El ColCERT, el equipo de respuesta a incidentes cibernéticos del Ministerio TIC, emitió una alerta de riesgo ALTO por Amatera. Es un programa ladrón de datos para Windows cuyas campañas aumentaron en América Latina. La alerta está fechada el 3 de noviembre y el ColCERT la difundió en X el 4 de noviembre.
«Ninguna verificación legítima (CAPTCHA) ni soporte técnico solicita copiar comandos para pegarlos manualmente en la terminal o consola de Windows».
Alerta del ColCERT
Amatera, también conocido como ACR Stealer, es lo que los expertos llaman un «infostealer». Se instala en el computador y roba información guardada. Según el ColCERT, se vende como «malware como servicio»: los delincuentes lo alquilan sin tener que programarlo.
La entrada más repetida es un falso CAPTCHA. Aparece en una página comprometida o en un anuncio engañoso. Parece una verificación de «no soy un robot», a veces con la marca de Cloudflare. Sin embargo, en lugar de pedir que marques imágenes, te indica abrir una ventana de Windows y pegar un texto. Ese texto es el comando malicioso. Esta técnica se conoce como ClickFix.
El ColCERT también advierte por anuncios en Google que clonan sitios de herramientas de inteligencia artificial y de desarrollo. Entre las marcas que suplantan están Claude Code, NotebookLM, JetBrains, Cline, Comet y Snowflake. Estas empresas no están afectadas: los delincuentes usan sus nombres como señuelo.
Lo que roba es amplio, según la alerta. Incluye contraseñas guardadas y datos de autocompletado de los navegadores. También cookies y tokens de sesión, que sirven para «eludir mecanismos de autenticación multifactor (MFA)». Además, se llevan claves SSH, extensiones de billeteras de criptomonedas y documentos locales o sincronizados en OneDrive y SharePoint.
Esa información se vende en la web oscura. También la usan otros grupos para entrar a redes de empresas. El ColCERT describe una cadena: infección inicial, toma de control de cuentas, fraude financiero e intrusión corporativa.
La empresa de seguridad ESET publicó el 7 de octubre que Amatera fue el infostealer con más detecciones en América Latina en el primer semestre de 2026. Según ESET, las detecciones de ClickFix subieron 108 % frente al segundo semestre de 2025. ESET no da cifras por país, y no hay un dato público de víctimas en Colombia.
Para protegerte, el ColCERT recomienda desconfiar de cualquier página que te pida pegar comandos. Si ya lo hiciste, cierra todas las sesiones activas desde otro dispositivo. Después cambia contraseñas, claves API, tokens y llaves SSH, y aísla el equipo para reinstalarlo. ESET añade que reinstalar no basta: hay que invalidar los datos robados.
Para reportar un incidente, el ColCERT tiene la línea +57 601 344 2222, el correo contacto@colcert.gov.co y su sitio colcert.gov.co.
Fuentes: ColCERT (alerta COLCERT AL 20261103-125 y cuenta en X), ESET WeLiveSecurity.
