ClickFix: de nep-CAPTCHA waarmee medewerkers zelf de aanvaller binnenlaten

ClickFix is een aanvalstechniek waarbij een nep-CAPTCHA de medewerker vraagt een paar toetsen in te drukken. Daarmee plakt en start hij zelf een kwaadaardige opdracht. Zo kwamen aanvallers in maart 2026 binnen bij de gemeente Epe. Een virusscanner ziet dat zelden, een team dat gedrag op werkplekken volgt wel.

Wil je weten of jouw organisatie zo’n aanval op tijd zou zien? Doe de gratis detectie-check.

In het kort

• ClickFix laat de medewerker zelf de aanval starten, met programma’s die al op elke Windows-computer staan.
• Het werkt omdat het lijkt op iets wat mensen dagelijks doen: een CAPTCHA oplossen of een foutmelding wegklikken.
• Bij de gemeente Epe leidde een ClickFix-aanval tot de diefstal van 552.000 bestanden met gegevens van vrijwel alle inwoners.
• Tegenhouden vraagt drie lagen: medewerkers die het herkennen, werkplekken die het beperken en een team dat verdacht gedrag direct opvolgt.

Hoe werkt een ClickFix-aanval?

1. De lokker. De medewerker komt op een website, vaak via een phishingmail, een advertentie of een gehackte site die hij al kende. Daar verschijnt een venster dat eruitziet als een CAPTCHA of een foutmelding van de browser.
2. De instructie. Het venster vraagt om “te verifiëren”: druk op de Windows-toets plus R, plak met Ctrl plus V en druk op Enter. Op de achtergrond heeft de pagina al een opdracht op het klembord gezet.
3. De uitvoering. Met die drie handelingen start de medewerker zelf PowerShell of een vergelijkbaar programma, dat een script van internet ophaalt en uitvoert.
4. De vervolgstap. Het script installeert malware die wachtwoorden steelt of de aanvaller op afstand toegang geeft. Vanaf daar beweegt de aanvaller zich door het netwerk.

Het slimme is dat er geen bijlage en geen downloadbestand aan te pas komt. Voor een klassieke virusscanner gebeurt er niets bijzonders: een gebruiker start een programma dat op zijn computer hoort.

Wat gebeurde er bij de gemeente Epe?

Volgens de gemeente kwamen aanvallers op 10 maart 2026 binnen via een ClickFix-aanval; op 12 maart werd de inbraak ontdekt en de toegang afgesloten. Uit de evaluatie die de gemeente publiceerde komen drie zwakke plekken naar voren:

• PowerShell. De aanvallers gebruikten PowerShell om zich door het netwerk te bewegen en gegevens te verzamelen.
• Een noodaccount. Een zogeheten break-glass-account, bedoeld voor noodgevallen, was onvoldoende beveiligd.
• De combinatie. Samen gaven die de aanvallers langdurig toegang tot gemeentelijke systemen.

De gevolgen waren groot: 552.000 bestanden gestolen, met naam, adres en burgerservicenummer van vrijwel alle inwoners en 845 kopieën van geldige identiteitsbewijzen. De gemeente raamt de schade op bijna 350.000 euro. Als maatregelen noemt de evaluatie het beperken en strenger controleren van PowerShell, betere netwerksegmentatie, extra beveiligingscontroles en een kritische blik op accounts met verhoogde rechten.

Waarom is ClickFix zo lastig te stoppen?

Omdat de medewerker het zelf doet. De meeste beveiliging is gebouwd om iets van buiten tegen te houden. Hier start iemand van binnen een legitiem programma.

Omdat het eruitziet als routine. Mensen lossen elke dag CAPTCHA’s op en klikken foutmeldingen weg. Een instructie met drie toetsen voelt technisch, maar niet verdacht.

Omdat een melding alleen niet genoeg is. Moderne endpointbeveiliging ziet vaak wel iets: PowerShell dat door een gebruiker wordt gestart en een script van internet haalt. Maar een melding om zes uur ’s avonds waar niemand naar kijkt, doet niets. In onze GAP-analyses zien we dat patroon vaker: bij een toeleverancier van NIS2-plichtige klanten stonden endpointbeveiliging en firewall goed ingericht, maar kwamen alleen kritieke meldingen bij iemand terecht. Alles daaronder bleef liggen, en precies daar begint een aanval als deze.

Hoe houd je ClickFix tegen?

1. Leer medewerkers één regel. Geen echte website vraagt je om toetsen in te drukken, iets te plakken of een venster te openen om te bewijzen dat je een mens bent. Neem een ClickFix-voorbeeld op in de security awareness-training en in de phishingsimulatie.
2. Beperk wat een gewone gebruiker mag starten. Schakel het uitvoervenster uit voor wie het niet nodig heeft en beperk PowerShell tot beheerders. Dat was ook een van de maatregelen in Epe.
3. Beveilig noodaccounts en beheeraccounts apart. Lange wachtwoorden, phishingbestendige MFA, en een melding bij elk gebruik.
4. Segmenteer het netwerk. Een besmette werkplek mag niet vrij bij servers met persoonsgegevens kunnen.
5. Zorg dat iemand reageert. EDR ziet het verdachte gedrag; managed detection and response zorgt dat een analist het dag en nacht beoordeelt en de werkplek isoleert voordat de aanvaller verder komt.

Wat doet MDR bij een ClickFix-aanval?

Een MDR-team kijkt niet naar losse bestanden maar naar gedrag en samenhang. Een gebruiker die via het uitvoervenster PowerShell start, dat direct een verbinding met een onbekend domein opent, is een patroon dat een analist binnen minuten herkent. De respons is dan concreet: de werkplek van het netwerk halen, het account blokkeren en nagaan of de aanvaller al verder is gekomen.

Het verschil tussen een melding en een ingreep is het verschil tussen een besmette laptop en een gestolen gemeentearchief. Hoe die keten van melding naar actie loopt, staat in van melding naar actie. Wil je weten of jouw omgeving een ClickFix-aanval op tijd zou zien en stoppen? Begin met de gratis detectie-check.

Veelgestelde vragen

Wat is ClickFix?

ClickFix is een aanvalstechniek waarbij een nagemaakte CAPTCHA of foutmelding de bezoeker vraagt om een “controle” uit te voeren door een paar toetsen in te drukken. Daarmee plakt en start de medewerker zelf een opdracht die de aanvaller al op het klembord had gezet. Die opdracht haalt malware binnen, vaak via PowerShell.

Waarom houdt een virusscanner ClickFix niet altijd tegen?

Omdat de medewerker de opdracht zelf start met een programma dat op elke Windows-computer staat, zoals PowerShell. Er wordt geen verdacht bestand gedownload dat een scanner kan herkennen. Wat wel opvalt, is het gedrag: een gebruiker die via het uitvoervenster PowerShell start dat een script van internet haalt. Dat zien EDR en een MDR-team, mits iemand op de melding reageert.

Wat gebeurde er bij gemeente Epe?

Op 10 maart 2026 kwamen aanvallers via een ClickFix-aanval binnen bij de gemeente Epe. Ze gebruikten PowerShell om zich door het netwerk te bewegen en een onvoldoende beveiligd noodaccount. Er werden 552.000 bestanden buitgemaakt met persoonsgegevens van vrijwel alle inwoners, waaronder 845 kopieën van identiteitsbewijzen.

Hoe voorkom je een ClickFix-aanval?

Met drie lagen. Leer medewerkers dat geen enkele echte website vraagt om toetsen in te drukken of iets te plakken. Beperk technisch wat een gewone gebruiker mag starten, zoals PowerShell en het uitvoervenster. En zorg dat verdacht gedrag op een werkplek dag en nacht wordt gezien en opgevolgd, met EDR en managed detection and response.