Os ciberataques estão a tornar-se cada vez mais sofisticados e frequentes. Um dos mais preocupantes em 2025 é o chamado ClickFix, que aumentou 517% entre dezembro de 2024 e maio de 2025, segundo dados da ESET.

O que é um ataque ClickFix?
Um ataque ClickFix manipula a interface de um site ou aplicação para enganar o utilizador. O objetivo é levá-lo a clicar num botão ou link que aparenta ser legítimo: como uma atualização do sistema, uma correção de erro ou um aviso de segurança  mas que, na verdade, ativa uma ação maliciosa.

O nome junta click (clique) e fix (corrigir), simulando uma solução técnica que oculta um ataque.

Após o clique, o utilizador pode, inadvertidamente:
Instalar malware;
Partilhar dados pessoais ou palavras-passe;
Autorizar transferências ou operações financeiras.

O ataque afeta todos os principais sistemas operativos (Windows, macOS, Linux), e já representa cerca de 8% dos incidentes cibernéticos registados este ano. O seu sucesso é tal que já existem ferramentas comerciais para criar páginas falsas com ClickFix, vendidas entre cibercriminosos.

Casos detetados até no TikTok
Investigadores já observaram ataques ClickFix escondidos em vídeos falsos gerados por Inteligência Artificial no TikTok, reforçando a necessidade de vigilância redobrada.

Alerta de Segurança para Utilizadores Finais

Se é utilizador de internet e dispositivos digitais, siga estas orientações básicas para evitar cair em ataques ClickFix:

1. Desconfie de janelas que pedem ação imediata
Nunca clique em “corrigir agora”, “atualizar” ou “limpar vírus” sem verificar a origem.
Ignore mensagens que dizem “o seu dispositivo está em risco” se vierem de sites que não conhece.

2. Use o bom senso
Um site legítimo não exige que instale software de segurança externo.
Se algo parecer estranho, provavelmente é.

3. Atualize o sistema e antivírus regularmente
Use software de segurança confiável e mantenha-o atualizado.
Ative bloqueadores de anúncios e extensões anti-phishing no navegador.

4. Evite clicar em links desconhecidos
Não clique em links enviados por email, SMS ou redes sociais, sem confirmar a autenticidade.
Evite descarregar ficheiros de fontes não verificadas.

Plano de Mitigação para Gestores de Redes e Equipas IT

Dada a sofisticação crescente dos ataques ClickFix, as equipas de IT devem aplicar medidas técnicas e de formação:

1. Monitorização e deteção avançada
Instale e configure EDR (Endpoint Detection and Response) com capacidades anti-clickjacking e sandboxing.
Integre feeds de threat intelligence para deteção de domínios maliciosos e padrões ClickFix.

2. Bloqueio de conteúdos e domínios suspeitos
Ative regras de firewall e proxies para bloquear URLs e scripts associados a ataques ClickFix.
Use DNS filtrado para mitigar acesso a domínios de ataque.

3. Formação contínua dos utilizadores
Realize simulações de engenharia social e campanhas de phishing controladas para treinar utilizadores.
Envie alertas internos sempre que surgir uma nova ameaça.

4. Políticas de segurança restritivas
Restrinja permissões administrativas nos dispositivos.
Implemente política de “Zero Trust” e segmentação de rede.

5. Auditoria e resposta rápida
Reveja periodicamente os logs de acesso e comportamento anómalo.
Tenha um plano de resposta a incidentes claro e testado, com responsáveis identificados.