ClickLock inutiliza los Mac para robar contraseñas

Group-IB identificó ClickLock Stealer en una campaña activa desde mayo de 2026. Ha atacado al menos 100 sistemas en 33 países y más de la mitad de los objetivos identificados están en Europa. El comando inicial probablemente llega mediante páginas de tipo ClickFix, aunque Group-IB no observó directamente esas páginas.

Tras ejecutarse, ClickLock termina las aplicaciones interactivas aproximadamente cada 210 milisegundos y deja un cuadro de contraseña falso para presionar al usuario. Un bucle puede durar unas 83 horas; otros módulos buscan datos del navegador, el llavero, gestores de contraseñas y monederos de criptomonedas, y envían archivos comprimidos a Telegram.

ClickLock pertenece a una categoría que los investigadores llaman infostealers: malware cuyo objetivo no es la persistencia ni el rescate, sino una cosecha rápida y exhaustiva de todo lo que da acceso — contraseñas guardadas en el navegador, cookies de sesión, datos de autorrelleno, archivos de monederos de criptomonedas y llaveros del sistema. El material robado suele empaquetarse y enviarse en cuestión de minutos, y luego se vende o se reutiliza para tomar el control de cuentas; por eso una infección por stealer debe tratarse como un compromiso total de las credenciales y no como un problema del dispositivo.

La vía de entrega que se sospecha importa tanto como la carga maliciosa. ClickFix es el nombre de un patrón de ingeniería social que se ha extendido mucho en los últimos años: una página web se hace pasar por un reproductor de vídeo averiado, un CAPTCHA o una instrucción de reparación, y pide al visitante copiar un comando y pegarlo en un terminal para resolver el supuesto problema. La técnica funciona porque la víctima realiza la instalación personalmente, sorteando las advertencias que el sistema operativo asocia a los programas descargados. No se explota ninguna vulnerabilidad, así que no hay nada que un parche de seguridad pueda corregir.

Encaja además en un desplazamiento más amplio. Las familias de stealers dirigidas a macOS se han multiplicado a medida que crecía la cuota de la plataforma y que lo que guardan los Mac — credenciales de desarrollador, sesiones corporativas, monederos de criptomonedas — se volvía más valioso. Las defensas integradas como Gatekeeper y XProtect se diseñaron sobre todo pensando en aplicaciones descargadas maliciosas; un usuario que teclea voluntariamente un comando en Terminal parte de un nivel de confianza que esos mecanismos nunca estuvieron pensados para vigilar.

Lo que distingue a ClickLock es la mecánica de presión. Matar las aplicaciones del usuario en un bucle rápido mientras un cuadro de contraseña permanece en pantalla fabrica la sensación de un fallo del sistema que solo una contraseña puede curar. Es burdo pero psicológicamente eficaz: alguien que ve morir sus ventanas varias veces por segundo no está en condiciones de examinar la autenticidad de un cuadro de diálogo. Y la contraseña es el verdadero botín, porque en macOS la contraseña de inicio de sesión desbloquea el llavero, donde el sistema concentra las credenciales guardadas — coaccionar ese único secreto abre la mayor parte del resto.

Hay señales fiables, incluso bajo presión. Los cuadros de contraseña legítimos de macOS no reaparecen en un bucle fijo, no sobreviven a un reinicio sin ser invitados y nunca nacen de la instrucción de una página web de ejecutar un comando. De un diálogo genuino del sistema siempre se puede escapar apagando la máquina; cualquier cosa que parezca diseñada para impedir que uno se pare a pensar es, en sí misma, la señal de alarma.

No es un bloqueo de pantalla convencional ni una vulnerabilidad confirmada de macOS. Es ingeniería social que convierte el escritorio en un cuadro de coacción. Nunca hay que pegar en Terminal un comando sugerido por una página web. Si aparece este comportamiento, conviene desconectar el Mac, apagarlo, cambiar las contraseñas desde un equipo limpio y buscar una desinfección profesional; el modo seguro por sí solo no demuestra la eliminación.

El orden de esa desinfección existe por una razón: los stealers actúan de inmediato y, una vez que los archivos han salido hacia Telegram, limpiar el Mac no deshace ningún robo. Por eso lo primero es cambiar las contraseñas desde otro dispositivo, limpio y de confianza — empezando por el correo y por cualquier cuenta capaz de restablecer las demás —, y por eso merece la pena considerar ayuda profesional cuando una máquina ha sido a la vez coaccionada y dejada en funcionamiento.

La prevención, entretanto, es sobre todo cuestión de hábitos. Conviene tratar como hostil cualquier página web que pida abrir Terminal, por plausible que sea su historia; ningún servicio legítimo arregla así la reproducción de un vídeo ni verifica de esa manera que uno es humano. Un gestor de contraseñas con claves únicas por sitio, más la autenticación de doble factor en las cuentas importantes, limita lo que vale un llavero cosechado. Para las organizaciones, la lección es que esta clase de ataque apunta a las personas y no al software, así que se contrarresta tanto con concienciación y supervisión como con herramientas de protección de los equipos.