« Confirmez que vous n'êtes pas un robot » : le piège des faux CAPTCHA

Une adjointe cherche une fiche technique pour terminer une soumission. Elle trouve le bon site, celui d'un fournisseur qu'elle connaît. Avant le document, une vérification apparaît : « Confirmez que vous n'êtes pas un robot. »

Le logo est familier. La présentation est soignée. Elle coche la case.

Une deuxième étape s'affiche. Pour terminer la vérification, elle doit appuyer sur trois touches — Windows, R, puis Ctrl-V — et sur Entrée. Le site présente ça comme une formalité. Elle veut son document. Elle le fait.

Une petite fenêtre noire s'ouvre et se referme. Rien d'autre ne se passe. Le PDF s'affiche. Elle termine sa soumission et passe au dossier suivant.

Trois semaines plus tard, quelqu'un se connecte au portail de la paie avec ses identifiants. Puis à sa banque, avec le mot de passe enregistré dans son navigateur. Puis à Microsoft 365 — sans même avoir besoin de son code d'authentification, parce que la session de son navigateur avait été copiée elle aussi.

Son ordinateur n'a jamais ralenti. Aucun avertissement n'est apparu. L'antivirus n'a rien dit.

Elle n'a rien fait de stupide. Elle a fait exactement ce qu'une page crédible lui a demandé, pendant une journée de travail normale, pour obtenir un document dont elle avait besoin.

La seule règle à retenir

Une page Web, un courriel ou une conversation Teams vous demande d'ouvrir une fenêtre sur votre ordinateur et d'y coller quelque chose? Arrêtez-vous. Personne de légitime ne demande ça.

Pas Google, pas Cloudflare, pas Microsoft, pas votre service informatique. Aucune vérification de sécurité réelle ne vous fait sortir du navigateur pour exécuter une commande.

Vous n'avez pas à comprendre ce que fait la commande. Vous n'avez pas à juger si elle a l'air inoffensive. Le simple fait qu'on vous demande cette manipulation suffit pour fermer la page et écrire au soutien TI.

Ce qui se passe vraiment, en trente secondes

Quand vous cochez la case, la page glisse discrètement un texte dans votre presse-papiers — l'endroit où va ce que vous copiez. Vous ne le voyez pas.

Puis elle vous dit d'ouvrir la fenêtre Exécuter, PowerShell ou Terminal, et de coller. Ce que vous collez n'est pas un code de vérification. C'est une instruction complète que votre ordinateur exécute dès que vous appuyez sur Entrée.

Et parce que c'est vous qui avez appuyé sur Entrée, rien ne se déclenche. Pas d'avertissement de téléchargement, pas de fenêtre « ce fichier pourrait être dangereux », pas d'alerte antivirus au premier stade. Le système considère que vous savez ce que vous faites.

C'est ce que les spécialistes appellent ClickFix. Ce n'est pas un virus : c'est une façon de vous faire lancer le virus vous-même.

Il ne ressemble plus toujours à un CAPTCHA

La case à cocher a été la première forme. En 2026, le même piège se présente de plusieurs façons, et certaines sont bien plus crédibles.

Sur un site que vous connaissez. Le centre australien de cybersécurité a documenté en mai des attaques utilisant les sites Web de véritables entreprises — compromis à leur insu — pour glisser la fausse vérification dans une visite parfaitement normale. L'adresse dans la barre est la bonne. Le site est le bon. Seule la vérification est fausse.

Dans une conversation Teams. Depuis le printemps, des attaquants contactent des employés directement dans Microsoft Teams, depuis l'extérieur de l'organisation, en se présentant comme le service d'assistance. Ils décrivent un problème sur votre poste et vous guident : ouvrez PowerShell, collez ceci, appuyez sur Entrée. Dans les cas étudiés, la conversation a mené à un accès permanent à l'ordinateur en moins de cinq minutes. Retenez ceci : votre vrai service TI ne vous contactera jamais par un compte externe à l'entreprise.

Dans une procédure d'installation d'un outil d'IA. Vous voulez essayer un assistant d'IA dont un collègue a parlé. Vous cherchez comment l'installer. Le premier résultat — une annonce — vous donne une commande à coller dans Terminal ou PowerShell. La commande installe autre chose. Cette variante est en forte croissance parce qu'elle vise des gens qui veulent justement installer quelque chose.

Dans un navigateur qui semble planter. Une page fait délibérément geler ou planter votre navigateur, puis vous propose de « réparer » le problème en exécutant une commande. Le problème était le piège.

Sur Mac aussi. Les campagnes visant macOS demandent d'ouvrir Terminal plutôt que PowerShell, et distribuent des voleurs d'information conçus pour Mac. Apple a réagi au printemps en ajoutant une protection qui analyse les commandes collées dans Terminal et avertit l'utilisateur. Les attaquants ont contourné en quelques semaines en déplaçant la manipulation vers une autre application. La leçon vaut pour tous les appareils : la protection technique aide, mais c'est votre réflexe qui décide.

Dans tous ces cas, la règle ne change pas : on vous demande de sortir de votre navigateur ou de votre conversation pour exécuter quelque chose. C'est le signal.

Pourquoi vos protections n'ont rien vu

C'est légitime de se demander à quoi servent l'antivirus et le filtrage Web si un piège comme celui-là passe.

D'abord, il n'y a souvent rien à télécharger. La commande que vous collez va chercher la suite elle-même, une fois exécutée. Il n'y a pas de fichier suspect qui arrive dans votre dossier de téléchargements.

Ensuite, les pages piégées savent se cacher. Microsoft a documenté en août une campagne dont les pages vérifiaient d'abord si le visiteur ressemblait à un vrai humain sur un vrai ordinateur — et n'affichaient le piège qu'à ceux-là. Quand un outil de sécurité automatisé regardait la page, elle était propre. Quand vous la regardiez, elle ne l'était pas.

Enfin, le logiciel qui s'installe est conçu pour être discret. Le voleur d'information le plus répandu dans ces campagnes efface son propre fichier après s'être lancé et fonctionne uniquement en mémoire. Votre ordinateur continue de fonctionner normalement — parce que le programme n'a aucun intérêt à ce que vous le remarquiez.

Ce qu'il emporte : vos mots de passe enregistrés dans le navigateur, vos sessions ouvertes, l'accès à vos portefeuilles numériques si vous en avez, et des renseignements sur votre système. Les sessions ouvertes sont le plus grave : elles permettent parfois à l'attaquant de se connecter à vos comptes sans mot de passe et sans votre code d'authentification, en réutilisant simplement votre session déjà validée.

Vous avez vu la page, mais vous n'avez rien exécuté

Fermez-la. Écrivez au soutien TI en indiquant l'adresse du site et ce que vous avez fait exactement : coché une case, saisi un mot de passe, téléchargé quelque chose, ou rien du tout.

Ne collez pas le contenu de votre presse-papiers quelque part « pour voir ce que c'est ». Coller dans un document Word ou un bloc-notes est sans danger; coller dans une fenêtre de commande ne l'est pas, et la différence n'est pas toujours évidente sous pression.

Avoir vu la page ne veut pas dire que vous êtes infecté. Mais les détails que vous donnez permettent aux TI de choisir les bonnes vérifications.

Vous avez collé la commande et appuyé sur Entrée

Signalez-le maintenant. Pas demain, pas après avoir fini le dossier en cours. Une réaction dans les minutes qui suivent change complètement ce que les TI peuvent encore faire.

Cessez d'utiliser le poste et contactez le soutien depuis un autre appareil — votre téléphone, un collègue — avec les coordonnées habituelles.
Débranchez-le du réseau : câble et Wi-Fi. Ou demandez aux TI de l'isoler immédiatement.
Ne redémarrez pas, ne nettoyez rien, n'effacez pas l'historique. Ce qui reste sur la machine aide à comprendre ce qui s'est passé.
Notez l'heure, la page ou la conversation, et ce que vous avez fait. Si un courriel ou un message a mené à la page, conservez-le sans rouvrir le lien.
Ne changez pas vos mots de passe depuis ce poste. Le voleur d'information pourrait encore être en train de regarder. Les TI vous diront depuis quel appareil le faire.

Vous n'êtes pas certain d'avoir appuyé sur Entrée? Signalez cette incertitude telle quelle. N'essayez pas de reproduire la manipulation pour vérifier.

Et une chose que le service TI doit entendre clairement : la personne qui signale une erreur dans les cinq minutes a probablement sauvé l'entreprise d'un incident. Elle ne mérite pas un soupir. Elle mérite un merci.

Pour le dirigeant qui transfère cet article

Cinq lignes, pas plus.

Transférez cet article à toute l'équipe, pas seulement aux « personnes à risque ». L'adjointe de l'histoire cherchait une fiche technique. Tout le monde cherche des documents.
Demandez à votre TI de restreindre les conversations Teams provenant de l'extérieur à une liste d'organisations approuvées. C'est un réglage, pas un projet, et il ferme la porte à la variante la plus efficace.
Assurez-vous qu'une surveillance des postes est en place et que quelqu'un — à l'interne ou chez votre fournisseur — peut isoler une machine rapidement. Sans ça, l'employé qui signale bien n'obtient rien.
Vérifiez que le filtrage Web et courriel est actif, en sachant qu'il n'attrapera pas tout. La formation n'est pas un complément; c'est la première ligne.
Donnez à vos employés la permission explicite de s'arrêter, même quand le document est urgent et le client attend. C'est la seule protection qui fonctionne dans tous les cas décrits ici.

Le mot de la fin

L'adjointe de notre histoire voulait terminer sa soumission. C'est un objectif parfaitement raisonnable, et le piège compte là-dessus : il se place entre vous et ce que vous essayez de faire, puis vous offre un raccourci.

Le raccourci a l'air d'une formalité. Trois touches, Entrée, et le document apparaît.

Il faut savoir qu'à ce moment précis, s'arrêter est le bon geste — même si ça retarde le dossier de dix minutes. Ces dix minutes coûtent bien moins cher que ce qui suit si on continue.

Une vérification vous demande de coller quelque chose sur votre ordinateur? Arrêtez-vous. Écrivez au soutien. Et si vous l'avez déjà fait, écrivez quand même — tout de suite.

Un projet TI ou une question?

MMO Techno peut vous accompagner dans la sensibilisation aux faux CAPTCHA, la vérification des protections de vos postes et la préparation des réflexes de signalement et d'intervention.

Parlez à un expert MMO Techno .