NIEUWS

Valse CAPTCHA’s worden een actieve dreiging

Gepubliceerd: 23 oktober 2026k | Leestijd: 4 minuten

Samengevat: Cybercriminelen misbruiken op grote schaal het vertrouwen in CAPTCHA-controles. Dat blijkt uit onderzoek van cybersecuritybedrijf Barracuda, gepubliceerd op 15 oktober 2026. Valse CAPTCHA’s zijn geen simpele misleiding meer. Ze omzeilen securityscanners en verleiden slachtoffers tot het zelf installeren van malware.

De belangrijkste cijfers

Barracuda vond CAPTCHA-misbruik in 43 procent van de onderzochte phishing-kit-aanvallen in 2025. Het cijfer geldt alleen voor de geanalyseerde phishing-kits. Het zegt niets over alle phishingaanvallen. Het werkelijke aandeel ligt mogelijk hoger. Sommige valse CAPTCHA’s verlopen namelijk na één weergave. Dat maakt onderzoek achteraf lastig.

Waarom vertrouwen gebruikers een CAPTCHA?

Een CAPTCHA maakt onderscheid tussen mensen en bots. Gebruikers koppelen het aan beveiliging. Aanvallers buiten dat vertrouwen uit. Een CAPTCHA bewijst alleen dat de bezoeker een mens is. Het zegt niets over de veiligheid van de website. Dat benadrukt Poojitha B, Threat Analysis Associate bij Barracuda.

Van tussenstap naar aanvalsmiddel

Vroeger was een valse CAPTCHA een tussenstap bij het stelen van inloggegevens. Die rol is nu breder. Barracuda ziet drie doelen:

De CAPTCHA leidt naar het downloaden van malware.

De CAPTCHA zet gebruikers aan tot het inschakelen van browsermeldingen.

De CAPTCHA laat gebruikers zelf schadelijke commando’s uitvoeren.

Hoe omzeilt een valse CAPTCHA securityscanners?

Een geautomatiseerde crawler kan de CAPTCHA meestal niet oplossen. Hij komt dus nooit bij de volgende pagina. Een echte gebruiker komt daar wel. De schadelijke inhoud blijft zo buiten beeld van beveiligingstools.

De pagina’s passen zich bovendien aan. Ze letten op apparaat, locatie, activiteit en tijdstip. Sommige verdwijnen na één weergave. Daardoor onderzoeken securityteams ze na een incident moeilijk. De CAPTCHA zelf bevat geen schadelijke lading. Hij maakt de lading geloofwaardig en verbergt haar.

ClickFix: de gebruiker infecteert zichzelf

Barracuda noemt de combinatie met ClickFix een van de gevaarlijkste ontwikkelingen. Aanvallers verzinnen eerst een nep-probleem. Denk aan een foutmelding of een mislukte documentweergave. Daarna bieden ze meteen een oplossing.

De gebruiker klikt op een verificatieknop. Op de achtergrond kopieert de pagina een schadelijk commando naar het klembord. De pagina vraagt het commando te plakken en uit te voeren. Het slachtoffer start zo zelf de infectie. Bij agressievere varianten volstaat al een muisbeweging om het commando te kopiëren.

AI maakt aanvallen goedkoper

AI- en no-code-tools helpen aanvallers. Ze maken er professionele CAPTCHA-pagina’s, inlogschermen en complete phishingketens mee. Een keten kan beginnen met een bericht over een gedeeld document. Daarna volgen een CAPTCHA, een Adobe-achtig scherm en een nep-inlogpagina van Microsoft.

Waarschuwingssignalen

Barracuda noemt vier signalen van een valse CAPTCHA. Een echte CAPTCHA vraagt dit nooit:

Een verzoek om een commando uit te voeren.

Een verzoek om software te installeren.

Een verzoek om browsermeldingen in te schakelen.

Een verzoek om wachtwoorden of eenmalige codes.

Wat kunnen gebruikers en organisaties doen?

Gebruikers doen er goed aan eerst even te stoppen. Ze controleren de URL van de pagina. Ze verifiëren de herkomst van de link via een ander kanaal. Een onverwachte CAPTCHA na een klik in een e-mail is al een reden voor argwaan.

Organisaties moeten medewerkers leren verder te kijken dan het CAPTCHA-scherm. Barracuda adviseert daarnaast een gelaagde securitystrategie. Eén laag is niet genoeg tegen aanvallen die scanners ontwijken.

Veelgestelde vragen

Wat is een valse CAPTCHA?
Een valse CAPTCHA is een nepcontrole op een phishing- of malwarepagina. Ze doet alsof de bezoeker een beveiligingscheck doorloopt.

Hoe herken ik een valse CAPTCHA?
Een echte CAPTCHA blijft in de browser. Een valse vraagt om commando’s, installaties, meldingen of wachtwoorden.

Wat is het verband met ClickFix?
ClickFix laat gebruikers zelf een schadelijk commando uitvoeren. Valse CAPTCHA’s zijn daarvoor een veelgebruikt decor.

Is een CAPTCHA een bewijs van een veilige site?
Nee. Een CAPTCHA toont alleen dat een bezoeker menselijk is.

Kort samengevat

43 procent van de onderzochte phishing-kits misbruikte CAPTCHA’s in 2025.

Valse CAPTCHA’s leveren malware, browsermeldingen en ClickFix-commando’s.

Ze houden schadelijke inhoud buiten bereik van securityscanners.

AI en no-code-tools maken de pagina’s goedkoop en overtuigend.

Een CAPTCHA zegt niets over de veiligheid van een site.

--------------------------------------------------------------------------------------------------------------------------

Bronnen: