Opera 幫你擋可疑貼上指令：ClickFix 點解咁易中招
Opera 會預設截住可疑貼上指令，但最後都要靠用戶唔好亂撳 Enter
發生咩事
iThome 報道，Opera 推出 Paste Protect，桌面版 Opera 會預設開啟。佢分兩層做：Hijack Protection 盯住 clipboard 有冇俾外部 app 偷換，例如你複製咗網址、銀行戶口或者 crypto 錢包地址，貼出嚟結果變成攻擊者嗰份；新增嘅 Injection Protection 就睇你複製嗰段內容似唔似惡意 shell command。Opera 官方話，一旦命中，browser 會擋低複製動作、彈警告、喺 address bar 出紅色 icon，最多畀你睇頭 120 個字元；確認安全先可以 override 或加入信任清單。
圖片：Opera
ClickFix 點玩人
ClickFix 最陰濕嘅位，係佢唔一定入侵 browser 漏洞，反而叫你親手做最後一步。假 CAPTCHA、假影片錯誤、瀏覽器 crash 提示、文件開唔到，全部都可以包裝成「跟住呢幾步就修好」：開 Windows Run、PowerShell 或 Terminal，貼上已經塞好喺 clipboard 嗰串 command，再撳 Enter。Malwarebytes 同 Microsoft 都拆過類似流程，跑咗之後可能拉 infostealer、偷 browser cookie/token、裝 remote access 工具。Huntress 2026 報告話，喺佢哋觀測到嘅 2025 malware loader activity 入面，ClickFix 佔 53%；呢個係 Huntress 口徑，唔係全網絕對數字。
圖片：Opera
點解瀏覽器要出手
Opera 呢招值得睇，因為佢攔嘅時間點早過 payload 落機。Clipboard API 本身有 secure context、權限同 user activation 等限制，MDN 都寫到唔同 browser 做法有差異；但 ClickFix 精明就精明喺佢借你撳驗證/修復嗰一下，令寫入 clipboard 變得似正常互動。傳統 antivirus 好多時要等命令開始拉檔、腳本開始跑先有嘢捉，browser 層彈紅燈雖然唔完美，起碼喺你撳 Enter 前多一次煞停機會。
圖片：Opera
唔好當成護身符
Paste Protect 唔好當成買保險。Opera 自稱係第一個主要 browser 原生擋呢類 clipboard 攻擊；呢句我會照歸因畀 Opera，因為官方自己都提到，市面本身已有 extension 同部分 OS 警告，只係擋嘅層級唔同。我哋未有實測佢攔截準繩度，所以唔評論誤報多唔多；官方容許 developer 長按 override 同加信任清單，已經暗示呢類偵測會撞到正常工程指令。
唔用 Opera 點自保
用 Chrome、Safari、Edge 嘅人，一樣有幾條硬規矩。任何網頁叫你開 Win+R、Terminal、PowerShell，再貼上 command 同撳 Enter，直接關 tab；真正 CAPTCHA 唔會要你開系統工具，影片播唔到亦唔會靠 PowerShell 修復。由 GitHub、forum、供應商支援頁、AI chatbot 複製指令前，先貼去純文字編輯器睇清楚全句；見到 curl ... | sh、powershell -enc、IEX、mshta、osascript、短網址或者一大段 base64，就停低查清楚。
公司同開發者要留意
公司 IT 仲要當呢類攻擊係員工日常流程問題處理。Red Canary 建議，唔使 Run dialog 嘅崗位可以限制 Win+R/Win+X，另加 endpoint 偵測去睇 PowerShell、mshta、rundll32、osascript 有冇突然連出去拉檔。簡單講，瀏覽器多擋一層係好事；不過任何網站叫你複製指令去 Terminal，都應該先停低查清楚。
參考來源
- iThome — Opera瀏覽器推出Paste Protect功能，防範ClickFix社交工程攻擊 — original report
- Opera Security Blog：How Opera’s Paste Protect guards against clipboard attacks — 官方技術解釋，核對 Hijack/Injection Protection、120 字元 preview、信任清單。
- Opera Newsroom：Opera launches Paste Protect — 官方 press release，核對預設開啟、major browser claim 同 7 月 2 日發布。
- Huntress：Cyber Threat Report key findings — Huntress 口徑，核對 ClickFix 佔 malware loader activity 53%。
- Microsoft Security：Think before you Click(Fix) — 補 ClickFix 攻擊鏈、Windows/macOS 影響同 payload 類型。
- Malwarebytes：Fake CAPTCHA websites hijack your clipboard — 補假 CAPTCHA 點樣借 clipboard 跑 stealer。
- Red Canary：Malicious Copy and Paste — 補 paste-and-run 風險、員工教育同 GPO 建議。
- MDN：Clipboard API — 核對 clipboard 權限、user activation 同瀏覽器差異。
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
