اقرأ بالعربية
Menu
Navigation sûre

« Prouvez que vous n’êtes pas un robot » : la fausse CAPTCHA (ClickFix) qui vous demande de coller une commande, ne le faites jamais

Une page de vérification demande d’appuyer sur Windows + R, de coller quelque chose et de valider. Aucune vraie vérification ne fait ça. Comment ClickFix vous fait installer un malware.

Publié le 7 min de lecture

Cet article est disponible en arabe

Omar cherche une recette de cuisine et ouvre un site qui a l’air ordinaire. Une fenêtre familière apparaît : « Prouvez que vous n’êtes pas un robot », avec une case à cocher. Il clique, et des instructions de « vérification supplémentaire » s’affichent :

  1. Appuyez en même temps sur la touche Windows et R.
  2. Appuyez sur Ctrl et V.
  3. Appuyez sur Entrée.

C’est simple, et Omar a l’habitude des CAPTCHA bizarres. Il s’exécute. Une petite fenêtre noire apparaît une seconde, puis disparaît. « Vérification réussie ». Il reprend sa recette.

Ce qu’Omar a fait en trois secondes : lancer lui-même une commande qui a installé un logiciel malveillant sur son ordinateur. C’est ClickFix.

Comment fonctionne ClickFix ?

Selon une analyse publiée par Microsoft le 21 août 2025 :

  1. L’arrivée sur la page : via un e-mail de phishing, une publicité malveillante ou un vrai site piraté (comme le site de recettes de l’histoire).
  2. La fausse vérification : une page qui imite des services connus comme reCAPTCHA de Google ou Cloudflare Turnstile.
  3. La copie silencieuse : quand vous cliquez sur le bouton « vérifier », la page copie à votre insu une commande malveillante dans le presse-papiers (ce que vous copiez avec Ctrl+C).
  4. Le collage et l’exécution : la page vous demande de la coller dans la fenêtre « Exécuter » de Windows (Win+R), dans le Terminal ou dans PowerShell. Microsoft précise que les escrocs privilégient la fenêtre « Exécuter » parce que beaucoup d’utilisateurs ne savent même pas à quoi elle sert.
  5. L’installation : la commande télécharge et lance le logiciel malveillant, souvent en mémoire, sans laisser de fichier évident.

Comme c’est vous qui avez lancé la commande, l’attaque peut passer à travers les protections automatiques.

Qu’est-ce qui est installé ?

Selon Microsoft, ce qu’on installe le plus souvent par cette méthode, ce sont des logiciels voleurs d’informations, en tête desquels Lumma Stealer, ainsi que des outils de prise de contrôle à distance. Nous expliquons le danger de ces voleurs dans l’article infostealers et cookies volés : vos mots de passe, vos sessions ouvertes, vos portefeuilles de cryptomonnaies.

Alerte arnaque

Aucune vraie CAPTCHA ne vous demande d’ouvrir la fenêtre « Exécuter », le Terminal ou PowerShell pour y coller quelque chose. Jamais. Si une page vous le demande, fermez-la immédiatement.

Quelle ampleur ?

Considérable. Selon le rapport d’ESET pour le premier semestre 2025, les détections de ClickFix ont bondi de 517 % en six mois par rapport au second semestre 2024, pour représenter environ 8 % des attaques bloquées, ce qui en fait le deuxième vecteur d’attaque le plus fréquent après le phishing.

Pas seulement sur Windows

  • Sur Mac : Microsoft a repéré en juin 2025 une campagne visant les utilisateurs de macOS avec un voleur nommé AMOS, via une fausse CAPTCHA.
  • Via un « guide » qui inspire confiance : en décembre 2025, Kaspersky a décrit une campagne qui achetait des publicités Google pour mener les personnes cherchant un nouveau navigateur vers une conversation ChatGPT partagée présentée comme un guide d’installation officiel, qui demandait de coller une ligne dans le Terminal. Cette ligne installait AMOS, qui vole mots de passe, cookies, portefeuilles crypto et fichiers, et qui redemande le mot de passe du système jusqu’à ce qu’on le saisisse.

Pourquoi sur des sites ordinaires ?

On pourrait croire que cette arnaque n’apparaît que sur des sites louches. Pourtant, Microsoft indique que les pages ClickFix atteignent aussi leurs victimes via de vrais sites piratés : un site de recettes, un blog, le site d’une petite entreprise qui n’a pas mis à jour ses logiciels. Le propriétaire lui-même peut ignorer que son site affiche une fausse CAPTCHA. La confiance dans le site ne suffit donc pas : la règle reste la même partout, ne collez pas une commande demandée par une page.

Les formes que peut prendre l’arnaque

  • « Prouvez que vous n’êtes pas un robot » avec les étapes Win+R.
  • « Une erreur d’affichage s’est produite, cliquez ici pour la corriger », puis les mêmes étapes.
  • « Le document ne s’affiche pas, lancez cette commande pour installer la police manquante ».
  • Un « guide d’installation » pour un logiciel ou un outil à la mode, qui demande de coller une commande dans le Terminal.
  • « Mise à jour du navigateur requise » avec une commande à coller.

Les signaux d’alerte

  • Toute instruction contenant Win+R, Ctrl+V dans la fenêtre « Exécuter », ou « ouvrez le Terminal/PowerShell et collez ».
  • Une CAPTCHA étrange qui demande plus qu’un clic sur une case ou un choix d’images.
  • Une « erreur » sur un site ordinaire qu’on vous demande de « réparer » vous-même avec une commande.
  • Une fenêtre noire qui apparaît et disparaît vite après une étape demandée par un site.
  • Une demande de mot de passe système (sur Mac surtout) après avoir collé une commande.

Comment vous protéger

  1. La seule règle dont vous avez besoin : ne collez jamais dans « Exécuter », le Terminal ou PowerShell une commande demandée par un site, un message ou une conversation, sauf si vous comprenez exactement ce qu’elle fait. C’est le conseil commun de Microsoft et de Kaspersky.
  2. Faites attention à ce que vous copiez-collez : un site peut placer quelque chose dans votre presse-papiers sans que vous le voyiez.
  3. Gardez vos protections actives : Microsoft Defender sous Windows, et la protection renforcée du navigateur. Microsoft recommande de ne pas passer outre les avertissements SmartScreen d’Edge.
  4. Mettez à jour votre système et votre navigateur.
  5. Si vous ne comprenez pas une commande, Kaspersky suggère de la coller dans un chatbot d’IA pour lui demander ce qu’elle fait et si elle est dangereuse, sans l’exécuter. Ou demandez à une personne compétente.
  6. Au travail : si vous gérez les ordinateurs d’autres personnes, envisagez de restreindre PowerShell pour les utilisateurs standard.

Astuce

Apprenez cette phrase à votre famille : « Aucun site ne te demandera de taper ou de coller quelque chose dans la fenêtre noire. » La plupart des victimes de ClickFix ignorent que la fenêtre « Exécuter » peut installer des programmes.

Que faire si vous avez suivi les étapes ?

  1. Déconnectez immédiatement l’ordinateur d’Internet (Wi-Fi et câble).
  2. Ne saisissez plus aucun mot de passe sur cet ordinateur tant qu’il n’est pas nettoyé.
  3. Analysez l’ordinateur avec un antivirus fiable et à jour. Mais attention : les voleurs ont pu prendre ce qu’ils voulaient dès les premières secondes, donc :
  4. Depuis un autre appareil sain, déconnectez toutes les sessions de vos comptes importants, puis changez vos mots de passe, en commençant par votre e-mail, puis la banque et les réseaux sociaux.
  5. Si vous aviez un portefeuille de cryptomonnaies sur l’ordinateur, considérez-le comme compromis et transférez vos fonds vers un nouveau portefeuille créé depuis un appareil sain.
  6. Si vous n’êtes pas sûr du nettoyage, sauvegardez vos fichiers et réinstallez le système.
  7. Appelez votre banque si ses informations étaient enregistrées dans le navigateur, et signalez les faits via la plateforme « E-Blagh » (dgsn.gov.ma) si de l’argent a été volé.

Attention

Ne vous contentez pas de redémarrer l’ordinateur comme si de rien n’était. Même si tout paraît normal, le voleur a peut-être déjà envoyé vos mots de passe et vos sessions avant que vous ne réagissiez.

L’essentiel à retenir

  • Une vraie CAPTCHA ne demande jamais Win+R ni de coller une commande.
  • Ne collez jamais dans « Exécuter », le Terminal ou PowerShell ce qu’un site vous demande.
  • Un site peut copier une commande dans votre presse-papiers à votre insu.
  • Si vous avez suivi les étapes : coupez Internet, puis sécurisez vos comptes depuis un autre appareil.

Sources