Une fausse case de vérification « Je ne suis pas un robot », semblable à celle des CAPTCHA classiques, pourrait bien être le vecteur d’une arnaque en pleine expansion depuis deux ans. Baptisée ClickFix, cette technique pousse l’utilisateur à copier-coller lui-même une commande dans son terminal Windows ou macOS, lui donnant ainsi l’illusion d’autoriser une vérification automatique — alors qu’il installe en réalité un malware sur son propre appareil. Selon nos confrères de Frandroid, cette méthode trompe même les internautes les plus avertis, précisément parce qu’elle ne repose pas sur une intrusion externe, mais sur l’action volontaire de la victime.

Contrairement aux attaques par phishing classiques qui reposent sur la tromperie pour soutirer des identifiants, ClickFix mise sur la méconnaissance technique de l’utilisateur. Le piège se présente sous la forme d’une fenêtre popup ou d’une page web affichant un message du type : « Pour continuer, veuillez coller la commande suivante dans votre terminal ». Une fois la commande exécutée, l’ordinateur est infecté sans qu’aucun système de protection ne puisse l’empêcher, faute d’avoir détecté une intrusion malveillante.

Ce qu'il faut retenir

  • ClickFix est une technique d’arnaque apparue il y a deux ans et en forte recrudescence.
  • Elle repose sur un faux CAPTCHA invitant à coller une commande dans un terminal Windows ou macOS.
  • L’utilisateur installe lui-même le malware en exécutant la commande, sans qu’aucune faille ne soit exploitée.
  • Cette méthode trompe même les internautes expérimentés, car elle ne nécessite pas de piratage externe.
  • Une fois la commande exécutée, l’appareil est infecté et vulnérable aux vols de données ou à l’installation de logiciels malveillants.

Une arnaque qui exploite la confiance dans les vérifications automatiques

Les cybercriminels derrière ClickFix misent sur un reflexe de confiance bien ancré chez les internautes : celui de cliquer sur les cases de vérification CAPTCHA pour prouver qu’ils ne sont pas des robots. En reproduisant l’apparence de ces boîtes de dialogue légitimes, les attaquants créent un leurre presque parfait. D’après Frandroid, les pages frauduleuses sont souvent hébergées sur des sites web compromis ou via des publicités malveillantes diffusées sur des plateformes tierces.

Le processus est simple : après avoir cliqué sur « Je ne suis pas un robot », l’utilisateur se voit proposer une commande à exécuter dans son terminal. Celle-ci peut ressembler à une vérification système inoffensive, comme « systeminfo » ou « netstat ». En réalité, elle lance un script qui télécharge et installe un malware, souvent un cheval de Troie ou un ransomware. Une fois en place, ce logiciel malveillant peut voler des données personnelles, crypter les fichiers ou servir de porte d’entrée pour d’autres attaques.

Pourquoi cette technique échappe-t-elle aux outils de détection ?

Ce qui rend ClickFix particulièrement insidieux, c’est qu’il contourne les protections traditionnelles. Les antivirus et pare-feu ne détectent généralement pas d’intrusion, car l’ordinateur agit de sa propre initiative — l’utilisateur, lui-même, a autorisé l’exécution du code. Comme le rappelle Frandroid, « on ne pirate pas la machine, on la convainc de se pirater elle-même ». Les commandes proposées sont souvent des outils système légitimes détournés, ce qui rend leur détection encore plus complexe.

De plus, les attaquants adaptent régulièrement leurs scripts pour éviter les signatures malveillantes connues. Ils utilisent des techniques d’obfuscation et de chiffrement pour masquer le code malveillant, ce qui complique encore davantage le travail des solutions de sécurité. Les utilisateurs sont donc livrés à eux-mêmes, sans autre filet de sécurité que leur propre vigilance.

Les signes qui doivent alerter : comment repérer ClickFix ?

Plusieurs indices peuvent trahir la présence de cette arnaque. D’abord, une fenêtre ou une page web proposant de coller une commande dans un terminal est un signal d’alerte immédiat. Même si l’utilisateur est familiarisé avec les CAPTCHA, ces derniers ne demandent jamais d’exécuter des commandes système. Ensuite, la commande elle-même doit être examinée : si elle contient des termes inhabituels comme « curl », « wget », « powershell » ou « bash » suivis d’une URL suspecte, il y a de fortes chances qu’elle soit malveillante.

Frandroid recommande également de vérifier l’URL de la page affichant le faux CAPTCHA. Les domaines inconnus ou les sous-domaines inhabituels (par exemple, « captcha-vérification.com » au lieu de « google.com/recaptcha ») doivent être considérés comme suspects. Enfin, l’utilisation d’un navigateur en mode privé ou l’ouverture d’une nouvelle fenêtre pour vérifier l’authenticité de la page peut éviter bien des désagréments.

Et maintenant ?

Les experts en cybersécurité s’attendent à ce que ClickFix continue de se propager, notamment via les réseaux sociaux et les campagnes de phishing ciblées. Les plateformes comme Google et Microsoft pourraient renforcer leurs systèmes de vérification pour bloquer ces fausses cases CAPTCHA, mais la responsabilité incombe aussi aux utilisateurs de rester vigilants. Une mise à jour régulière des outils de sécurité et une sensibilisation accrue aux techniques d’ingénierie sociale pourraient limiter l’impact de cette arnaque, dont les dégâts restent pour l’instant difficiles à quantifier.

Face à cette menace, les autorités et les éditeurs de solutions antivirus devraient publier des alertes plus ciblées dans les semaines à venir. En attendant, une règle d’or s’impose : jamais un CAPTCHA ne demandera d’exécuter une commande dans un terminal. En cas de doute, mieux vaut fermer la page et signaler le site aux autorités compétentes.