Aanvallers zetten valse CAPTCHA-controles steeds vaker in binnen phishingcampagnes. Dat blijkt uit analyse van Barracuda, dat het misbruik aantrof in 43 procent van de onderzochte phishing-kit-aanvallen in 2025. De nep-controles worden volgens de onderzoekers inmiddels gebruikt om malware te verspreiden en securityscanners te ontwijken.
De onderzoekers van Barracuda zien dat valse CAPTCHA’s verschuiven van een eenvoudige tussenstap voor het stelen van inloggegevens naar een onderdeel van aanvalsketens die malware verspreiden. Een CAPTCHA is bedoeld om mensen van bots te onderscheiden, en gebruikers koppelen zo’n controle daardoor aan beveiliging. Aanvallers maken volgens het securitybedrijf gebruik van dat vertrouwen: wie een legitiem ogende controle ziet, klikt sneller door, downloadt eerder een bestand of voert gevoelige gegevens in.
Van inlogpagina naar malware
Een klassieke aanval begint met een e-mail waarin de ontvanger wordt gevraagd een document, factuur, contract of beveiligd bestand te bekijken. Na het klikken op de link verschijnt een CAPTCHA-venster dat er legitiem uitziet. In een deel van de campagnes komt het slachtoffer daarna terecht op een valse Microsoft 365-loginpagina die inloggegevens buitmaakt.
Barracuda meldt dat de CAPTCHA-stap in andere campagnes leidt tot het downloaden van malware of gebruikers aanzet om browsermeldingen in te schakelen. Via die meldingen tonen aanvallers vervolgens schadelijke content. Daarnaast worden valse CAPTCHA’s ingezet om gebruikers zelf schadelijke commando’s te laten uitvoeren.
Verborgen voor securityscanners
De valse CAPTCHA is zelf geen payload. Volgens de onderzoekers laat de controle een schadelijke payload betrouwbaar overkomen en houdt die hem buiten beeld van securityscanners. Geautomatiseerde crawlers en sandboxes komen vaak niet door de controle heen, terwijl echte gebruikers wel worden doorgestuurd. De pagina’s passen zich bovendien aan op basis van het apparaat, de locatie, het tijdstip of de activiteit van het slachtoffer. Omdat de CAPTCHA’s snel verlopen, is het voor securityteams lastiger om een aanval achteraf te onderzoeken.
ClickFix laat gebruikers zelf infecteren
Barracuda noemt de combinatie van valse CAPTCHA’s met de ClickFix-techniek een van de meest zorgwekkende ontwikkelingen. Daarbij klikt de gebruiker op een verificatieknop, waarna ongemerkt een schadelijk commando naar het klembord wordt gekopieerd. Vervolgens krijgt het slachtoffer de instructie om in Windows het dialoogvenster ‘Uitvoeren’ te openen, de gekopieerde tekst te plakken en op Enter te drukken.
De aanvallers creëren eerst een nepprobleem, zoals een foutmelding of een document dat niet wil laden, en bieden daarna direct een ‘oplossing’. Zo voert het slachtoffer de infectie onbewust zelf uit. Meer details over de onderzochte campagnes beschrijft Barracuda in zijn blog over valse CAPTCHA-phishingaanvallen.
Training en gelaagde beveiliging
Poojitha B, Threat Analysis Associate bij Barracuda, wijst erop dat een CAPTCHA alleen bevestigt dat een bezoeker een mens is. Over de betrouwbaarheid van de website zegt de controle niets. Het advies aan organisaties is om medewerkers te trainen om verder te kijken dan het CAPTCHA-scherm en daarnaast een gelaagde securitystrategie te hanteren om dit type aanvallen te stoppen.
Het volledige rapport is te lezen via blog over valse CAPTCHA-phishingaanvallen.
