ClickFix is het afgelopen jaar uitgegroeid tot een van de populairste manieren om slachtoffers zelf malware te laten installeren, blijkt uit onderzoek van beveiligingsbedrijf Push Security. Bij deze social-engineeringtechniek krijgt een bezoeker een nepfoutmelding te zien, of een stap die zich voordoet als een controle of hij geen robot is, met de instructie om een toetsencombinatie in te drukken en een kant-en-klaar commando te plakken. Dat commando voert op de achtergrond schadelijke code uit, zonder dat er ooit een bestand wordt gedownload dat een virusscanner kan onderscheppen.
Volgens Push Security maakte ClickFix in de eerste helft van 2026 gemiddeld 52 procent uit van alle aanvallen die het bedrijf detecteerde, in augustus zelfs 67 procent, en is de techniek daarmee realtime phishing en device-code-phishing voorbijgestreefd als populairste methode. Microsoft meldt in zijn Digital Defense Report een groei van ongeveer 23 keer tussen december 2025 en mei 2026, met meer dan 1,1 miljoen apparaten waarop Defender tussen februari en begin mei een door aanvallers aangeleverd commando zag. In 96,3 procent van die gevallen volgde daadwerkelijk malware.
Nieuw is vooral hoe overtuigend de lokmiddelen zijn geworden. Onderzoeksbureau ANY.RUN registreerde tussen half april en begin oktober 1.258 sandbox-analyses van nep-AI-campagnes, waarvan 81 procent zich voordeed als Claude, ChatGPT of Codex. Push Security beschrijft een techniek die het “InstallFix” noemt: aanvallers kopiëren de echte downloadpagina van een AI-tool, verspreiden die via gesponsorde zoekresultaten en laten de kopieerknop een kwaadaardig commando op het klembord zetten. Bij een variant die Push “LLMshare” noemt, misbruiken criminelen gedeelde chats en Artifacts op platforms als ChatGPT en Claude zelf, tot en met een kwaadaardige custom GPT die al meer dan 10.000 gesprekken voerde. Omdat deze lokpagina’s op vertrouwde domeinen als chatgpt.com, claude.ai of zelfs bing.com staan, glippen ze langs klassieke URL-reputatiefilters.
Google reageert met een nieuwe beveiliging in Chrome. Bij gebruikers die Enhanced Protection hebben ingeschakeld, herkent de browser voortaan wanneer een gekopieerd commando verdacht is. Chrome verwijdert eerst persoonsgegevens uit het commando en stuurt de rest ter analyse naar Safe Browsing, en toont een waarschuwing zodra het gevaarlijk blijkt, nog voordat het slachtoffer het commando kan uitvoeren. Volgens Google wordt die data alleen tijdelijk verwerkt en nooit bewaard of gebruikt om modellen te trainen. De maatregel wordt deze week uitgerold voor gebruikers met Enhanced Protection.
Voor Nederlandse bedrijven is de kernles dat ClickFix niet via e-mail binnenkomt, maar via zoekresultaten, advertenties en zelfs gesprekken op AI-platforms, kanalen waar traditionele mailfilters geen zicht op hebben. Schakel Enhanced Protection in bij medewerkers die Chrome gebruiken en neem in de interne voorlichting op dat een stap die vraagt om zelf een commando te plakken, ongeacht hoe vertrouwd de pagina oogt, in de praktijk nooit legitiem is.
Bron: BleepingComputer en The Hacker News
Wat betekent dit voor jouw bedrijf?
Schakel Enhanced Protection in bij Chrome-gebruikers in uw organisatie en maak in de voorlichting duidelijk dat een scherm dat vraagt om zelf een commando te plakken nooit legitiem is, ook niet als de pagina een bekend AI-merk toont.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.