Fake reCAPTCHA Cloudflare na stronie - jak rozpoznać infekcję i bezpiecznie ją usunąć

Fake reCAPTCHA Cloudflare to fałszywy ekran weryfikacji wstrzyknięty do strony lub podmieniony przez złośliwy skrypt. W kampanii ClickFix ekran może udawać test człowieka, a następnie nakłaniać do skopiowania i uruchomienia polecenia w systemie operacyjnym.

Prawdziwa strona wyzwań Cloudflare weryfikuje przeglądarkę w ramach żądania do witryny, a Turnstile jest osadzanym widżetem, który może działać w tle lub pokazać prostą interakcję. Oficjalna dokumentacja Cloudflare opisuje te mechanizmy i wymaga w przypadku Turnstile walidacji tokenu przez Siteverify; stan na 10.2026: Cloudflare Turnstile.

Australijski Australian Cyber Security Centre opisał w 2026 roku ataki ClickFix wykorzystujące fałszywe CAPTCHA na przejętych stronach WordPress, aby skłonić użytkowników do uruchomienia polecenia prowadzącego do malware: ACSC: ClickFix przez WordPress. Prośba o wklejenie polecenia do okna systemowego nie jest zwykłym sposobem potwierdzania człowieczeństwa.

Fałszywą weryfikację podejrzewaj, gdy strona prosi o wykonanie czynności poza przeglądarką, treść pojawia się tylko części odwiedzających albo po kliknięciu następuje nietypowe przekierowanie. Sam wygląd okna nie wystarcza do rozstrzygnięcia, ponieważ atakujący może skopiować elementy wizualne prawdziwej usługi.

Przekazanie polecenia do systemowego okna jest sygnałem do przerwania wizyty i zgłoszenia strony administratorowi.

Po wykryciu fake reCAPTCHA ostrzeż zespół i odwiedzających, nie klikaj dalszych instrukcji oraz zachowaj dowody przed czyszczeniem. Zapisz dokładny adres, godzinę, urządzenie, przeglądarkę, zrzut ekranu i to, czy pojawiło się przekierowanie; nie kopiuj podejrzanego polecenia do terminala ani konsoli.

Właściciel powinien ograniczyć logowanie do panelu administracyjnego do zaufanych osób, skontaktować się z hostingiem i poprosić o zabezpieczenie logów oraz kopię stanu serwera. Jeśli ekran zagraża użytkownikom, tymczasowo wyłącz podejrzaną funkcję lub ogranicz dostęp do zagrożonej ścieżki po uzgodnieniu z hostingiem.

Zabezpiecz dowody przed przywróceniem kopii, bo nadpisanie plików lub bazy może usunąć ślady potrzebne do ustalenia wektora ataku. Jeżeli użytkownik uruchomił polecenie, powinien zgłosić to administratorowi bezpieczeństwa, odłączyć urządzenie od sieci zgodnie z procedurą organizacji i zmienić hasła z czystego urządzenia.

Źródło fake reCAPTCHA ustalisz przez porównanie plików i bazy z czystą kopią, przegląd skryptów zewnętrznych oraz analizę logów i kont. Kontrola w przeglądarce pokazuje, co widzi użytkownik, ale nie zastępuje skanu plików i bazy po stronie serwera.

Sprawdź kolejno:

• Pliki WordPressa, motywu i wtyczek: szukaj nieoczekiwanych zmian, nowych plików PHP oraz kodu wstrzykniętego w nagłówki i stopki.
• Bazę danych: sprawdź treść wpisów, opcje witryny, widgety i pola przechowujące skrypty.
• Zewnętrzne skrypty i menedżer tagów: porównaj listę z zatwierdzonymi integracjami i historią zmian.
• Konta administratorów i użytkowników: zweryfikuj nowe konta, role, ostatnie logowania i aktywne sesje.
• Logi hostingu: skoreluj czas zgłoszenia z żądaniami, zmianami plików i logowaniem do panelu.

Porównanie z kopią jest użyteczne tylko wtedy, gdy kopia pochodzi sprzed infekcji i jej czystość została oceniona. Przewodnik po usuwaniu wirusów WordPress omawia szerszy proces diagnozy i naprawy.

Infekcję usuwa się po ustaleniu jej źródła przez przywrócenie czystego stanu lub ręczne usunięcie zmian, a następnie rotację dostępów i ponowną kontrolę witryny. Samo skasowanie widocznego ekranu nie usuwa skryptu, konta ani mechanizmu, który może odtworzyć infekcję.

Plan naprawy obejmuje:

1. Wykonanie kopii dowodowej plików, bazy i logów przed zmianami.
2. Ustalenie, które pliki, rekordy bazy, konta lub integracje są zmienione.
3. Odtworzenie czystych plików z zaufanego źródła albo ręczne oczyszczenie potwierdzonych zmian.
4. Aktualizację WordPressa, motywu i wtyczek oraz usunięcie nieużywanych komponentów.
5. Zmianę haseł, kluczy i dostępów, unieważnienie aktywnych sesji oraz sprawdzenie administratorów.
6. Ponowny skan plików i bazy, test formularzy i weryfikację logów po naprawie.

Właściciel powinien potwierdzić, że źródło wejścia zostało zamknięte przed przywróceniem publicznego ruchu. Do naprawy przekazuj hostingowi czas wystąpienia, zrzuty, adresy przekierowań i kopię dowodową, a nie wykonane polecenia malware.

Prawdziwą weryfikację Cloudflare rozpoznaje się po sposobie działania i kontekście żądania, a nie wyłącznie po logo lub wyglądzie ekranu. Cloudflare Challenge może pojawić się jako pełna strona pośrednia, natomiast Turnstile jest widżetem osadzonym w konkretnej stronie lub formularzu.

Cloudflare dokumentuje nagłówek `cf-mitigated: challenge` w odpowiedzi Challenge Page; to wskazówka diagnostyczna dla administratora, nie samodzielny dowód dla odwiedzającego. Dokumentacja producenta opisuje również typy wyzwań i sposób ich działania, stan na 10.2026: Cloudflare: jak działają wyzwania oraz wykrywanie odpowiedzi Challenge.

Jeżeli ekran wymaga wykonania polecenia poza witryną, potraktuj go jako podejrzany niezależnie od marki widocznej na stronie.

WordPress zabezpieczysz po incydencie przez aktualizacje, ograniczenie uprawnień, kopie poza serwerem, MFA i monitoring zmian. Częstotliwość kontroli dopasuj do ryzyka i aktywności witryny, a każdej czynności przypisz właściciela.

Ustal stały harmonogram:

• Przy każdej zmianie: wykonaj kopię przed aktualizacją i sprawdź krytyczne formularze po wdrożeniu.
• Co tydzień: przejrzyj alerty aktualizacji, nowe konta administratorów i zdarzenia bezpieczeństwa.
• Co miesiąc: sprawdź listę integracji, dostępów i plików zmodyfikowanych poza wdrożeniem.
• Po incydencie: skontroluj kopię zapasową i odtworzenie, zamiast zakładać, że sam plik kopii jest poprawny.

WordPress zaleca regularne aktualizacje komponentów i kopie witryny; dokumentacja opisuje także ograniczanie uprawnień oraz przechowywanie kopii w zaufanej lokalizacji, stan na 10.2026: WordPress: utrzymanie witryny i WordPress: wzmacnianie bezpieczeństwa. Z naszych wdrożeń wynika, że utrzymanie listy właścicieli integracji ułatwia szybkie odróżnienie zmian zatwierdzonych od nieznanych.

Pomoc specjalisty jest potrzebna, gdy infekcja wraca, administrator utracił dostęp, witryna przekierowuje klientów lub istnieje ryzyko ujawnienia danych. Samodzielna kontrola ma sens przy pojedynczym, odwracalnym objawie, jeśli dostęp do kopii, hostingu i panelu pozostaje pod kontrolą.

Jeśli nie masz pewności, czy strona jest czysta, specjalistyczne usuwanie malware z WordPressa pozwala przejść od widocznego objawu do diagnozy przyczyny.

• Jak oszuści podszywają się pod rejestratorów domen i wyłudzają pieniądze
• Strony na WordPressie: możliwości, koszty i wybór rozwiązania
• Divi w WordPressie: ile kosztuje licencja, wdrożenie i utrzymanie?