Revisar tu Mac por malware: qué hacer tras un falso CAPTCHA

«Ayuda, ¿cómo elimino este malware?» es un mensaje recurrente en los foros de Mac, y en 2026 casi siempre se remonta a lo mismo: una página de falso CAPTCHA que convence al visitante de abrir la Terminal y pegar un comando. Los investigadores de seguridad llaman a la técnica ClickFix, y durante todo el año se han detectado campañas que la usan contra usuarios de Mac, algunas dirigidas a desarrolladores y a usuarios de herramientas de IA. Esta guía explica cómo ocurre, qué hacer si ya ejecutaste un comando y cómo revisar un Mac como es debido en lugar de adivinar.

Si ya pegaste un comando: ve a la sección correspondiente más abajo y cambia tus contraseñas importantes desde otro dispositivo limpio antes de hacer nada más en el Mac infectado.

Triaje rápido

Cómo se infectan hoy los Mac

El malware para Mac rara vez llega ya mediante una vulnerabilidad de software. La técnica dominante en 2026 es la ingeniería social, no un fallo técnico:

1. Una página de verificación falsa. Llegas a un sitio, a menudo un WordPress legítimo pero comprometido, y ves lo que parece una comprobación humana estándar de Cloudflare o un aviso de «optimización de macOS».
2. Te pide que abras la Terminal y pegues un comando. Algunas variantes copian el comando al portapapeles automáticamente y te guían: Comando+Espacio, abrir la Terminal, pegar, pulsar Retorno.
3. Lo ejecutas tú mismo. Como eres tú quien pulsa Retorno, y no un atacante que explota un fallo, esto esquiva la mayoría de las defensas tradicionales. Una campaña incluso borra la ventana de la Terminal después e imprime un falso «Verificación correcta» para que no te des cuenta de que ha pasado algo.
4. La carga se instala en silencio. Normalmente descarga un archivo a una carpeta temporal, lo ejecuta en segundo plano con un comando como nohup para que sobreviva al cierre de la Terminal y empieza a recopilar datos.

Ningún CAPTCHA, sitio web ni sistema de verificación legítimo te obliga jamás a abrir la Terminal y pegar nada. Ese solo dato cubre la gran mayoría de las infecciones actuales de Mac. En marzo de 2026, Apple añadió a macOS una medida para avisar a los usuarios antes de que se ejecute este tipo de comando, pero las nuevas variantes siguen encontrando formas de esquivar avisos sencillos, así que el hábito importa más que el parche.

Si ya ejecutaste un comando de una web en la Terminal

Trata el Mac como comprometido ahora mismo, antes de hacer nada más:

1. Desde otro dispositivo limpio, cambia las contraseñas de tu correo, de la banca y de cualquier cuenta para la que uses un gestor de contraseñas.
2. Busca el indicador de Macfinger. Si la ruta ~/Library/Caches/com.apple.metadata/com.apple.verified existe en tu Mac, un investigador de seguridad la señala como indicio de esta campaña concreta.
3. Desconéctate de la red si sospechas una exfiltración activa y en curso, y después continúa con las comprobaciones de abajo.
4. No te fíes durante un tiempo de los avisos del Llavero. Algunas campañas intentan específicamente robar la contraseña de tu Llavero mediante un falso cuadro de diálogo del sistema después de que se ejecute el comando inicial. Si ves un aviso inesperado de contraseña del Llavero en las horas siguientes, cancélalo y no escribas nada.
5. Apunta lo que pasó: qué sitio, más o menos cuándo y qué te pedía la página. Ayuda si necesitas denunciarlo o pedir ayuda.
6. No vuelvas a ejecutar el comando, ni lo pegues en ningún otro sitio para «ver qué hace».

Señales de que tu Mac puede estar infectado

• Uso de CPU alto e inexplicable con el Mac inactivo, visible en el Monitor de Actividad.
• Redirecciones del navegador, ventanas emergentes inesperadas o un buscador predeterminado nuevo que no pusiste tú.
• Avisos falsos de actualización de software que aparecen fuera de Ajustes del Sistema.
• Ítems de inicio o elementos en segundo plano que no reconoces.
• Un Mac claramente más caliente o ventiladores más ruidosos sin causa evidente.

Ninguna de estas señales prueba por sí sola una infección. La propia indexación posterior a la actualización de Golden Gate también puede disparar la CPU y el calor; consulta nuestra guía de Datos del sistema si el almacenamiento parece inusualmente lleno al mismo tiempo. La comprobación de abajo es lo que realmente lo confirma en un sentido u otro.

Dónde se esconde el malware de Mac

Las técnicas de persistencia en Mac están bien documentadas y se concentran en un número reducido de ubicaciones:

Mucho software legítimo también usa estas ubicaciones. Lo que importa es una entrada que no reconozcas.

Cómo comprobarlo, paso a paso

1. Monitor de Actividad. Ábrelo, ordena por CPU y busca procesos que no reconozcas, sobre todo los de nombres raros o aparentemente aleatorios.
2. Ítems de inicio y extensiones. Ajustes del Sistema > General > Ítems de inicio y extensiones. Haz clic en todo lo que no reconozcas y elimínalo. Revisa también la sección «Permitir en segundo plano» de la misma pantalla.
3. LaunchAgents y LaunchDaemons. Abre el Finder, pulsa Comando+Mayús+G y comprueba cada una de estas rutas:

/Library/LaunchDaemons/
/Library/LaunchAgents/
~/Library/LaunchAgents/

Busca archivos .plist desconocidos, sobre todo con nombres genéricos o modificados hace poco. Ordenar cada carpeta por fecha de modificación pone arriba los archivos recientes.

4. Perfiles de configuración. Ajustes del Sistema > General > Gestión de dispositivos, o Privacidad y seguridad > Perfiles, según tu versión de macOS. Elimina cualquier perfil que no hayas instalado tú.
5. Extensiones del navegador. Revisa la página de extensiones de cada navegador por separado y elimina todo lo que no te suene.
6. Archivos temporales del vector de infección. Si ejecutaste un comando de tipo ClickFix, revisa /tmp en busca de archivos creados hace poco que no reconozcas.

Eliminar lo que encuentres

1. Cierra primero la app o el proceso sospechoso, desde el Monitor de Actividad si no se cierra de forma normal.
2. Elimina la propia app de la carpeta Aplicaciones.
3. Elimina el plist de LaunchAgent o LaunchDaemon correspondiente que identificaste antes.
4. Quita la entrada del ítem de inicio o del ítem en segundo plano.
5. Reinicia el Mac.
6. Vuelve a abrir el Monitor de Actividad y Ítems de inicio y extensiones y confirma que no ha reaparecido nada sospechoso.
7. Durante la semana siguiente, vigila que no vuelvan los síntomas: picos de CPU en reposo, redirecciones del navegador, avisos falsos de actualización o ítems de inicio nuevos que no conozcas.

Cuando un restablecimiento de fábrica es la única solución real

La eliminación manual funciona con adware y secuestradores del navegador sencillos. No es fiable contra un verdadero infostealer que ya se ha ejecutado con todos los permisos del usuario, porque no puedes estar seguro de haber encontrado y deshecho todo lo que tocó, descargó o configuró. Si se da alguna de estas situaciones, lo más seguro es borrar el disco y reinstalar macOS desde cero:

• Ejecutaste un comando de una página sospechosa en la Terminal y el malware tuvo tiempo de ejecutarse antes de que te dieras cuenta.
• Diste la contraseña de administrador o el acceso al Llavero durante un aviso que ahora crees que formaba parte del ataque.
• Los síntomas siguen volviendo después de haber eliminado todo lo que pudiste encontrar.
• Manejas datos sensibles, credenciales o carteras de criptomonedas en el Mac. Consulta nuestra guía del modelo de amenazas de las hot wallets si es tu caso.

Haz una copia de tus archivos (no de tus apps ni de los ajustes del sistema, que podrían traer la infección de vuelta), borra el disco desde Recuperación y haz una instalación limpia. Por orden:

1. Haz una copia solo de tus documentos y fotos.
2. Borra el Mac, ya sea con Borrar contenidos y ajustes en Ajustes del Sistema > General > Transferir o restablecer, o desde la Recuperación de macOS.
3. Reinstala macOS.
4. Configura el Mac como nuevo y recupera solo tus documentos.
5. Reinstala tus apps desde sus fuentes oficiales, no desde una copia antigua.

Después de cambiar tus contraseñas

• Cierra todas las sesiones de tus cuentas importantes, donde el servicio lo permita.
• Activa la verificación en dos pasos o las llaves de acceso para el correo, la banca y tu gestor de contraseñas.
• Busca inicios de sesión o correos de restablecimiento de contraseña que no reconozcas.
• Vigila de cerca los extractos del banco y de las tarjetas durante las próximas semanas.
• Si usaste una cartera de criptomonedas en ese Mac, trata su frase de recuperación como expuesta.

Después de la limpieza: cierra la puerta por la que entró

• Nunca pegues en la Terminal un comando sacado de una web, por mucho que te lo presenten de otra forma. Ningún proceso de verificación legítimo lo exige.
• Si una página te dice que tu navegador debe «demostrar que no es un bot» de una forma que implique la Terminal, cierra la pestaña.
• Mantén activados Gatekeeper y XProtect y mantén macOS actualizado. Consulta qué actualización de seguridad necesita tu Mac.
• Antes de instalar cualquier app de fuera de la Mac App Store, consulta nuestra guía sobre cómo verificar que una app es auténtica.

La versión corta

• Casi todo el malware actual para Mac se propaga mediante ClickFix: un falso CAPTCHA o página de verificación que te engaña para que pegues tú mismo un comando en la Terminal.
• Si ya ejecutaste un comando así, cambia de inmediato tus contraseñas importantes desde otro dispositivo.
• Revisa el Monitor de Actividad, los Ítems de inicio y extensiones, los LaunchAgents y LaunchDaemons y los perfiles de configuración en busca de algo desconocido.
• Ante una infección real por infostealer, borrar y reinstalar desde cero es más fiable que la eliminación manual.