Атаки ClickFix в августе 2026 года составили 67% всех срабатываний Push Security в браузере. Злоумышленники всё чаще используют в качестве приманки Claude, ChatGPT, Codex и другие ИИ-сервисы: вместо привычной «проверки CAPTCHA» жертве предлагают установить инструмент или выполнить команду в терминале. Для российских разработчиков и компаний это неприятный сигнал: генеративный ИИ превращается из очередного теневого SaaS в удобный канал первичного проникновения.
По данным BleepingComputer, во втором квартале ClickFix в среднем обеспечивал 52% обнаружений Push Security, впервые обогнав фишинг с перехватом сессии AiTM и атаки через коды устройств. При этом четыре из пяти перехваченных в 2026 году страниц ClickFix пользователь открыл из поисковой выдачи — через вредоносную рекламу, SEO-отравление или скомпрометированные сайты. Почтовый шлюз в такой цепочке не участвует, а значит, его защита может быть безупречной и всё равно не увидеть атаку.
Схема проста и потому опасна. Пользователь ищет, например, установщик Claude Code для macOS, видит рекламный результат, попадает на копию страницы загрузки и нажимает кнопку копирования команды. На странице может быть показана настоящая команда установки, но в буфер обмена отправляется другая — она скачивает и запускает вредоносный скрипт. В одном из изученных Push Security случаев команда сначала выводила в терминале легитимный адрес claude.ai, а затем расшифровывала скрытый URL и передавала загруженный скрипт прямо в оболочку. Визуальная проверка страницы и терминала в таком сценарии почти бесполезна.
Этот подвид получил название InstallFix. Он играет на новой рабочей привычке: CLI-инструменты для ИИ нередко ставятся одной строкой, и командную строку теперь открывают не только администраторы и разработчики. Жертва уже ожидает вставить команду, поэтому мошенникам не нужно выдумывать предлог, как в классическом ClickFix. Достаточно подменить одну строку. Push Security фиксировала клоны страниц Claude Code, Codex и NotebookLM, причём у последнего, по данным исследователей, вообще нет настольного установщика.
Есть и более неприятный вариант — LLMshare. Атакующие создают общедоступные чаты, артефакты или настроенных GPT на легитимных платформах ChatGPT и Claude, помещают туда вредоносные инструкции либо ссылку на поддельную загрузку, а затем покупают рекламу в поиске. Репутационная проверка URL здесь видит chatgpt.com или claude.ai и закономерно не считает домен подозрительным. В одном из кейсов пользовательский GPT на любой запрос отвечал уведомлением о якобы недоступности сервиса и отправлял на страницу с Windows-полезной нагрузкой; на момент наблюдения у него было более 10 тысяч диалогов.
Масштаб тренда подтверждает и Microsoft: по её данным, с декабря 2025-го по май 2026 года объём ClickFix вырос примерно в 23 раза. С февраля до начала мая Microsoft Defender зафиксировал выполнение команд, предложенных атакующими в стилe ClickFix, более чем на 1,1 млн уникальных устройств. Компания оценила долю инцидентов, закончившихся загрузкой вредоносного ПО, в 96,3%. Для злоумышленника это почти идеальная экономика: пользователь сам запускает команду в штатном терминале, а скрипт способен работать в памяти, не оставляя обычный файл для песочницы.
Атаки ClickFix обходят не только почтовые фильтры. В цепочке могут использоваться настоящий сайт, взломанный интернет-магазин, сервис Google Sites, редиректы рекламных систем и даже блокчейн: наборы атакующих хранят конфигурацию в смарт-контрактах и могут менять адрес полезной нагрузки без правок на каждом заражённом сайте. Push Security также видела 84 варианта команд, замаскированных через более чем 20 исполняемых программ. Сигнатурный поиск строк в таких условиях быстро становится игрой в догонялки.
Компаниям стоит перестать считать поиск ИИ-инструмента бытовым действием вне периметра. Нужны понятные официальные источники установки, контроль разрешённых расширений и приложений, а также обучение, которое объясняет не только опасность вложений в письмах, но и риск вставки чужих команд в терминал. Главный вопрос теперь не в том, появится ли следующий фальшивый установщик, а в том, смогут ли защитные процессы отличить нормальное внедрение ИИ от цепочки, где пользователь добровольно запускает вредоносный код.
