CERT Polska.
Czy CAPTCHA zastępuje 2FA?
Nie. CAPTCHA ma ograniczać automatyczne działania botów, natomiast 2FA potwierdza logowanie za pomocą dodatkowego składnika. To dwa różne mechanizmy bezpieczeństwa.
Sama technologia CAPTCHA nie jest wirusem. Przestępcy mogą jednak stworzyć fałszywą CAPTCHA i wykorzystać ją do nakłonienia użytkownika do uruchomienia złośliwego polecenia lub pobrania pliku.
Czy kliknięcie „Nie jestem robotem” jest bezpieczne?
Na prawidłowej stronie może być zwykłym elementem weryfikacji. Nie oceniaj jednak witryny wyłącznie na podstawie wyglądu CAPTCHA. Sprawdź domenę i przerwij, jeśli kolejne instrukcje wymagają uruchamiania poleceń systemowych.
Co to jest ClickFix?
ClickFix to technika socjotechniczna, w której użytkownik jest przekonywany do samodzielnego wykonania instrukcji prowadzącej do infekcji, np. wklejenia polecenia do narzędzia systemowego. Fałszywa CAPTCHA jest jednym z popularnych pretekstów.
Czy prawdziwa CAPTCHA każe nacisnąć Win+R?
Nie jest to normalny element testu CAPTCHA. Jeśli strona każe użyć skrótu systemowego, otworzyć narzędzie do uruchamiania poleceń i coś wkleić, potraktuj ją jako podejrzaną.
Co zrobić po wklejeniu polecenia z fałszywej CAPTCHA?
Ogranicz korzystanie z urządzenia, odłącz je od sieci, jeśli jest to bezpieczne, i z zaufanego sprzętu zabezpiecz najważniejsze konta. Wykonaj skan bezpieczeństwa, a w przypadku urządzenia służbowego zgłoś incydent do IT. Zdarzenie możesz też zgłosić do CERT Polska.
Czy CAPTCHA zastępuje 2FA?
Nie. CAPTCHA ma ograniczać automatyczne działania botów, natomiast 2FA potwierdza logowanie za pomocą dodatkowego składnika. To dwa różne mechanizmy bezpieczeństwa.
Źródła
- CERT Polska – ClickFix w akcji: jak fake captcha może zaszyfrować całą firmę, dostęp: 01.10.2026.
- Microsoft Security Blog – From open lures to cloaked gates: How a macOS ClickFix campaign learned to hide, dostęp: 01.10.2026.
- Google for Developers – reCAPTCHA Developer's Guide, dostęp: 01.10.2026.
Data aktualizacji: 7 października 2026 r.
Niniejszy materiał ma charakter wyłącznie marketingowy i ma na celu zachęcenie do nabycia usług Chroń PESEL świadczonych przez Kaczmarski Group Sp. J. oraz jej partnerów, tj. KRD BIG S.A. oraz TU Europa S.A. Materiał ten nie ma charakteru konsultingowego i nie powinien stanowić wyłącznej podstawy do podjęcia jakichkolwiek decyzji. Rekomendowane jest zapoznanie się ze szczegółowymi zasadami świadczenia usług Chroń PESEL, określonymi w odpowiednich Regulaminach, Ogólnych Warunkach, Warunkach ubezpieczenia oraz Cennikach (dostępnych na stronach internetowych chronpesel.pl).