El anuncio decía que te llevaba a Bing. Y te llevaba, un instante.

El anuncio parecía normal. Quien buscaba "claude mac" en Google obtenía un resultado patrocinado cuyo destino visible era bing.com, más o menos el enlace menos alarmante que existe. El clic llegaba de verdad a Bing. Solo que no se quedaba allí.

Push Security desmontó la cadena y le puso nombre al truco: Adception. El clic pasaba por la propia redirección publicitaria de Google, entraba en el rastreador de clics de Bing en bing.com/ck/a, salía al sitio WordPress comprometido de un comercio sudamericano y terminaba en claude-desk-code[.]com, una copia de la página de descarga de Anthropic. Mostrar Bing como destino fue justo lo que permitió al anuncio superar la revisión de Google. La tienda comprometida añadía después su propio filtro: solo dejaba pasar a quien llegaba desde Bing con las cabeceras de navegador esperadas, y la página falsa devolvía un 404 seco a todo lo que oliera a escáner de seguridad.

Al final del camino esperaba el truco del portapapeles. La página mostraba el comando de instalación auténtico de Anthropic mientras el botón de copiar cargaba en silencio otro distinto, una cadena base64 que descarga un archivo y lo ejecuta. Esta campaña estaba hecha para usuarios de Mac, así que un PC con Windows que siguiera el mismo anuncio se habría ido con las manos vacías. Lo que importa es el blanqueo del clic, porque funciona sea cual sea el sistema operativo para el que esté disfrazada la página falsa, y la próxima estará disfrazada para Windows.

Juzgar un anuncio por el dominio que muestra ya no dice gran cosa. La mejor costumbre es dejar de usar los resultados de búsqueda para descargar: escriba usted mismo la dirección del fabricante, o deje que otra cosa se encargue de traer el archivo. Tendvane actualiza las aplicaciones que ya tiene a través de winget, la fuente de paquetes de Microsoft, de modo que en la cadena no queda ningún resultado de búsqueda que envenenar.