L’attaque ClickFix est devenue en 2026 la première technique de diffusion de logiciels malveillants, devant le phishing par pièce jointe. Son principe est redoutablement simple : convaincre l’utilisateur de copier-coller lui-même une commande dans son terminal ou dans la boîte Exécuter de Windows. Aucune faille logicielle n’est exploitée — c’est l’humain qui lance le code. Pour une PME ou une ETI, comprendre et bloquer l’attaque ClickFix est aujourd’hui une priorité défensive concrète.
Qu’est-ce qu’une attaque ClickFix ?
Une attaque ClickFix affiche une fausse page de vérification, un faux message d’erreur ou un faux CAPTCHA qui demande à la victime de « corriger un problème ». Les instructions ressemblent à celles d’un support technique légitime :
- « Appuyez sur Windows + R, collez ce code, puis Entrée pour vérifier que vous n’êtes pas un robot. »
- « Votre document ne s’affiche pas ? Ouvrez le Terminal et exécutez cette commande. »
La commande copiée déclenche en réalité le téléchargement d’un infostealer ou d’un cheval de Troie (AsyncRAT, PureLogs, StealC…). Les campagnes récentes s’adaptent même au système d’exploitation de la victime : PowerShell sous Windows, un script shell sous macOS ou Linux. Le message piégé peut arriver par e-mail, via un faux site cloné ou par des résultats de recherche empoisonnés (SEO poisoning).
Pourquoi l’attaque ClickFix contourne vos défenses
Le point fort de cette technique est qu’elle transforme l’utilisateur en exécutant. Les protections classiques sont contournées :
- Aucune pièce jointe malveillante : la passerelle e-mail ne voit qu’un lien ou du texte.
- La commande est lancée manuellement, donc elle hérite des droits de l’utilisateur et paraît légitime aux yeux de nombreux antivirus.
- Le code initial est souvent une simple ligne qui va chercher la charge finale en ligne, ce qui limite les signatures détectables.
C’est la même logique que celle des infostealers Amadey et StealC : voler des identifiants avant de laisser entrer un ransomware.
Comment bloquer une attaque ClickFix en PME-ETI
Voici une checklist concrète pour réduire drastiquement le risque d’attaque ClickFix dans votre organisation.
1. Neutraliser la boîte Exécuter et PowerShell
- Restreignez la boîte de dialogue Windows + R via une stratégie de groupe (GPO) pour les postes qui n’en ont pas besoin.
- Activez PowerShell en mode Constrained Language et le journal de blocs de scripts (Script Block Logging) pour tracer toute commande suspecte.
- Bloquez l’exécution de scripts non signés via AppLocker ou Windows Defender Application Control.
2. Former les équipes au bon réflexe
La règle à marteler est simple : aucun site web légitime ne vous demandera jamais de coller une commande dans un terminal ou dans Exécuter. Un vrai CAPTCHA se clique, il ne se copie-colle pas. Intégrez un exemple de ClickFix dans vos campagnes de sensibilisation au phishing.
3. Surveiller les exécutions suspectes
- Alertez sur tout lancement de
powershell.exeoucmd.exeayant pour processus parent un navigateur. - Surveillez les commandes contenant
curl,Invoke-WebRequest,mshtaou du texte encodé en Base64. - Un SIEM comme Wazuh ou une solution EDR détecte ces chaînes d’exécution anormales en temps réel.
4. Verrouiller le poste de travail
Appliquez le moindre privilège : un utilisateur standard ne doit pas pouvoir installer de logiciel. Complétez avec le filtrage DNS pour couper l’accès aux domaines de téléchargement de charges malveillantes, dans la même logique que la sécurisation des extensions de navigateur.
Que faire en cas d’attaque ClickFix réussie
Si un collaborateur a exécuté une commande suspecte, agissez vite :
- Isolez le poste du réseau immédiatement.
- Réinitialisez les mots de passe et révoquez les sessions actives, car un infostealer aura probablement exfiltré les identifiants enregistrés.
- Recherchez les mécanismes de persistance (tâches planifiées, clés de registre Run) et analysez le trafic sortant.
Conclusion
L’attaque ClickFix prouve que la meilleure faille reste l’utilisateur pressé. Sa parade est un mélange de durcissement technique — restriction de PowerShell et de la boîte Exécuter, moindre privilège, journalisation — et de réflexe humain : ne jamais coller une commande dictée par un site web. En combinant sensibilisation et détection, une PME-ETI transforme sa surface d’attaque la plus vulnérable en première ligne de défense.