BACS meldet kompromittierte Webseiten mit gefälschten CAPTCHAs weltweit; über 100.000 betroffene Webseiten

BACS meldet kompromittierte Webseiten mit gefälschten CAPTCHAs weltweit; über 100.000 betroffene Webseiten

Zunahme kompromittierter Webseiten mit gefälschten CAPTCHAs

07.08.2026 - Das BACS beobachtet aktuell eine Zunahme kompromittierter Webseiten, welche mittels gefälschten CAPTCHAs versuchen, Besucherinnen und Besucher zum Ausführen von schädlichen Computerbefehlen zu bewegen. Dies mit dem Ziel, deren Computer mit Schadsoftware zu infizieren. Weltweit sind über 100'000 Webseiten betroffen. Dabei registriert das BACS aktuell auch eine Zunahme der Anzahl Schweizer Webseiten, die von Cyberkriminellen kompromittiert werden und Schadsoftware verbreiten.

CAPTCHAs sind kleine Sicherheitstests, die Betreiberinnen und Betreiber von Webseiten dabei helfen, ihre Seiten vor automatisierten Zugriffen durch Roboter (sogenannte «Bots») zu schützen. Dazu muss die Besucherin oder der Besucher der Webseite eine «Checkbox» anklicken und das darauffolgende Zahlen- oder Bilderrätsel lösen. Die zunehmende Popularität solcher CAPTCHAs und die daraus resultierende Bekanntheit bei Internetanwenderinnen und -anwendern wird nun vermehrt von Cyberkriminellen ausgenützt.

Im Februar 2026 berichtete das BACS in einem Wochenrückblick über eine Methode von Social Engineering namens «ClickFix» . Cyberkriminelle versuchen, über gefälschte CAPTCHAs oder mit angeblichen Fehlermeldungen auf Webseiten die Besuchenden dazu zu animieren, einen schädlichen Computerbefehl auszuführen, um den Computer mit Schadsoftware (sogenannter «Malware») zu infizieren. In den vergangenen Wochen hat das BACS eine Zunahme kompromittierter Webseiten in der Schweiz festgestellt, welche Besucherinnen und Besuchern solche gefälschten CAPTCHAs anzeigen. Bei einem Grossteil der betroffenen Webseiten handelt es sich um solche, die das Content Management System (CMS) von WordPress verwenden. Weltweit sind bereits über 100'000 Webseiten betroffen. Das BACS informiert die betroffenen Website-Betreibenden per E-Mail und fordert sie dazu auf, die Website zu bereinigen.

Die gefälschten CAPTCHAs imitieren solche des US-amerikanischen Content-Delivery-Network-Anbieters Cloudflare und passen sich dabei an die Sprache der Besuchenden an. Die kompromittierte Webseite berücksichtigt dabei ebenfalls das vom Besucher verwendete Betriebssystem. So werden Besucher mit dem Windows-Betriebssystems aufgefordert, einen «PowerShell»-Befehl auszuführen. Detektiert die Webseite ein macOS-Betriebssystem, kommt ein macOS-Befehl zum Einsatz. Cyberkriminelle attackieren mit «ClickFix» also Windows- und macOS-Betriebsysteme gleichermassen.

Aktuell verfolgt das BACS sieben Kampagnen von Cyberkriminellen, welche mittels der beschriebenen «ClickFix»-Methode Computer zu infizieren versuchen.

Folgt der Besucher den Anweisungen einer kompromittierten Webseite und führt den Computerbefehl aus, so lädt dieser weiteren Schadcode aus dem Internet nach. Dabei greifen die Cyberkriminellen für die Speicherung und Verbreitung des Schadcodes auf die Blockchain zurück (sogenanntes «EtherHiding»), welche über Web-Schnittstellen von «RPC-Anbietern», die den Zugriff auf Netzwerke ermöglichen, abrufbar sind.

Bei der vom Schadcode nachgeladenen Schadsoftware handelt es sich in der Regel um einen sogenannten «Infostealer»: Damit gemeint ist Schadsoftware, die es auf Zugangsdaten, Kreditkarteninformationen, Krypto-Wallets und sonstige sensiblen Daten auf dem Computer des Opfers abgesehen hat. Solche «Infostealer» wie z. B. «Vidar» werden im Dark-Web zum Kauf angeboten, was sie zu einem beliebten Werkzeug von Cyberkriminellen macht.

Bei den meisten kompromittierten Webseiten handelt es sich um solche, die das Content Management System (CMS) von WordPress einsetzen. In den vergangenen Tagen haben sich beim BACS die Meldungen von Schweizer Webseitenbetreibern und Web-Hosting-Anbietern gehäuft, welche über die Ausnützung zweier kürzlich bekannt gewordener Schwachstellen in WordPress berichteten. Dabei verwenden Cyberkriminelle eine Kombination aus zwei Schwachstellen in WordPress, die als «WP2Shell» bekannt sind (CVE-2026-63030 und CVE-2026-60137). WordPress hat für die Behebung dieser Schwachstellen am 17. Juli 2026 entsprechende Sicherheits-Updates veröffentlicht. Leider haben diese noch nicht alle Webseitenbetreibern eingespielt, was zur Kompromittierung von mit WordPress laufenden Webseiten führte. Dem BACS sind ebenfalls Fälle bekannt, in denen es Cyberkriminellen mutmasslich durch Ausnutzung der «WP2Shell»-Schwachstelle ausserdem gelungen ist, durch eine noch unbekannte Vorgehensweise auch andere auf demselben Server eingemietete Webseiten zu kompromittieren.

Es ist nicht auszuschliessen, dass es sich bei diesen Kompromittierungen um Vorbereitungshandlungen von Cyberkriminellen handelt, um zu einem späteren Zeitpunkt gefälschte CAPTCHAs aufzuschalten und damit Besucherinnen und Besucher von Webseiten mit Schadsoftware zu infizieren.

Vorsicht vor Computerbefehlen Führen Sie niemals einen Computerbefehl aus (z. B. «Windows»-Taste + «R», wenn Sie eine Webseite dazu auffordert. Verlassen Sie solche Webseiten unverzüglich und fragen Sie im Zweifelsfall bei einem Experten nach.

Software-Updates Stellen Sie sicher, dass Ihr Computer und die darauf installierte Software stets aktuell gehalten wird.

Antivirenschutz Stellen Sie sicher, dass auf Ihrem Computer stets ein aktueller Antivirenschutz installiert ist.

Software-Updates Stellen Sie sicher, dass das von Ihnen eingesetzte Content Management System (CMS) stets auf dem aktuellen Stand ist. Vergewissern Sie sich ebenfalls, dass sämtliche Plug-ins und Add-ons ebenfalls aktuell sind. Aktivieren Sie, wenn immer möglich, die automatische Update-Funktion.

Einsatz von MFA Falls Ihr CMS dies unterstützt, aktivieren Sie für sämtliche Accounts die Multi-Faktor-Authentisierung (MFA).

Absicherung des CMS Befolgen Sie die «Best Practices» bzw. «Security Guidelines» des Herstellers Ihres CMS, z. B.: WordPress Hardening (englisch) Joomla! Security Checklist (englisch) TYPO3 Security Guidelines (englisch)

Sperrung von RPC-Anbietern Unternehmen und Betreiberinnen kritischer Infrastrukturen, welche nicht im Fintech-Bereich tätig sind, sollten ausgehende Verbindungen zu RPC-Anbietern einschränken. Eine entsprechende Liste finden Sie im Archiv des GovCERT auf GitHub .

Sensibilisierung Mitarbeitende sollten auf die «ClickFix»-Methode aufmerksam gemacht und im Umgang mit CAPTCHAs sensibilisiert werden.

Zunahme kompromittierter Webseiten mit gefälschten CAPTCHAs