TL;DR : L’essentiel
- Microsoft a enregistré que la méthode représentait un peu plus de 47% des accès initiaux détectés dans ses données.
- Entre décembre 2025 et mai 2026, le volume global de ces assauts a été multiplié par environ 23 d’après les chiffres de Microsoft.
- Les moteurs de recherche acheminent quatre pièges sur cinq, ce qui neutralise complètement les filtres de sécurité des messageries d’entreprise.
- Les outils d’intelligence artificielle servent désormais d’appâts privilégiés grâce aux habitudes d’installation en ligne de commande des collaborateurs.
La technique d’ingénierie sociale ClickFix amène l’utilisateur à exécuter lui-même une commande malveillante sur son terminal sans télécharger de fichier, contournant ainsi les protections des navigateurs et des passerelles de messagerie. Ce procédé ne cherche pas à exploiter une vulnérabilité logicielle classique. Les attaquants fabriquent une mise en scène crédible pour convaincre la cible de copier puis de coller une instruction système dans sa propre invite de commande.
Le mécanisme de ClickFix retourne les réflexes de l’internaute
L’attaque commence généralement lors de la navigation sur un site compromis ou via un lien publicitaire sur Google ou Bing par exemple. Une fenêtre surgit à l’écran et imite un avertissement officiel, comme une vérification contre les robots, un problème de certificat ou un blocage de périphérique lors d’un appel vidéo. Cette fausse alerte prétend apporter une solution immédiate et invite la victime à cliquer (un clic pour fixer, d’où le nom) sur un bouton pour copier un prétendu correctif.
Le clic dépose en réalité un script malveillant dans le presse-papiers, souvent destiné à PowerShell ou au Terminal de macOS. La page guide ensuite l’internaute pas à pas : utiliser le raccourci Windows plus la touche R, coller le texte avec Ctrl et V, puis valider avec la touche Entrée. L’ordinateur exécute l’ordre de lui-même, télécharge un logiciel espion directement en mémoire et expose les identifiants professionnels, les cookies de session et les portefeuilles numériques.
L'essentiel Cybersécurité, IA & Tech
Rejoignez la communauté. 3 fois par semaine, recevez l'analyse des tendances par Marc Barbezat. Pas de spam, juste de l'info.
Selon les observations de Push Security, ClickFix a représenté 67% des détections de menaces sur navigateur en août 2026. Les cybercriminels adaptent continuellement les kits prêts à l’emploi comme ERRTRAFFIC, qui générait à lui seul 34% des alertes ce même mois. Les variantes emploient plus de 20 utilitaires système légitimes pour brouiller les règles de surveillance des terminaux d’entreprise.
L’intelligence artificielle fournit des leurres redoutables
L’engouement professionnel pour les assistants génératifs fournit un prétexte idéal pour piéger les équipes techniques et métiers. BleepingComputer rapporte que la plateforme ANY.RUN a dénombré 1’258 analyses de campagnes simulant des logiciels d’intelligence artificielle entre le 15 avril 2026 et le 5 octobre 2026, dont 81% usurpaient Claude, ChatGPT ou Codex. L’habitude de déployer ces outils via une ligne de commande rend l’instruction de copier-coller totalement banale aux yeux d’un utilisateur pressé.
La variante InstallFix reproduit à l’identique les pages de téléchargement officielles. Le bouton de copie montre à l’écran la commande légitime de l’éditeur, mais place un lien de téléchargement malveillant dans le presse-papiers de l’ordinateur. Le piège affiche d’abord le domaine authentique dans le terminal pour endormir la vigilance, avant d’injecter le script malveillant directement dans la mémoire de la machine sans écrire de fichier sur le disque.
Une autre évolution, baptisée LLMshare, exploite le partage de conversations ou des assistants personnalisés sur les plateformes officielles. Les attaquants conçoivent par exemple un agent sur ChatGPT qui répond normalement avant d’afficher un faux message d’interruption de service renvoyant vers une charge ClickFix. L’adresse web appartenant au domaine légitime du fournisseur, les outils de réputation de liens ne détectent aucune anomalie visible.
Point d’Attention
Il ne faut pas baisser la garde contre les attaques appelées ClickFix, qui continuent à piéger les internautes, tandis que l’intelligence artificielle renforce encore malheureusement le taux de succès pour les cybercriminels. L’attaque ClickFix constitue une technique d’ingénierie sociale particulièrement redoutable parce qu’elle pousse à installer soi-même un virus sans passer par un fichier téléchargé.
Les précautions pour neutraliser ces manipulations
La défense repose d’abord sur la détection des signaux comportementaux anormaux. Aucun test de validation de type reCAPTCHA ou Cloudflare ne requiert une action en dehors du navigateur web. La demande d’ouverture de l’utilitaire Exécuter sous Windows ou du Terminal sous macOS signale une tentative d’intrusion immédiate.
Dans les entreprises, les équipes de sécurité doivent rappeler l’interdiction stricte de coller du texte inconnu dans une invite de commande sans analyse préalable. En cas de doute, coller le contenu dans un éditeur de texte brut comme le Bloc-notes permet d’inspecter les instructions et de repérer les appels distants suspects. Les organisations doivent également surveiller l’usage des utilitaires système sur les postes non gérés ou les machines de travail des développeurs.
La prolifération de ClickFix démontre que les cybercriminels privilégient la manipulation des utilisateurs plutôt que l’exploitation de failles logicielles complexes. L’intégration croissante des assistants numériques abaisse les réflexes de prudence face aux lignes de commande.
Questions fréquentes sur les attaques ClickFix
Qu’est-ce qu’une attaque de type ClickFix ?
ClickFix est une méthode de piratage par ingénierie sociale qui incite l’internaute à copier et exécuter lui-même du code malveillant sur son poste de travail. L’attaque affiche un faux message d’erreur ou un contrôle de sécurité fictif sur une page web. Aucun fichier exécutable n’est téléchargé au départ, ce qui trompe les défenses traditionnelles.
Pourquoi les outils d’intelligence artificielle amplifient-ils ces attaques ?
De nombreux logiciels d’intelligence artificielle s’installent couramment à l’aide d’une seule ligne de commande dans un terminal informatique. Les cybercriminels imitent ces procédures officielles pour faire exécuter du code frauduleux sans éveiller les soupçons. L’adoption rapide de ces technologies pousse les collaborateurs à coller des scripts sans en vérifier l’origine exacte.
Comment les pirates contournent-ils les filtres de sécurité habituels ?
Les pages frauduleuses sont majoritairement atteintes via des moteurs de recherche ou des sites légitimes piratés, contournant totalement les passerelles de messagerie électronique. Le code est ensuite exécuté manuellement par l’utilisateur au sein d’un utilitaire système authentique comme PowerShell. Le logiciel malveillant s’exécute souvent en mémoire vive sans créer de fichier suspect sur le stockage local.
Quels réflexes permettent d’éviter une infection ClickFix ?
Un test de vérification de navigateur ou une page web ne demande jamais d’ouvrir la fenêtre Exécuter ou le Terminal de l’ordinateur. Toute consigne réclamant d’utiliser la séquence des touches Windows, R, puis de coller du contenu doit conduire à la fermeture immédiate de l’onglet. Coller préalablement le texte dans un simple éditeur de notes permet d’observer la commande réelle et de déceler la présence de scripts suspects.
Pour approfondir le sujet
ClickFix : le piège qui fait exécuter l’attaque par la victime
Une technique d’ingénierie sociale se généralise : ClickFix transforme une simple action de copie-coller en exécution involontaire du malware par la victime. Lire la suite
Une lecture utile ?
Un café, c'est une façon simple de dire merci pour la veille. Sans abonnement, sans engagement.
