Stručně
- ClickFix je falešné ověření „nejsem robot“ nebo falešné chybové hlášení, které vás vyzve vložit a spustit příkaz. Ten nainstaluje malware.
- Protože příkaz spouští sám uživatel, obchází běžné ochrany proti stahování souborů. Funguje na Windows i na Macu.
- Pravidlo je jednoduché: žádná legitimní stránka po vás nechce vkládat příkazy. Google 21. 10. 2026 přidal do Chrome ochranu proti ClickFix.
Jak ClickFix funguje
Otevřete stránku, často přes odkaz z e-mailu, reklamy nebo napadeného webu. Objeví se známé okno „Ověřte, že nejste robot“, případně hlášení, že se dokument nezobrazil a je potřeba to „opravit“. Místo zaškrtnutí políčka ale dostanete instrukce:
- Windows: stiskněte Win+R, pak Ctrl+V a Enter.
- Mac: otevřete Terminál, vložte text a stiskněte Enter.
Stránka vám mezitím do schránky tajně zkopírovala příkaz. Jeho spuštěním si sami stáhnete a nainstalujete škodlivý program. Nejčastěji jde o takzvaný infostealer, který z prohlížeče ukradne uložená hesla, cookies a přihlášené relace. S nimi se útočník dostane do e-mailu nebo Microsoft 365 a Google účtů, často i přes dvoufázové ověření, protože přebírá už přihlášenou relaci.
Proč je to teď aktuální
ClickFix patří k nejčastějším způsobům, jak se útočníci v roce 2026 dostávají do firem. Microsoft v říjnu popsal kampaň, která přes falešné CAPTCHA kradla přihlašovací údaje a v počítači se uchytila přes naplánovanou úlohu. Google 21. října 2026 oznámil, že Chrome nově varuje před vložením podezřelého příkazu, pokud máte zapnutou rozšířenou ochranu (Enhanced Protection).
Jak ClickFix poznat
- Ověření „nejsem robot“ po vás nikdy nechce klávesové zkratky ani otevírání Terminálu.
- Žádný web ani dokument se „neopravuje“ vložením příkazu.
- Pokud stránka popisuje kroky jako Win+R, PowerShell, Terminál nebo „vložte a potvrďte“, zavřete ji.
Další typické znaky podvodů najdete v článku jak poznat phishing.
Jak se bránit ve firmě
- Řekněte to lidem. Jedna věta na poradě („nikdy nevkládej příkazy, které ti radí web“) udělá víc než drahý nástroj.
- Zapněte rozšířenou ochranu v Chrome pro všechny firemní prohlížeče přes centrální zásady.
- Omezte spouštění příkazů běžným uživatelům, například dialog Spustit a PowerShell na Windows přes Intune. Na Macu pomůže MDM a ochrana koncových zařízení.
- Nedávejte lidem administrátorská práva. Malware pak napáchá mnohem méně škody.
Co dělat, když už jste příkaz spustili
Odpojte počítač od internetu a hned volejte IT. Z jiného zařízení změňte hesla k e-mailu a firemním účtům a odhlaste všechna aktivní přihlášení. Postup krok za krokem je v článku co dělat při kybernetickém útoku.
Časté otázky
Co je ClickFix?
Podvod, při kterém falešná CAPTCHA nebo chybové hlášení navede uživatele, aby sám vložil a spustil škodlivý příkaz, například přes Win+R na Windows nebo Terminál na Macu.
Může ClickFix napadnout i Mac?
Ano. Na Macu útočníci navádějí k vložení příkazu do Terminálu. Výsledkem bývá malware, který krade hesla a přihlášení z prohlížeče.
Chrání před ClickFix antivir?
Jen částečně, protože příkaz spouští sám uživatel. Nejlepší obranou je vědět, že žádný web po vás vkládání příkazů nechce, a mít omezená práva.