Un faux captcha compromet la sécurité des entreprises : l’alerte sur le ClickFix
Un simple faux captcha, quelques touches pressées en toute confiance… et la machine est compromise. Les entreprises doivent repenser leurs défenses face à cette nouvelle menace.
Un employé, en quête d’une mise à jour de pilote ou d’un document, se retrouve sur une page imitant un captcha Cloudflare. Suivant les instructions qui lui sont données, il saisit un code dans la boîte de dialogue Windows, compromettant ainsi sa machine. Cette méthode, désignée sous le nom de ClickFix, représente 47 % des compromissions initiales identifiées par les équipes Microsoft Defender Experts dans le Microsoft Digital Defense Report 2025, surpassant le phishing traditionnel, qui représente 35 % des cas. ESET a également signalé une augmentation de 517 % des attaques ClickFix au cours du premier semestre 2025. Malgré les systèmes de protection en place, des milliers d’ordinateurs ont été touchés chaque mois dès le début de l’année 2025.
Le ClickFix contourne les protections habituelles en exploitant des recherches effectuées par les utilisateurs eux-mêmes. La majorité des pages ClickFix provient de résultats de recherche Google, souvent à travers des techniques de SEO poisoning ou des publicités malveillantes. Ce mécanisme permet à l’utilisateur d’atterrir sur le piège à un moment où sa vigilance est au plus bas.
Cette technique repose également sur des réflexes acquis. Les utilisateurs sont habitués à interagir avec des captchas, et l’instruction de « copier ce code » ne les alerte plus. Les variantes récentes incluent des faux écrans de mise à jour de navigateur ou des pages Google Meet, renforçant l’illusion de légitimité. L’utilisateur, persuadé de résoudre un problème technique, ne suspecte rien.
De plus, le ClickFix s’industrialise. Des outils comme l’« IUAM ClickFix Generator » adaptent les attaques en fonction du système d’exploitation de la victime. Ce type d’attaque est désormais catalogué dans le référentiel MITRE ATT&CK, soulignant son adoption croissante.
L’ANSSI et plusieurs centres de renseignement sur les menaces rapportent que cette technique est également utilisée par des groupes étatiques, ce qui témoigne de son efficacité. La réponse à cette menace n’est pas simplement d’ajouter des couches de sécurité, mais de revoir complètement la logique de protection. Il est essentiel de réduire la surface d’exécution sur les postes de travail, de restreindre l’accès à des outils comme PowerShell, et de former les employés à reconnaître ces scénarios spécifiques.
Pour évaluer le risque de ClickFix dans une entreprise, il est crucial de poser une question simple à ses équipes : sauraient-elles identifier un faux captcha incitant à exécuter une commande sur leur machine ?
Source : Microsoft Digital Defense Report 2025
