Vorsicht vor gefälschten Captchas

(Source: Vladwel / iStock.com)

(Source: Vladwel / iStock.com)

Wer oft im Internet unterwegs ist, kennt sie - Captchas, die kleinen Sicherheitstests, mit denen Websites vor automatisierten Zugriffen durch Roboter, sogenannte "Bots", geschützt werden sollen. "Markieren Sie alle Bilder mit Fahrrädern" - so oder ähnlich lauten die Bilder- oder Zahlenrätsel, die man jeweils lösen muss, um Zugang zu einer bestimmten Website zu erhalten. Die weite Verbreitung dieser Captchas wird mittlerweile vermehrt von Cyberkriminellen ausgenutzt, wie das Bundesamt für Cybersicherheit (BACS) mitteilt. 

Im Februar 2026 informierte das BACS über eine Social-Engineering-Taktik namens "Clickfix", die angeblich eine schnelle Lösung (Fix) für ein vorgetäuschtes technisches Problem bereitstellen soll. Tatsächlich versuchen dabei Cyberkriminelle durch gefälschte Captchas oder angebliche Fehlermeldungen auf Webseiten, Besuchende zum Ausführen von schädlichen Computerbefehlen zu bewegen. Ihr Ziel ist es, den Computer mit Schadsoftware, sogenannter Malware, zu infizieren. 

Das BACS meldet nun eine Zunahme kompromittierter Webseiten in der Schweiz in den vergangenen Wochen. Diese zeigen demnach gefälschte Captchas an. Ein grosser Teil der betroffenen Webseiten verwende das Content Management System (CMS) Wordpress. Weltweit sind laut BACS bereits mehr als 100'000 Webseiten betroffen. Das BACS informiere die Betreibenden dieser Websites per E-Mail über den Sachverhalt. Gefälschte Captchas imitieren gemäss der Behörde jene des US-amerikanischen Content-Delivery-Network-Anbieters Cloudflare. Sowohl Windows- als auch MacOS-Benutzende sind laut BACS Ziele der Cyberkriminellen. Die Behörde verfolge zur Zeit sieben Kampagnen von Cyberkriminellen, die mit der besagten "Clickfix"-Methode operierten. 

Beispiele für gefälschte Captchas. (Source: BACS)

Schadsoftware stiehlt sensible Daten

Wer den Anweisungen einer kompromittierten Webseite folgt und die dort empfohlenen Computerbefehle ausführt, lädt damit laut dem Bundesamt weiteren Schadcode aus dem Internet. Die Cyberkriminellen speichern und verbreiten  diesen über die Blockchain (Etherhiding). Sie sei über Web-Schnittstellen von RPC-Anbietern, die den Zugriff auf Netzwerke ermöglichten, abrufbar. In der Regel handle es sich bei der vom Schadcode nachgeladenen Schadsoftware um einen sogenannten "Infostealer" - Schadsoftware, die Zugangsdaten, Kreditkarteninformationen, Krypto-Wallet-Inhalte und sonstige sensiblen Daten auf dem Computer des Opfers stehle, so das BACS.  

Wie die Behörde weiter informiert, haben sich in den vergangenen Tagen Meldungen von Schweizer Webseitenbetreibenden und Web-Hosting-Anbietenden gehäuft, die von einer Ausnutzung von zwei kürzlich bekannt gewordenen Schwachstellen in Wordpress berichten, nämlich CVE-2026-63030 und CVE-2026-60137. Sie ermöglichen eine als "WP2Shell" bekannte Angriffsmethode.

Wordpress habe am 17. Juli 2026 Sicherheits-Updates zur Behebung dieser Schwachstellen veröffentlicht. Diese seien jedoch noch nicht von allen Website-Betreibenden angewandt worden, was weiterhin zu einer Kompromittierung von mit Wordpress laufenden Webseiten führen könne. 

Empfehlungen des BACS

Empfehlungen für Anwenderinnen und Anwender: 

• Vorsicht vor Computerbefehlen
  Man soll niemals einen Computerbefehl (wie beispielsweise Windows-Taste + R) ausführen, wenn eine unbekannte Webseite dazu auffordert. Verlassen Sie solche Webseiten unverzüglich und fragen Sie im Zweifelsfall bei einem Experten nach.
• Software-Updates
  Man sollte sicherstellen, dass der eigene Computer und die darauf installierte Software stets aktuell gehalten werden.
• Antivirenschutz
  Man sollte sicherstellen, dass auf dem eigenen Computer stets ein aktueller Antivirenschutz installiert ist.

Empfehlungen für Webseitenbetreibende: 

• Software-Updates
  Es sollte sichergestellt werden, dass das eingesetzte Content Management System (CMS) stets auf dem aktuellen Stand ist. Man sollte sich vergewissern, dass sämtliche Plug-ins und Add-ons ebenfalls aktuell sind. Die automatische Update-Funktion sollte, wenn immer möglich, aktiviert sein. 
• Einsatz von MFA
  Falls das CMS es unterstützt, sollte für sämtliche Accounts die Multi-Faktor-Authentisierung (MFA) aktiviert sein.
• Absicherung des CMS
  Man sollte die "Best Practices" beziehungsweise "Security Guidelines" des CMS-Herstellers befolgen.

Empfehlungen für Unternehmen und Betreibende kritischer Infrastrukturen: 

• Sperrung von RPC-Anbietern
  Unternehmen und Betreibende kritischer Infrastrukturen, welche nicht im Fintech-Bereich tätig sind, sollten ausgehende Verbindungen zu RPC-Anbietern einschränken. Eine entsprechende Liste findet sich im Archiv des GovCERT auf GitHub.
• Sensibilisierung
  Mitarbeitende sollten auf die "Clickfix"-Methode aufmerksam gemacht und im Umgang mit Captchas sensibilisiert werden. 

Lesen Sie auch: Die Behörden von vier Ländern haben im Frühling 2026 die Infrastruktur der Malware "SocGholish" lahmgelegt. Die Schadsoftware wird der cyberkriminellen Organisation Evil Corp zugeschrieben. Die Aktion im Rahmen von "Operation Endgame" säuberte fast 15'000 infizierte Wordpress-Websites.

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.