Anuncios en Google y una web WordPress hackeada, la ruta de un falso instalador de Claude

Qué ha pasado

Investigadores de Push Security han descrito el 9 de octubre una campaña de publicidad maliciosa que han bautizado como «Adception». Quien buscaba en Google «claude mac» podía ver un anuncio patrocinado cuyo destino aparente era bing.com, algo que despierta menos sospechas que un dominio desconocido.

Al pulsar, el visitante pasaba por la redirección de anuncios de Google, después por el sistema de seguimiento de clics de Bing y, a continuación, por la página «quiénes somos» de la web WordPress comprometida de una tienda sudamericana. Esa web solo reenviaba a quien llegaba desde Bing con ciertas cabeceras, y lo mandaba a una página falsa de descarga de Claude, el asistente de Anthropic.

La página mostraba el comando de instalación auténtico, pero el botón de copiar ponía en el portapapeles otro distinto, que descargaba y ejecutaba un archivo desde un servidor de los atacantes. Es la técnica conocida como ClickFix. Si alguien entraba directamente en la dirección falsa, veía un error 404, lo que dificulta que los analizadores automáticos la detecten. Los investigadores no han podido determinar qué programa se instalaba al final.

Por qué le importa a tu empresa

Hay dos lecturas. La primera, para tu equipo: cada vez más empleados instalan por su cuenta herramientas de inteligencia artificial, y buscarlas en Google y pinchar en el primer resultado puede acabar con un equipo infectado y, con él, contraseñas y sesiones de la empresa.

La segunda es menos evidente y es la que más me interesa. La pieza central del engaño fue una web corriente de un pequeño comercio. Su dueño probablemente no sabe que su página sirve de trampolín. Un WordPress sin mantener puede usarse para redirigir a terceros sin que se note nada en la portada, porque el desvío solo se activa con visitas que cumplen ciertas condiciones.

Mi opinión

Este tipo de campañas demuestra que «mi web es pequeña, a nadie le interesa» no es un argumento. A los atacantes les interesa precisamente porque es legítima, está indexada y tiene buena reputación. Y el daño no es solo técnico: si Google o los navegadores marcan tu dominio como peligroso, pierdes visitas y confianza.

No conviene alarmarse, pero sí asumir dos hábitos: no copiar comandos de una página que no sea la oficial y vigilar la web propia aunque parezca que funciona bien. En XEVIA revisamos precisamente esas redirecciones condicionales, que a simple vista no se ven.

Qué hacer hoy

• Recuerda a tu equipo que el software se descarga desde la web oficial escrita a mano o desde marcadores, no desde anuncios patrocinados.
• Prohíbe pegar en la terminal comandos copiados de páginas que no sean la documentación oficial del fabricante.
• Da de alta tu dominio en Google Search Console para recibir avisos si Google detecta contenido malicioso.
• Pide a tu proveedor que revise el archivo .htaccess, los plugins y las redirecciones de tu WordPress, y que mantenga actualizados núcleo, temas y extensiones.