FR
Les contrôles de sécurité existent pour empêcher les robots d'entrer, mais les escrocs ont détourné le script. Les faux CAPTCHA utilisent les outils conçus pour vous protéger comme déguisement pour pirater votre ordinateur.
Les fausses pages de vérification ne vérifient pas si vous êtes un être humain. Elles vous incitent à installer des logiciels malveillants sur votre propre appareil. Vous essayez de prouver que vous n'êtes pas un robot et, ce faisant, vous remettez les clés de votre système.
Cet article explique exactement comment fonctionne la technique ClickFix, ce qui se passe lorsque vous appuyez sur la touche Entrée et comment stopper l'attaque dans son élan.
En bref
Un faux CAPTCHA est une page web malveillante qui imite un test de vérification humaine pour vous inciter à exécuter manuellement des commandes informatiques. Les vrais CAPTCHA vous demandent de cliquer sur des feux tricolores ou de cocher une case. Les faux logiciels malveillants CAPTCHA utilisent une technique appelée ClickFix, dans laquelle la page copie silencieusement un script malveillant caché dans le presse-papiers de votre ordinateur au moment où vous cliquez sur "Vérifier".
La page vous donne ensuite des instructions pas à pas conçues pour ressembler à un contrôle de sécurité standard. Elle vous demande d'appuyer sur "Touche Windows + R" pour ouvrir le menu "Exécuter", d'appuyer sur "Ctrl + V" pour coller un code de vérification et d'appuyer sur "Entrée". Comme vous pensez que vous ne faites que coller un code inoffensif, vous baissez votre garde.
Dès que vous appuyez sur Entrée, vous exécutez ce script caché. En coulisses, la commande lance des outils Windows légitimes tels que PowerShell ou mshta.exe - des programmes qui exécutent des scripts - pour télécharger et installer des logiciels malveillants directement sur votre machine.
Au troisième trimestre 2024, les chercheurs ont observé une augmentation significative des campagnes de faux CAPTCHA. En avril 2025, près de 11 % de tous les courriels d'hameçonnage au niveau mondial étaient envoyés à l'aide de plateformes de confiance. Ces campagnes ont diffusé des logiciels malveillants destructeurs tels que Lumma Stealer, Rhadamanthys, AsyncRAT et XWorm.
Les faux CAPTCHA se propagent principalement par le biais de résultats de recherche détournés, de publicités malveillantes et de courriels trompeurs. Il se peut que vous recherchiez un logiciel commun à télécharger et que vous cliquiez sur une publicité - connue sous le nom de malvertising - qui vous redirige vers une fausse page de vérification. Les attaquants ont également recours à l'empoisonnement SEO, une tactique qui consiste à manipuler les moteurs de recherche pour que leurs sites frauduleux apparaissent en tête des résultats.
Dans d'autres cas, vous pouvez cliquer sur un lien dans un courriel d'hameçonnage ou atterrir sur un site web légitime qu'un pirate a compromis en y injectant des scripts. Une fois que vous êtes arrivé, le site bloque le contenu que vous souhaitez et affiche la fausse invite "Je ne suis pas un robot".
Vous ne pouvez pas compter sur le blocage d'une seule mauvaise adresse web pour rester en sécurité. Les attaquants échangent régulièrement leurs URL pour échapper à la détection après que les entreprises de cybersécurité ont supprimé leurs pages.
Les faux CAPTCHA installent des logiciels agressifs conçus pour voler vos données ou prendre le contrôle total de votre appareil. Les charges utiles les plus courantes sont des voleurs d'informations tels que Lumma Stealer, StealC et Rhadamanthys, qui récoltent silencieusement vos mots de passe enregistrés, vos cookies de navigateur et vos portefeuilles de crypto-monnaie. En volant vos cookies de session actifs, les pirates contournent l'authentification à deux facteurs et accèdent directement à vos comptes.
D'autres campagnes diffusent des chevaux de Troie d'accès à distance (RAT) tels qu'AsyncRAT ou XWorm, qui offrent aux attaquants une porte dérobée cachée pour surveiller votre écran et contrôler votre appareil. Vous pouvez également rencontrer des chargeurs en plusieurs étapes comme Emmenhtal, un logiciel malveillant qui agit comme un camion de livraison, déposant une série de virus supplémentaires sur votre système au fil du temps.
Cette menace cible également les smartphones par le biais d'une variante mobile spécifique. Certains faux CAPTCHA sur les téléphones vous incitent à envoyer un message texte automatisé pour "prouver que vous êtes humain", ce qui déclenche en fait une fraude internationale par SMS et entraîne des factures téléphoniques d'environ 30 dollars par victime.
Vous pouvez identifier un faux CAPTCHA parce qu'il vous demande toujours d'effectuer des actions en dehors de votre navigateur web, comme ouvrir des menus système ou copier du texte. Un contrôle de sécurité légitime ne vous demandera jamais d'interagir directement avec la page web elle-même.
CAPTCHA légitime Faux CAPTCHA Coche une case ou résout une énigme visuelle Vous demande d'ouvrir la boîte de dialogue Exécuter de Windows (Win+R) ou un terminal. Ne fait jamais appel à des raccourcis clavier Donne des instructions pas à pas au clavier Ne vous demande jamais de copier-coller quoi que ce soit Copie silencieusement une commande dans votre presse-papiers Toujours sur le site web que vous aviez l'intention de visiter Apparaît souvent sur des domaines inconnus ou des pages pop-up Ne vous demande pas de télécharger des fichiers Peut inclure des vidéos tutorielles vous guidant à travers les étapes du système.Si vous avez collé et exécuté la commande, vous devez immédiatement déconnecter votre appareil d'Internet pour couper la connexion de l'attaquant. Débranchez le câble Ethernet ou éteignez votre routeur Wi-Fi pour empêcher le logiciel malveillant de renvoyer les mots de passe volés au pirate.
Vous vous protégez en traitant toute demande d'utilisation de raccourcis clavier tels que Windows + R comme une menace immédiate et grave pour la sécurité. Les sites web ne peuvent pas vous forcer à ouvrir les menus du système, ils doivent donc utiliser des astuces psychologiques pour vous convaincre de le faire vous-même.
Soyez très sceptique à l'égard de tout CAPTCHA apparaissant sur une fenêtre contextuelle, un domaine suspect ou un site de diffusion de contenu gratuit. Vous pouvez réduire votre exposition en utilisant une extension de navigateur qui bloque les domaines malveillants et en gardant votre système d'exploitation et votre logiciel antivirus à jour.
Pour la navigation à haut risque, envisagez de désactiver JavaScript sur les sites inconnus ou d'utiliser un navigateur dédié et isolé. Si vous utilisez un smartphone, n'envoyez jamais de SMS pour vérifier votre identité - les CAPTCHA légitimes n'ouvriront jamais votre application de messagerie pour envoyer des textes premium.
L'escroquerie des faux CAPTCHA est brillamment trompeuse parce qu'elle retourne contre vous vos propres habitudes en matière de sécurité. Vous êtes conditionné à cliquer sur des boutons pour prouver que vous êtes humain, ce qui rend la demande routinière et inoffensive.
Cette attaque exploite le comportement humain habituel. Les pirates ont besoin que vous exécutiez manuellement leur code, c'est pourquoi ils déguisent la charge utile en étape de vérification standard.
Si un site web vous demande d'appuyer sur la touche Windows ou de coller une commande pour prouver que vous êtes un être humain, fermez immédiatement l'onglet.
Questions fréquemment posées
Mon antivirus peut-il bloquer un faux CAPTCHA ?
Votre antivirus peut détecter le logiciel malveillant après son téléchargement, mais il ne peut pas vous empêcher de coller et d'exécuter manuellement la commande malveillante.
Le fait de cliquer sur le bouton de vérification installe-t-il le logiciel malveillant ?
Cliquer sur le bouton ne fait que copier le code malveillant dans votre presse-papiers ; l'infection réelle se produit lorsque vous collez la commande et appuyez sur Entrée.
Les faux CAPTCHA ne sont-ils dangereux que sur les ordinateurs Windows ?
Alors que la fausse boîte de dialogue CAPTCHA exécutée par Windows cible les PC, les variantes mobiles de cette escroquerie incitent les utilisateurs à envoyer des messages textuels surtaxés.
Comment les pirates cachent-ils la commande malveillante ?
La fausse page CAPTCHA copie silencieusement le code dans votre presse-papiers, de sorte que lorsque vous le collez dans l'invite Run, vous l'exécutez sans le lire.
Adam Collins est chercheur en cybersécurité chez ScamAdviser et travaille sous un pseudonyme pour des raisons de confidentialité et de sécurité. Depuis plus de quatre ans sur le front numérique, il se spécialise dans la traduction de menaces complexes en conseils exploitables. Sa mission : révéler les signaux d'alarme pour que vous puissiez naviguer en toute confiance sur le web.
