Anuncios en Google llevan a instaladores falsos de Claude para Mac
Buscar un programa en Google y dar clic en el primer resultado es algo que todos hacemos. Una campaña recién descubierta se aprovecha justo de eso para infectar computadoras Mac de quienes buscan Claude, el asistente de IA de Anthropic.
Lo delicado es que el anuncio parece legítimo: muestra un dominio conocido y la página final copia a la original. El engaño está en lo que termina en tu portapapeles.
¿Qué pasó?
El 9 de octubre de 2026, la empresa de seguridad Push Security publicó el análisis de una campaña de anuncios maliciosos a la que llamó Adception. La detectó al revisar un resultado patrocinado que aparecía en Google al buscar «claude mac».
El anuncio mostraba como destino el dominio de Bing, el buscador de Microsoft, así que a simple vista no despertaba sospechas. Pero el clic recorría una cadena: primero el rastreador de anuncios de Google, luego el rastreador de clics de Bing, después el sitio de un negocio real que había sido comprometido y, al final, una página falsa de descarga de Claude.
Esa página enseña un comando de instalación para la Terminal que se ve correcto. La trampa está en el botón de copiar: en lugar de lo que ves en pantalla, coloca en el portapapeles un comando distinto, con una dirección escondida. Al pegarlo y ejecutarlo, la Mac descarga un archivo desde un servidor de los atacantes y lo corre.
BleepingComputer, que también cubrió el caso, señala que todavía no se sabe qué programa malicioso se instala al final. Su nota no incluye declaraciones de Google, Microsoft ni Anthropic.
¿Por qué te importa?
Este tipo de engaño se conoce como ClickFix: en vez de colarte un archivo infectado, te convencen de que tú mismo pegues y ejecutes la instrucción. Así el ataque esquiva varias protecciones, porque para la computadora fue el usuario quien dio la orden.
La campaña le pega justo a quienes instalan herramientas desde la Terminal, como desarrolladores y personal de soporte, que están acostumbrados a copiar comandos de páginas de documentación. Según Push Security, cerca de cuatro de cada cinco ataques ClickFix llegan a sus víctimas a través de buscadores.
También deja una lección para quienes administran sitios: uno de los eslabones era la página de un negocio legítimo que alguien alteró. Un sitio descuidado puede acabar sirviendo de puente para atacar a otros.
¿Qué puedes hacer?
- No instales programas desde resultados marcados como «Patrocinado». Escribe tú la dirección oficial o entra desde un marcador guardado.
- Antes de ejecutar un comando copiado de una página, pégalo en un editor de texto y léelo. Si no coincide con lo que mostraba la página o trae texto que no entiendes, no lo uses.
- Desconfía de cualquier sitio que te pida abrir la Terminal para «verificar» o «reparar» algo.
- Si administras equipos, avisa a tu gente de esta campaña y considera un bloqueador de anuncios en los navegadores de trabajo.
- Si ya pegaste un comando de una página dudosa, desconecta el equipo de la red, cambia tus contraseñas desde otro dispositivo y pide ayuda a soporte.
Sigue leyendo
- Temas de colores para VS Code escondían malware ligado a GlassWorm
- Apple pondrá más candados al acceso total al disco en macOS
Fuentes
- Push Security: Analysing a novel malicious redirect and cloaking technique
- BleepingComputer: Hackers abuse Google Ads, Bing redirects to push Claude ClickFix attacks
Imagen de portada: foto de Donatello Trisolino en Pexels.