De fausses pages « Vérifiez que vous êtes humain » installent des logiciels malveillants. Voici l’indice.

Vous ouvrez un lien, une boîte « Vérifiez que vous êtes humain » à l’air familier apparaît, puis elle vous donne des instructions : appuyez sur Windows + R, puis Ctrl + V, puis Entrée. Ou, sur un Mac : ouvrez le Terminal et collez. C’est toute l’attaque. Les chercheurs en sécurité l’appellent ClickFix, et c’est devenu l’une des façons les plus courantes d’installer des logiciels de vol d’informations sur les ordinateurs personnels.

Comment ça marche

Quand vous cliquez sur la fausse case, la page copie discrètement une commande dans votre presse-papiers. Les « instructions » vous amènent ensuite à la coller et à l’exécuter vous-même. Comme c’est vous qui l’avez lancée, bien des protections automatiques n’ont pas leur mot à dire. La commande télécharge un logiciel malveillant, très souvent un voleur d’informations (infostealer), qui récupère les mots de passe enregistrés, les témoins (cookies) du navigateur et les portefeuilles de cryptomonnaie, puis les envoie aux attaquants.

Microsoft Threat Intelligence a décrit la technique en détail en août 2025, indiquant que des campagnes ClickFix visaient des milliers d’appareils chaque jour et que Lumma Stealer était la charge finale la plus fréquente observée. Ces pages arrivaient par :

• des courriels d’hameçonnage, comme de fausses factures ou un faux avis d’une autorité fiscale
• des publicités malveillantes, y compris sur des sites de diffusion de films piratés
• des sites légitimes piratés, où la vraie page apparaît un instant avant qu’une fausse vérification Cloudflare la recouvre

Certaines versions imitent le reCAPTCHA de Google, une invitation à un serveur Discord ou une erreur « le document n’a pas pu être chargé ». Microsoft a aussi trouvé des trousses ClickFix vendues sur des forums criminels, qui permettent de choisir un déguisement et une langue, dont le français.

Ça continue. En septembre 2026, le CERT-UA ukrainien a signalé une campagne qui avait injecté du code dans plus de 100 sites piratés pour afficher une fausse vérification Cloudflare installant un voleur appelé LunexStealer (résumé). Les rapports mensuels d’AhnLab de juillet et d’août 2026 placent encore LummaC2, Vidar et d’autres parmi les voleurs les plus activement diffusés.

L’indice

Aucun vrai CAPTCHA, site Web, banque ou service gouvernemental ne vous demandera de coller quelque chose dans Exécuter, le Terminal ou PowerShell.

C’est la seule règle à retenir. Les vraies vérifications se font dans la page : vous cochez une case, choisissez des images, ou rien du tout. Dès qu’un site vous demande d’ouvrir un outil système et de coller, fermez l’onglet.

Si c’est déjà fait

Pas de gêne à avoir. Ces pages sont conçues pour avoir l’air banales, et elles fonctionnent sur des gens prudents. Agissez calmement, dans cet ordre :

1. Coupez Internet (Wi-Fi désactivé) pour que rien d’autre ne soit envoyé.
2. Lancez une analyse complète avec votre logiciel de sécurité. Sous Windows, l’analyse hors ligne de Microsoft Defender est un bon début.
3. Depuis un autre appareil sain, changez vos mots de passe importants : le courriel d’abord, puis la banque, puis tout ce qui était enregistré dans ce navigateur.
4. Déconnectez toutes les sessions. Les voleurs d’informations dérobent les témoins qui vous gardent connecté; un nouveau mot de passe seul n’expulse pas l’attaquant. La plupart des grands services offrent une option « se déconnecter partout ». Notre guide sur le vol de sessions explique pourquoi c’est important.
5. Activez les clés d’accès ou une application d’authentification là où c’est possible.
6. En cas de doute, réinstallez. Certains voleurs s’incrustent profondément. Une réinstallation propre est la seule façon d’en être sûr.

Sources

• Microsoft Threat Intelligence, Think before you Click(Fix): Analyzing the ClickFix social engineering technique (en anglais), 21 août 2025
• TechJack Solutions, Note de renseignement sur le rapport du CERT-UA concernant LunexStealer (en anglais), octobre 2026
• AhnLab ASEC, July 2026 Infostealer Trend Report (en anglais)
• AhnLab ASEC, August 2026 Infostealer Trend Report (en anglais)