Baiting hoy: el cebo ya no es un pendrive, eres tú ejecutando el comando
El baiting se movió del pendrive tirado en el suelo a una página que te pide 'verificar que eres humano' pegando un comando. Cómo funciona ese cambio y qué lo detiene.
El baiting es la rama de la ingeniería social que no te engaña sobre quién habla, sino sobre qué es lo que estás a punto de usar. El ejemplo de manual era el pendrive abandonado en un estacionamiento: alguien lo encuentra, lo conecta por curiosidad, y el malware entra por la puerta que la propia víctima abrió.
Ese ejemplo sigue siendo válido como ilustración, pero hace tiempo dejó de ser el caso frecuente. Requiere presencia física, no escala, y las políticas de bloqueo de USB en equipos corporativos le quitaron buena parte del terreno.
El cebo se movió a donde está la gente, y en el proceso se volvió bastante más efectivo.
El cebo dominante hoy: "verifica que eres humano"
La técnica se conoce como ClickFix, y su diseño es notablemente astuto: en lugar de hacerte descargar y abrir un archivo, te convence de que ejecutes el ataque con tus propias manos.
El guion típico:
- Llegas a una página — desde un anuncio, un resultado de búsqueda, un sitio comprometido o un enlace en redes.
- Aparece algo que parece una verificación de rutina: un CAPTCHA, un aviso de "tu navegador necesita una actualización", un error de reproducción de video.
- Las instrucciones piden un par de pasos manuales: presiona
Win + R, pega lo que ya está en el portapapeles, presiona Enter. En macOS, abre la Terminal y pega. - Eso que pegaste no es una verificación. Es un comando que descarga y ejecuta el malware.
Lo que se instala al final suele ser un infostealer: software que recolecta credenciales guardadas en el navegador, cookies de sesión, billeteras de criptomonedas y configuraciones de VPN, y las envía fuera.
Por qué esto esquiva las defensas
No hay adjunto que analizar ni ejecutable que bloquear. La acción peligrosa la realiza un usuario legítimo, con sus propios permisos, usando herramientas que el sistema operativo trae de fábrica. Para el antivirus se parece bastante a alguien haciendo su trabajo.
La técnica escaló lo suficiente para que dejara de ser un problema de Windows: en mayo de 2026 Microsoft documentó campañas de ClickFix dirigidas a macOS, disfrazadas de utilidades del sistema y usando la Terminal en lugar del diálogo Ejecutar. En junio de 2026 la FTC de Estados Unidos publicó una alerta de consumo sobre el mismo patrón.
Y lo difícil de atajar es que el envoltorio cambia cada pocos meses — hoy CAPTCHA, mañana un error de impresora, después un paso de "reparación" de Office — mientras la mecánica se mantiene idéntica: una pantalla convence al usuario de que la solución consiste en pegar algo en una ventana del sistema.
El otro cebo: el software que buscaste tú
La segunda variante aprovecha que la mayoría de la gente instala programas buscándolos en un motor de búsqueda.
- Resultados patrocinados falsos. El atacante paga anuncios para términos como el nombre de un lector de PDF, un cliente de VPN o una herramienta de IA popular. El anuncio aparece arriba del resultado real, el sitio es una copia convincente, y el instalador funciona — solo que trae carga extra.
- Instaladores de herramientas de IA. Cada vez que una herramienta se vuelve popular rápido, aparecen "clientes de escritorio" y "versiones gratis" que nadie publicó.
- Software crackeado. El cebo más antiguo que sigue rindiendo: lo que se ofrece gratis es exactamente lo que la gente no reporta cuando algo sale mal.
El patrón común es que la víctima inició la búsqueda. No hubo correo sospechoso ni remitente que verificar: hubo una necesidad real y un resultado que parecía atenderla.
Qué distingue al baiting de los otros ataques
| Dimensión | Phishing | Vishing | Baiting |
|---|---|---|---|
| Qué falsifica | Un remitente | Una voz | Un recurso u objeto útil |
| Quién inicia | El atacante | El atacante | Con frecuencia, la víctima |
| Qué explota | La confianza en una identidad | La confianza en una persona | La curiosidad o una necesidad concreta |
| Qué le pide a la víctima | Un clic o una credencial | Una acción urgente | Ejecutar o instalar algo |
Esa tercera columna es la razón por la que el baiting resiste el entrenamiento clásico. Las capacitaciones enseñan a desconfiar de lo que llega sin pedirlo; el baiting llega cuando alguien está buscando resolver algo.
Lo que funciona
La regla de una sola frase
Vale más que cualquier lista: ningún sitio web legítimo te va a pedir que pegues un comando en una ventana del sistema para demostrar que eres humano. Ninguno. Un CAPTCHA real se resuelve dentro de la página.
Si tu equipo se lleva una sola cosa sobre este tema, que sea esa.
Instalar solo desde el origen
Para software, ir al sitio oficial escribiendo el dominio, o a la tienda de aplicaciones del sistema — no al primer resultado, y menos al resultado patrocinado. Para una empresa, lo más limpio es tener una lista corta de software aprobado con el enlace de descarga ya definido, para que nadie tenga que buscarlo.
Quitarle valor a lo que el infostealer se lleva
Si el objetivo son las credenciales del navegador y las cookies de sesión, entonces:
- Usar un gestor de contraseñas en lugar del almacenamiento del navegador.
- Sesiones con expiración, para que una cookie robada caduque.
- Passkeys donde se pueda: una credencial atada al dominio no se puede reutilizar desde el equipo del atacante.
Controlar el USB sin dramatizar
El pendrive sigue siendo un vector, sobre todo en entornos con equipos compartidos o con acceso de terceros. Bloquear el arranque automático y restringir dispositivos de almacenamiento en los equipos corporativos cubre el caso, y no requiere más discusión que eso.
Dejar que el equipo reporte sin costo
Alguien que pegó el comando y se dio cuenta tarde tiene que poder decirlo de inmediato. Un infostealer que se detecta el mismo día permite rotar credenciales y revocar sesiones; uno que se descubre cuando aparece un acceso raro, ya trabajó semanas.
En resumen
El baiting dejó de depender de que alguien encuentre un objeto y pasó a depender de que alguien siga instrucciones. Es un cambio incómodo, porque convierte al usuario en el ejecutor del ataque y deja poco que bloquear técnicamente. La contramedida es igual de concreta: que todos sepan que pegar comandos jamás es parte de una verificación, y que instalar software tiene un único camino aprobado.
Este artículo se publicó originalmente en mayo de 2024 y se reescribió en septiembre de 2026, cuando el cebo habitual ya no era un dispositivo físico sino una pantalla que pide ejecutar un comando.
¿Te gustó este artículo?
Descubre cómo podemos ayudarte a implementar estas soluciones en tu negocio.