ClickFix: als het slachtoffer de aanval zelf uitvoert

Een ClickFix-aanval verloopt meestal in vier stappen:

1. Het lokmiddel. Je komt op een webpagina terecht via een phishingmail, een advertentie, een bericht of een gehackte website. Dat kan een nep-CAPTCHA zijn, een melding dat een document niet goed wordt weergegeven, een uitnodiging voor een vergadering die niet wil laden, of een nagemaakte foutmelding of updatemelding van bijvoorbeeld Chrome of Edge. Vaak gaat het om gewone, legitieme websites die zijn gehackt. Zo werden in 2024 duizenden WordPress-sites misbruikt om dit soort nepmeldingen aan bezoekers te tonen, onder meer in de ClearFake-campagnes.
2. Het "probleem". De pagina meldt dat er iets misgaat of dat je een verificatie moet afronden. Bijvoorbeeld: "Bevestig dat je een mens bent" of "Er is een fout opgetreden, volg deze stappen om het op te lossen."
3. De instructie. Je krijgt een paar eenvoudige stappen, zoals: druk op de Windows-toets + R, plak de tekst met Ctrl + V en druk op Enter. Wat je niet ziet: de pagina heeft ongemerkt al een kwaadaardige opdracht naar je klembord gekopieerd.
4. De uitvoering. Zodra je op Enter drukt, voert je computer die opdracht uit, vaak via PowerShell. Die downloadt vervolgens malware, zoals een infostealer of software voor externe toegang.

Wat is een CAPTCHA? Een CAPTCHA is een korte controle waarmee een website wil vaststellen dat je een mens bent en geen geautomatiseerd programma. Bekende voorbeelden zijn een vinkje bij "Ik ben geen robot", het aanklikken van afbeeldingen met bijvoorbeeld zebrapaden of verkeerslichten, of het overtypen van vervormde letters. Omdat bijna iedereen dit soort controles dagelijks tegenkomt, wekken ze weinig argwaan. Juist dat maakt een nep-CAPTCHA zo'n effectief lokmiddel. Een echte CAPTCHA vraagt je nooit om iets op je computer te openen, te plakken of uit te voeren.

Er zijn inmiddels ook varianten. Bij FileFix plakt het slachtoffer de opdracht in de adresbalk van de Verkenner, in plaats van in het Uitvoeren-venster. Ook voor macOS zijn varianten bekend waarbij gebruikers wordt gevraagd een opdracht in Terminal te plakken.

ClickFix speelt in op normale, behulpzame reflexen. Wie een foutmelding ziet, wil die oplossen. Wie een CAPTCHA ziet, rondt die af. Dat zijn handelingen die we dagelijks zonder nadenken doen.

Daarnaast omzeilt de techniek een deel van de klassieke beveiliging:

• Er is geen bijlage of downloadbestand dat een mailfilter of virusscanner vooraf kan blokkeren.
• De gebruiker start de opdracht zelf, met legitieme Windows-onderdelen. Voor veel beveiligingssystemen lijkt dat in eerste instantie op normaal gebruik.
• De instructies voelen technisch en officieel aan. Dat geeft vertrouwen in plaats van argwaan.
• De aanval verschijnt vaak op websites die je vertrouwt. Een gehackte, legitieme website wekt minder argwaan dan een onbekende link.

Meer over waarom ook ervaren professionals in zulke situaties handelen, lees je in Psychologie van de klik.

ClickFix begon als techniek van cybercriminelen die op grote schaal infostealers verspreidden. Maar het wordt ook gericht ingezet.

ENISA beschrijft ClickFix als een belangrijke manier waarop ransomwaregroep Qilin binnenkwam. Met nep-verificatieschermen werden slachtoffers verleid om software voor externe toegang of een infostealer te installeren.

Beveiligingsbedrijf Proofpoint zag tussen eind 2024 en begin 2025 bovendien dat staatsgerelateerde groepen uit Noord-Korea, Iran en Rusland ClickFix gingen gebruiken in spionagecampagnes. Een Noord-Koreaanse groep benaderde bijvoorbeeld medewerkers van denktanks met nagebootste vergaderverzoeken. Via een nep-omgeving voor het delen van documenten werden zij verleid om een PowerShell-opdracht te plakken en uit te voeren.

Juist die combinatie maakt ClickFix relevant voor spearphishing: een geloofwaardig, persoonlijk verhaal als lokmiddel, gevolgd door een handeling die het slachtoffer zelf uitvoert.

De belangrijkste vuistregel is eenvoudig:

Wees daarnaast alert op:

• Instructies met toetscombinaties zoals Windows-toets + R of Windows-toets + X.
• Een CAPTCHA of verificatie die meer vraagt dan een vinkje of het aanklikken van afbeeldingen.
• Foutmeldingen die je aansporen om "het zelf even op te lossen".
• Updatemeldingen die op een website verschijnen. Je browser werkt zichzelf bij via de eigen instellingen, nooit via een pop-up op een website.
• Tijdsdruk: het document, de vergadering of het account is alleen bereikbaar als je nu handelt.

Heb je een opdracht geplakt en uitgevoerd? Meld het direct bij je IT- of securityafdeling. Hoe sneller er wordt ingegrepen, hoe kleiner de schade. Melden is geen schuldbekentenis, het is de snelste manier om erger te voorkomen.

Technische maatregelen

• Beperk voor gewone gebruikers waar mogelijk het gebruik van het Uitvoeren-venster, PowerShell en scriptomgevingen, bijvoorbeeld via applicatiebeheer.
• Laat EDR- of monitoringtools alarm slaan op verdachte combinaties, zoals PowerShell die wordt gestart vanuit het Uitvoeren-venster of de Verkenner en direct iets van internet downloadt.
• Blokkeer bekende misbruikte onderdelen die medewerkers niet nodig hebben voor hun werk.
• Zorg dat gestolen inloggegevens minder waard zijn met phishingresistente MFA. Infostealers die via ClickFix binnenkomen, zijn juist op inloggegevens en sessies uit.
• Beheert je organisatie zelf websites, bijvoorbeeld op WordPress? Beveilig beheeraccounts met sterke MFA en controleer regelmatig op onbekende plug-ins. Zo verklein je de kans dat je eigen website een ClickFix-lokmiddel wordt voor je bezoekers.

Awareness en gedrag

• Neem ClickFix expliciet op in awareness en phishingsimulaties. Veel medewerkers kennen de techniek nog niet.
• Leer één heldere als-dan-regel aan: Als een website mij vraagt iets te plakken en uit te voeren, dan stop ik en meld ik het.
• Maak melden laagdrempelig en veilig, ook als iemand de opdracht al heeft uitgevoerd.

ClickFix laat zien dat aanvallers niet altijd een technische kwetsbaarheid nodig hebben. Ze hebben genoeg aan een geloofwaardig scherm en een gebruiker die behulpzaam wil zijn. Daarom is weerbaarheid hier vooral een combinatie van technische beperkingen, eenvoudige gedragsregels en een cultuur waarin snel melden vanzelfsprekend is.

ENISA Threat Landscape 2026, European Union Agency for Cybersecurity, 15 september 2026; Proofpoint, "Around the World in 90 Days: State-Sponsored Actors Try ClickFix", april 2025; GoDaddy Security, "Threat Actors Push ClickFix Fake Browser Updates Using Stolen Credentials", 2024.