Beveiligingsbedrijf Barracuda uit Amsterdam ziet dat cybercriminelen valse captcha-controles steeds vaker inzetten in phishingcampagnes. Uit onderzoek blijkt dat captcha-misbruik voorkwam in 43 procent van de onderzochte phishing-kit-aanvallen in 2025. ‘Het lijkt menselijk, maar is daarom nog niet veilig.’
Aanvallers gebruiken nep-captcha’s om gebruikers te laten geloven dat zij een legitieme beveiligingscontrole doorlopen, en een vertrouwde website met legitieme securitychecks bezoeken. Daardoor zullen ze makkelijker verder klikken, bestanden downloaden of gevoelige informatie invoeren. Slachtoffers worden namelijk verleid om inloggegevens in te voeren, bestanden te downloaden of browsermeldingen toe te staan.
In sommige campagnes worden slachtoffers dan doorgestuurd naar een valse Microsoft 365 loginpagina die is ontworpen om logingegevens te stelen.
Gevaarlijkste manier
Een van de gevaarlijkste ontwikkelingen is de combinatie van valse captcha’s met ClickFix-technieken. Hierbij worden gebruikers gevraagd om op een verificatiebutton te klikken, waarmee ongemerkt een schadelijk commando naar het clipboard wordt gekopieerd.
Vervolgens geeft het slachtoffer de instructie om het dialoogvenster ‘Uitvoeren’ in Windows te openen, de eerder gekopieerde tekst te plakken en op Enter te drukken. Doordat aanvallers eerst een nep-probleem creëren (zoals een foutmelding) en vervolgens meteen een ‘oplossing’ geven, voeren slachtoffers de infectie onbewust zelf uit.
Eigenlijk is het gebruik van captcha’s in deze context een slimme manier van social engineering. ‘Een captcha geeft aan dat een bezoeker menselijk is, maar het bevestigt niet dat de website veilig is’, zegt Poojitha B, Threat Analysis Associate bij Barracuda. ‘Organisaties moeten medewerkers daarom trainen om verder te kijken dan alleen het captcha-scherm en een gelaagde securitystrategie hanteren om deze aanvallen te stoppen.’
