Fałszywa CAPTCHA na mojej stronie: atak ClickFix i jak go usunąć

Autor: Grzegorz Wojterzak. Aktualizacja: 21 października 2026. Czas czytania: około 12 minut.

Ten artykuł ma dwie grupy czytelników. Jeśli jesteś właścicielem strony i klient napisał, że Twoja strona „kazała mu coś wkleić”, czytaj po kolei. Jeśli jesteś osobą, która wkleiła polecenie, przejdź od razu do sekcji Wkleiłeś polecenie? Zrób to teraz.

Co widzą Twoi klienci

CAPTCHA to znany wszystkim test „czy jesteś człowiekiem”: zaznacz pole, wybierz obrazki z autobusami. Fałszywa wersja wygląda podobnie, ale po kliknięciu wyświetla „kroki weryfikacji”. Odwiedzający ma nacisnąć Windows + R (otwiera to okno „Uruchom” w systemie Windows), potem Ctrl + V (wkleja zawartość schowka) i Enter (uruchamia ją). Na komputerach Apple instrukcja każe zwykle otworzyć Terminal.

Sztuczka nazywa się ClickFix. Strona już przy kliknięciu w pole „I am not a robot” kopiuje do schowka polecenie, które pobiera i uruchamia program. Najczęściej jest to złodziej haseł (ang. infostealer), czyli program, który wyciąga z przeglądarki zapisane hasła, ciasteczka zalogowanych sesji, dane kart i portfele kryptowalut, a potem wysyła je przestępcom. Odwiedzający sam uruchamia polecenie, więc zabezpieczenia systemu mogą go nie zatrzymać.

To nie jest rzadkość. 2 września 2026 nowozelandzkie centrum cyberbezpieczeństwa NCSC opublikowało ostrzeżenie o przejętych stronach serwujących ClickFix, wskazując, że kampanie często wykorzystują strony na WordPressie. CERT Polska od 2024 roku ostrzega przed fałszywymi testami CAPTCHA, a w lutym 2026 opisał przypadek, w którym jedno wklejone polecenie dało przestępcom dostęp do sieci dużej polskiej organizacji.

Dlaczego Ty tego nie widzisz, a skaner nic nie znajduje

„U mnie wszystko działa” to typowa reakcja właściciela. To nie przypadek, tylko cecha tego ataku. NCSC wprost zaznacza, że złośliwa treść jest ukrywana przed robotami wyszukiwarek, skanerami bezpieczeństwa i przeglądarkami uruchamianymi automatycznie, które widzą czystą stronę. Warianty opisywane przez badaczy bezpieczeństwa potrafią ponadto:

• pomijać zalogowanych administratorów, bo to oni mogliby szybko zauważyć problem,
• pokazywać się raz danej osobie lub adresowi IP, a przy kolejnej wizycie już nie,
• wybierać system: część wariantów celuje tylko w przeglądarki na Windowsie i macOS, więc na telefonie strona wygląda normalnie,
• pobierać właściwy kod z zewnątrz w chwili wizyty. Na Twoim serwerze zostaje tylko krótki „pobieracz”. W opisanych przez badaczy kampaniach adres serwera z kodem był zapisany nawet w blockchainie, czyli publicznym rejestrze kryptowaluty, którego nie da się zablokować jednym zgłoszeniem.

Skaner wtyczki bezpieczeństwa szuka znanych wzorców w plikach. Krótki skrypt, który wygląda jak kod statystyk, a resztę dociąga z obcej domeny, łatwo przeoczyć. Dlatego zgłoszenie od klienta jest ważniejsze niż zielony wynik skanu.

Jak potwierdzić, że strona jest zainfekowana

1. Zapytaj klienta o szczegóły

   Poproś o adres podstrony, godzinę, system (Windows, Mac, telefon) i zrzut ekranu, jeśli go zrobił. Nie proś, żeby wracał na stronę. Zapytaj też, czy wykonał instrukcję. Jeśli tak, wyślij mu link do sekcji dla odwiedzających.

2. Sprawdź stronę tak, jak widzi ją obcy

   NCSC zaleca test w zwykłej przeglądarce i w oknie prywatnym, z różnych adresów IP, na komputerze i telefonie. Najprościej: komputer z Windowsem, okno prywatne, bez logowania do WordPressa, internet z telefonu zamiast firmowego Wi-Fi. Jeśli okno weryfikacji się pojawi, niczego nie wklejaj, zrób zrzut ekranu i zamknij kartę.

3. Pobierz kod strony jako przeglądarka z Windowsem

   Jeśli skrypt jest wstawiany po stronie serwera, zobaczysz go w pobranym kodzie HTML. To polecenie pobiera stronę główną, przedstawiając się jak Chrome na Windowsie, i wypisuje adresy wszystkich zewnętrznych skryptów:

   curl -s -A "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/154.0.0.0 Safari/537.36" https://twojadomena.pl/ | grep -oE '<script[^>]+src="[^"]+"'

   Bez terminala: w oknie prywatnym naciśnij Ctrl + U (podgląd źródła strony) albo F12 i otwórz zakładkę Sieć (w wersji angielskiej: Network). Szukaj skryptów z domen, których nie znasz, i krótkich skryptów wpisanych bezpośrednio w kod, z długimi ciągami losowych znaków. Każdą obcą domenę porównaj z listą usług, których świadomie używasz (statystyki, czat, piksel reklamowy).

4. Sprawdź ostrzeżenia Google

   W Google Search Console otwórz raport „Problemy dotyczące bezpieczeństwa”. Pusty raport niczego nie przesądza, bo skrypt ukrywa się także przed robotem Google, ale ostrzeżenie byłoby potwierdzeniem. Co robić, gdy Chrome pokazuje czerwony ekran, opisuję w artykule Strona przed Tobą zawiera szkodliwe programy.

Gdzie w WordPressie szukać wstrzykniętego skryptu

Zanim cokolwiek zmienisz, zrób pełną kopię plików i bazy danych i opisz ją jako zainfekowaną. Potem przejdź po miejscach z mapy poniżej. Najważniejsza kolumna to ta środkowa: większości z nich nie zobaczysz w zwykłym panelu.

1. Porównaj katalog wtyczek z listą w panelu

   Badacze opisywali fałszywe wtyczki z generycznymi nazwami (np. udające narzędzia do cache albo zarządzania użytkownikami) lub z losowymi ciągami liter. Część z nich ukrywa się na liście w Wtyczkach. Dlatego otwórz wp-content/plugins przez FTP lub menedżer plików hostingu i porównaj nazwy katalogów z tym, co widzisz w panelu. Każdy katalog, którego nie ma na liście, jest podejrzany. Przez SSH zobaczysz katalogi posortowane od najnowszego:

   ls -lt wp-content/plugins/ | head -20

2. Sprawdź wtyczki Must-Use

   Pliki z katalogu wp-content/mu-plugins WordPress uruchamia zawsze i bez aktywacji. Nie ma ich na zwykłej liście wtyczek. Znajdziesz je w Wtyczkach, w zakładce Wymuszane (w wersji angielskiej Must-Use), która pojawia się tylko wtedy, gdy taki plik istnieje. Opis mechanizmu jest w dokumentacji Must-Use Plugins. Część hostingów i wtyczek cache zapisuje tu własne pliki, więc ustal pochodzenie każdego z nich, zanim cokolwiek usuniesz.

3. Przejrzyj pliki motywu

   Skrypt bywa dopisany na końcu functions.php aktywnego motywu albo w header.php lub footer.php. Najpewniej jest porównać te pliki z czystą kopią motywu pobraną od twórcy. To polecenie wypisze w motywach linie ze znacznikiem skryptu i z funkcjami często używanymi do ukrywania kodu, razem z numerem linii:

   grep -rnE "<script|eval\(|atob\(|base64_decode\(" wp-content/themes/ --include=*.php | cut -c1-200

   Polecenie zwróci też niewinne trafienia. Szukaj kodu, który nie pasuje do reszty pliku: jednej bardzo długiej linii, losowych nazw zmiennych, adresów obcych domen.

4. Przeszukaj bazę danych

   Widżety, ustawienia motywu i wtyczek do wstawiania kodu w nagłówku zapisują się w tabeli wp_options. Treść stron i wpisów jest w wp_posts. W phpMyAdmin uruchom zapytania (zamień prefiks wp_ na swój):

   SELECT option_name, LENGTH(option_value) AS dlugosc FROM wp_options
   WHERE option_value LIKE '%<script%' OR option_value LIKE '%atob(%';
   
   SELECT ID, post_type, post_title FROM wp_posts
   WHERE post_content LIKE '%<script%';

   Z WP-CLI przeszukasz wszystkie tabele naraz. Polecenie wypisze każde miejsce w bazie, w którym występuje fragment kodu skryptu:

   wp db search "<script" --all-tables --stats

   W wynikach znajdziesz też swoje legalne kody, np. Google Tag Managera czy czatu. Podejrzane są skrypty, których nie potrafisz przypisać do żadnej usługi, oraz zaciemniony kod. Jeśli w podglądzie strony widziałeś obcą domenę, wyszukaj w bazie właśnie ją.

5. Sprawdź pliki rdzenia i wtyczek z sumami kontrolnymi

   Skrypt można też dopisać do istniejącego pliku JavaScript, który strona i tak ładuje. WP-CLI porówna pliki rdzenia i wtyczek z katalogu wordpress.org z oryginałami i wypisze każdą różnicę:

   wp core verify-checksums
   wp plugin verify-checksums --all

   Wtyczek płatnych to nie obejmie, więc je zainstaluj na nowo z konta u producenta. Na koniec poszukaj plików .htaccess w katalogach wtyczek. W opisanych kampaniach przechowywały zakodowaną część złośliwego kodu, a nawet miały literówkę w nazwie (.htacces), żeby ominąć skanery:

   find wp-content/plugins -name ".htacc*" -printf "%TY-%Tm-%Td  %p\n"

6. Sprawdź konta administratorów

   Wejdź w Użytkownicy i kliknij filtr Administrator. Obce konto to zarówno ślad włamania, jak i droga powrotu atakującego.

Jak usunąć infekcję, żeby nie wróciła

NCSC podkreśla, że usunięcie samego okna to za mało. Trzeba znaleźć drogę wejścia i wszystkie mechanizmy, które odtworzą infekcję. Kolejność:

1. Usuń znaleziony kod i obce elementy

   Usuń fałszywe wtyczki i podejrzane pliki Must-Use, przywróć pliki motywu z czystej kopii, usuń skrypty z bazy i obce konta. Rdzeń WordPressa nadpisz świeżą wersją. Szczegółową procedurę czyszczenia opisuję w artykule Wirus na stronie WordPress – jak go usunąć krok po kroku.

2. Zmień hasła z czystego komputera

   Przy ClickFix ma to szczególne znaczenie. Analizy firm hostingowych pokazały, że część stron zainfekowano prawdziwym hasłem administratora, wykradzionym wcześniej, np. przez złodzieja haseł na komputerze właściciela lub wykonawcy. Jeśli zmienisz hasło na tym samym zainfekowanym komputerze, nowe też wycieknie. Zmień hasła do panelu WordPressa, hostingu, FTP i bazy, a potem wygeneruj nowe klucze salt (wyloguje to wszystkie sesje):

   wp config shuffle-salts

3. Ustal, którędy weszli atakujący

   W logach dostępu z panelu hostingu szukaj logowań do wp-login.php i instalacji wtyczek w okolicy dnia, w którym powstał pierwszy obcy plik lub konto. Ciąg „logowanie, plugin-install.php, aktywacja wtyczki” z nieznanego adresu IP oznacza wykradzione hasło. Brak logowania przy nowych plikach wskazuje raczej na lukę we wtyczce, np. taką jak luka w Bricksforge.

   zgrep -E "POST /wp-login.php|plugin-install.php|action=activate" access.log*

4. Zabezpiecz panel

   Włącz logowanie dwuskładnikowe dla wszystkich administratorów, zostaw uprawnienia administratora tylko osobom, które ich naprawdę potrzebują, i zaktualizuj wszystkie wtyczki oraz motywy. Wyłącz edycję plików z panelu, dodając do wp-config.php linię:

   define('DISALLOW_FILE_EDIT', true);

   Pozostałe zalecenia, od uprawnień plików po kopie zapasowe, są w dokumentacji Hardening WordPress.

5. Sprawdź ponownie i ustaw monitoring

   Powtórz test z innego urządzenia i sieci. Przez kolejne tygodnie obserwuj nowe pliki, nowe konta i zmiany we wtyczkach. Monitoring zmian plików i alarmy o nowych administratorach skracają czas od włamania do reakcji.

Wkleiłeś polecenie? Zrób to teraz

Ta część jest dla osoby, która odwiedziła stronę i wykonała instrukcję z fałszywej weryfikacji. Zalecenia za CERT Polska, w tej kolejności:

1. Odłącz komputer od internetu.

   Wyłącz Wi-Fi i wyjmij kabel sieciowy. Nie loguj się na tym komputerze do poczty ani banku.

2. Zmień hasła z innego urządzenia.

   Najpierw hasło do poczty, bo przez nią odzyskuje się inne konta. Potem do banku, sklepów, mediów społecznościowych i paneli stron, jeśli logowałeś się do nich na tym komputerze. Tam, gdzie się da, wybierz „wyloguj ze wszystkich urządzeń”, bo sama zmiana hasła nie zawsze kończy sesję przestępcy.

3. Zadzwoń do banku,

   jeśli na tym komputerze korzystałeś z bankowości albo zapisywałeś dane karty. Bank może zablokować kartę i obserwować podejrzane operacje.

4. Oddaj komputer do sprawdzenia.

   Zaufany serwis albo dział IT oceni, czy wystarczy skan, czy trzeba przeinstalować system. Powiedz, jakie polecenie wkleiłeś i które pliki są dla Ciebie ważne. Na komputerze służbowym od razu zawiadom dział IT.

5. Zgłoś stronę do CERT Polska.

   Formularz jest na incydent.cert.pl. Podaj adres strony, opisz, o co prosiła i czy wykonałeś polecenie. Nie wracaj na stronę, żeby zrobić zrzut ekranu. Więcej wskazówek jest na stronie CERT Polska Uważaj na fałszywe testy CAPTCHA.

Kiedy nie robić tego samemu

Samodzielne potwierdzenie infekcji i sprawdzenie listy administratorów jest proste. Usunięcie ClickFix do końca bywa trudne, bo kod jest projektowany tak, żeby go nie znaleźć. Oddaj to specjaliście, gdy:

• klienci zgłaszają okno, a Ty nie potrafisz znaleźć źródła,
• okno wraca po Twoim czyszczeniu,
• to sklep z kontami klientów i nie wiesz, czy wyciekły dane,
• podejrzewasz, że hasło wykradziono z Twojego komputera i nie wiesz, co jeszcze mogło wyciec,
• hosting zablokował konto (zobacz co zrobić, gdy hosting zablokował stronę).

Koszty opisuję w artykule Ile kosztuje usunięcie wirusa ze strony.

Najczęstsze pytania