ClickFix : l’arnaque au faux CAPTCHA qui installe un malware, explications et prévention

Une nouvelle arnaque numérique, connue sous le nom de ClickFix, a émergé ces dernières années, piégeant même les utilisateurs avertis. Cette technique, qui ne nécessite pas de piratage, repose sur une manipulation astucieuse des utilisateurs, les incitant à exécuter des commandes sur leurs systèmes d’exploitation, que ce soit Windows ou macOS.

Récemment, un entrepreneur français a partagé sur X une capture d’écran d’un CAPTCHA qu’il qualifiait de « technique la plus vicieuse » rencontrée jusqu’à présent. Les réactions des internautes ont révélé que cette méthode, bien que connue de certains, reste largement ignorée par d’autres. ClickFix, qui a fait son apparition en 2024, se manifeste souvent sur des sites piratés ou des plateformes de streaming, où une fausse vérification Cloudflare est affichée.

Au lieu d’un simple clic pour prouver son humanité, les victimes sont invitées à suivre un processus en trois étapes. Selon les données d’ESET, cette méthode a connu une augmentation de 517 % entre la seconde moitié de 2024 et le premier semestre 2025, représentant près de 8 % des attaques bloquées par l’éditeur, juste après le phishing. Les détections de faux CAPTCHA ont encore doublé, atteignant une hausse de 108 % entre fin 2025 et mi-2026. Microsoft a signalé que des milliers d’appareils étaient affectés quotidiennement, qu’ils aient un antivirus actif ou non.

La France figure parmi les pays les plus touchés par cette menace, avec plus de 5 % des cas recensés, se classant derrière le Japon (14 %) et la Slovaquie (7 %). Cela signifie que les utilisateurs français ne sont pas à l’abri de ce piège sur des sites qu’ils visitent régulièrement.

Le fonctionnement de ClickFix repose sur trois actions simples que la page web demande de suivre. Tout d’abord, l’utilisateur doit appuyer sur Windows + R pour ouvrir la boîte « Exécuter » ou le Terminal sur Mac. Ensuite, en utilisant Ctrl + V, il colle une commande PowerShell qui a été préalablement copiée sans son consentement. Enfin, il appuie sur Entrée, ce qui déclenche le téléchargement et l’exécution d’un programme malveillant en arrière-plan. Aucune faille n’est exploitée, et l’utilisateur pense avoir exécuté une commande légitime.

Les conséquences de cette manipulation peuvent être graves, car des logiciels malveillants tels que Lumma Stealer ou SnakeStealer peuvent aspirer des informations sensibles, y compris des mots de passe et des données de session. En 2026, les variantes de cette arnaque sont devenues plus sophistiquées. Microsoft a récemment documenté une campagne qui utilise Windows Terminal pour exécuter des scripts plus complexes.

Les utilisateurs de Mac ne sont pas épargnés non plus, avec des campagnes ciblant le Terminal d’Apple. Face à cette menace croissante, Apple a intégré un avertissement dans macOS 26.4 pour alerter les utilisateurs lorsqu’ils collent des commandes provenant du web, tandis que Microsoft recommande aux administrateurs de désactiver la boîte Exécuter.

Il est crucial de comprendre que les utilisateurs ne sont pas seulement des novices. Les développeurs et les utilisateurs pressés sont également vulnérables. La règle d’or pour éviter de tomber dans ce piège est simple : aucun site légitime ne demandera jamais d’ouvrir PowerShell ou le Terminal pour prouver son humanité. Un vrai CAPTCHA se limite à une case à cocher ou à un puzzle. Si une page vous demande d’utiliser un raccourci clavier, fermez-la immédiatement. En cas de doute, déconnectez-vous de vos sessions actives et changez vos mots de passe depuis un autre appareil.