Qu'est-ce que ClickFix (et FileFix) ?

Vous cliquez sur « Je ne suis pas un robot », mais au lieu d'une coche verte, un message d'erreur vous invite à effectuer une brève vérification manuelle. À votre insu, le code JavaScript exécuté sur cette page a déjà copié une commande malveillante cachée directement dans le presse-papiers de votre ordinateur. Le message vous invite à ouvrir la boîte de dialogue « Exécuter » de Windows, à coller le texte et à appuyer sur Entrée pour « résoudre » le problème.

C'est là le mécanisme à l'origine de ClickFix, une technique d'ingénierie sociale dangereuse qui s'est répandue comme une traînée de poudre dans le paysage des menaces au cours des deux dernières années. Avec sa variante plus récente et encore plus furtive, baptisée FileFix, ce vecteur a bouleversé les modèles de défense traditionnels.

Ce qui rend une attaque de type ClickFix particulièrement frustrante pour les équipes de sécurité, c'est l'absence totale d'indicateurs de compromission classiques. Il n'y a aucun fichier malveillant à intercepter, aucune vulnérabilité logicielle exploitée, ni aucun mot de passe piraté.

Qu'est-ce que ClickFix dans le domaine de la cybersécurité ?

ClickFix est une technique d'ingénierie sociale sans fichier dans laquelle une page Web compromise ou malveillante affiche à l'utilisateur un message d'erreur trompeur, un faux CAPTCHA ou une invite de vérification.

Les chercheurs en sécurité ont documenté pour la première fois cette technique spécifique en 2024. Elle est issue d’un précurseur plus ancien et plus rudimentaire, connu sous le nom de « ClearFix », dont la présence remonte à octobre 2023. Le nom « ClickFix » n’est pas une désignation officielle de l’industrie, mais il est rapidement devenu le terme par défaut utilisé dans l’ensemble du secteur de la cybersécurité, à mesure que cette menace gagnait en popularité tout au long des années 2024 et 2025.

Cette astuce psychologique repose entièrement sur les habitudes des utilisateurs. Les gens sont parfaitement habitués à cocher des cases de validation et à résoudre eux-mêmes les petites erreurs de navigateur pour accéder au contenu qui les intéresse vraiment. ClickFix tire parti de ce réflexe précis en proposant une solution immédiate à un obstacle technique artificiellement créé.

Pourquoi ClickFix contourne-t-il les outils de sécurité traditionnels ?

Les systèmes de défense standard des entreprises sont conçus pour détecter les charges utiles malveillantes qui pénètrent dans le périmètre du réseau. ClickFix contourne sans peine ces architectures grâce à plusieurs avantages opérationnels distincts :

• Les passerelles de messagerie sécurisées, les moteurs antivirus statiques et de nombreuses plateformes de détection et de réponse au niveau des terminaux n’ont absolument rien à analyser, car aucun fichier exécutable n’est en réalité téléchargé ou joint lors de la phase initiale de compromission
• La commande de presse-papiers détournée exploite des utilitaires système fiables et préinstallés, tels que PowerShell, l'invite de commande Windows ou le Terminal macOS, pour mener à bien ses tâches. En effet, les administrateurs informatiques utilisent précisément ces outils au quotidien pour effectuer des opérations légitimes.
• L'authentification multifactorielle (MFA) est conçue pour sécuriser l'accès à l'identité pendant une session de connexion. Une attaque de type « ClickFix » cible la session active du terminal juste après l'authentification ; par conséquent, même les politiques MFA les plus rigoureuses ne peuvent empêcher son exécution.

Comment fonctionne une attaque « ClickFix », étape par étape ?

Une campagne ClickFix active se déroule généralement en cinq phases tactiques distinctes :

Étape 1 : L'appât

L'acteur malveillant prend le contrôle d'un site web légitime (souvent en piratant des sites WordPress mal sécurisés ou des réseaux publicitaires) ou met en place un domaine malveillant dédié. Il recourt souvent au typosquatting ou à la publicité malveillante pour attirer du trafic naturel vers ces sites. Afin de renforcer au maximum leur crédibilité, ces pages imitent fidèlement des marques d'entreprise de confiance telles que Microsoft, Cloudflare ou Booking.com.

Étape 2 : La fausse vérification

Lorsqu'un utilisateur accède à la page, le pirate utilise une fenêtre superposée pour masquer le contenu attendu. L'utilisateur se retrouve alors face à une fausse fenêtre CAPTCHA très réaliste, à une fausse alerte indiquant qu'une « mise à jour du navigateur est nécessaire », ou à une erreur de chargement de document comportant un bouton bien visible « Corriger » ou « Vérifier ».

Étape 3 : Le détournement du presse-papiers

Dès que la victime clique sur ce bouton, un extrait de code JavaScript caché s'exécute en arrière-plan. Ce script remplace automatiquement le contenu du presse-papiers de l'utilisateur par une chaîne de commande malveillante fortement obscurcie. Cette modification du presse-papiers s'effectue de manière silencieuse, sans confirmation visible.

Étape 4 : Les instructions

La page Web affiche immédiatement un écran d'instructions. Elle guide la victime à travers une séquence précise de raccourcis clavier : appuyer sur Win + R pour ouvrir la boîte de dialogue « Exécuter » de Windows, appuyer sur Ctrl + V pour coller le contenu copié, puis appuyer sur Entrée. La page présente cette séquence comme une correction manuelle nécessaire pour résoudre l'erreur de chargement.

Étape 5 : Exécution et transmission de la charge utile

Dès que l'utilisateur appuie sur la touche Entrée, le système d'exploitation exécute la commande cachée du presse-papiers. Cela déclenche généralement une connexion silencieuse en arrière-plan vers un serveur distant afin de télécharger et d'installer un logiciel malveillant spécialisé. Le navigateur lui-même ne gère jamais de lien explicite de téléchargement de fichier, ce qui rend les filtres Web au niveau du navigateur totalement incapables de détecter l'installation.

Qu'est-ce que FileFix et comment cette attaque évolue-t-elle ?

Lorsque les centres opérationnels de sécurité (SOC) des entreprises ont commencé à surveiller et à restreindre l'utilisation de la boîte de dialogue « Exécuter » de Windows, les pirates ont rapidement modifié leur approche. Le 23 juin 2025, le chercheur en sécurité mr.d0x a rendu publique une nouvelle variante plus discrète , baptisée « FileFix ».

Au lieu de contraindre les utilisateurs à utiliser des fenêtres de commande administratives, une attaque de type « FileFix » affiche un bouton « Télécharger un fichier » d’apparence normale sur une page Web. Cliquer sur ce bouton ouvre une fenêtre légitime et native de l’Explorateur de fichiers Windows. La page d’instructions invite ensuite l’utilisateur à cliquer dans la barre d’adresse de l’Explorateur de fichiers située en haut de la fenêtre, à y coller le contenu du presse-papiers (déguisé en chemin d’accès à un fichier) et à appuyer sur Entrée.

Cette variante est nettement plus dangereuse pour deux raisons. Premièrement, les employés lambda d'une entreprise trouvent l'Explorateur de fichiers bien plus familier et moins inquiétant que la boîte de dialogue « Exécuter », qui a un aspect technique. Deuxièmement, l'Explorateur de fichiers est profondément intégré aux opérations de base du bureau, ce qui rend difficile son verrouillage par les équipes informatiques via les contrôles traditionnels de la stratégie de groupe (GPO), contrairement aux utilitaires de commande administratifs.

Chronologie des attaques : comment les cybercriminels ont exploité FileFix

Les groupes malveillants ont mis en œuvre ces nouvelles découvertes à une vitesse alarmante. Check Point Research a repéré, dès le 6 juillet 2025, des acteurs malveillants testant le code FileFix au sein d’une infrastructure de phishing active, soit moins de deux semaines après la divulgation publique initiale. À la mi-juillet 2025, le rapport DFIR a fait état d’une campagne active (suivie sous le nom de « KongTuke ») utilisant FileFix pour diffuser une variante avancée du cheval de Troie d’accès à distance (RAT) Interlock. En septembre 2025, les chercheurs ont découvert des variantes modifiées de FileFix intégrant la stéganographie, dissimulant entièrement des charges utiles malveillantes à l’intérieur de fichiers image inoffensifs, hébergés sur des sites de phishing multilingues afin de diffuser discrètement le malware StealC.

Cas d'utilisation de ClickFix

ClickFix est passé du statut de technique expérimentale de cybercriminalité à celui d’outil de déploiement privilégié par des groupes malveillants hautement sophistiqués. En l’espace de 90 jours seulement, entre octobre 2024 et janvier 2025, quatre acteurs malveillants majeurs liés à des États ont intégré ClickFix à leurs opérations de cyberespionnage en cours : l’APT28 russe, le groupe nord-coréen Kimsuky, le groupe iranien MuddyWater et le groupe COLDRIVER, lié à la Russie. L'APT36 pakistanais a emboîté le pas peu après, en mai 2025. Plutôt que de mettre en place des opérations entières à partir de zéro, ces menaces persistantes avancées (APT) ont intégré ClickFix à leurs infrastructures de hameçonnage existantes.

Plusieurs campagnes marquantes illustrent la grande diversité de ces opérations :

• Le leurre Google Sheets d'APT28 : ce groupe a utilisé une fausse page Google Sheets très réaliste pour amener les victimes à cliquer sur une invite reCAPTCHA. En cliquant sur la case, un tunnel SSH chiffré s'établissait à l'insu de l'utilisateur et Metasploit était déployé directement sur le réseau cible, offrant ainsi aux attaquants un accès permanent via une porte dérobée.
• La campagne « Patch Tuesday » de MuddyWater : Opérant sous le nom de code TA450, ce groupe a orchestré des vagues massives d’hameçonnage, explicitement programmées pour coïncider avec le calendrier mensuel des mises à jour de sécurité (« Patch Tuesday ») de Microsoft. Les e-mails se faisaient passer pour des alertes urgentes concernant des mises à jour de sécurité Windows et ont réussi à cibler au moins 39 organisations de premier plan à travers le Moyen-Orient.
• Storm-1865 Hospitality Wave : cet acteur s'est systématiquement fait passer pour des communications automatisées de Booking.com afin de cibler le personnel administratif des hôtels et du secteur du voyage, dans le but de collecter les identifiants des employés.
• Violation de la chaîne d'approvisionnement automobile : en mars 2025, la compromission d'un seul fournisseur tiers, LES Automotive, a entraîné l'injection simultanée de scripts d'infection ClickFix sur plus de 100 sites web de concessionnaires automobiles différents.
• Conséquences des attaques par ransomware : le groupe de ransomware Interlock a également recours à ClickFix pour obtenir un accès initial ; on recense notamment un incident survenu en août 2025 et ayant touché une administration d'État ou locale américaine.

Comment le logiciel malveillant ClickFix a-t-il évolué ?

La barrière technique à la mise en œuvre de cette attaque s’est considérablement abaissée. Des kits commerciaux de type « ClickFix builder » sont désormais largement achetés et vendus sur les forums clandestins de piratage, permettant ainsi à des cybercriminels peu expérimentés de lancer des campagnes sur mesure. De plus, l’attaque ne se limite plus strictement aux systèmes Windows ; des variantes récentes ont élargi leur champ d’action pour cibler les utilisateurs de macOS via des commandes Terminal encodées en base64, ainsi que les environnements d’entreprise sous Linux. Des équipes indépendantes de veille sur les menaces, notamment Recorded Future et le Center for Internet Security, ont signalé que ClickFix restait l’une des techniques d’accès initial les plus actives en 2026, avec l’apparition continue de nouveaux thèmes d’appât (parmi lesquels de fausses invitations à des réunions et des messages de mise à jour logicielle).

La diversité des charges utiles finales diffusées par ces moyens recouvre un large éventail de types de logiciels malveillants dangereux :

Parmi ces charges utiles, Lumma Stealer reste la plus répandue. Microsoft a identifié plus de 394 000 appareils Windows infectés à l’échelle mondiale au cours d’une brève période de deux mois, entre mars et mai 2025. Bien qu’une opération policière de grande envergure impliquant Microsoft, Europol, le FBI et le ministère américain de la Justice (DOJ) ait permis de démanteler avec succès cette infrastructure de manière coordonnée, certaines parties du backend de Lumma ont réussi à se rétablir et à reprendre leurs activités en l’espace de quelques semaines seulement.

Quels sont les chiffres clés de ClickFix et FileFix ?

Les indicateurs quantitatifs relatifs à ces campagnes sans fichier montrent pourquoi elles sont devenues une urgence à l'échelle du secteur :

• 517 %: La forte augmentation des détections de ClickFix enregistrées par ESET au premier semestre 2025 par rapport au second semestre 2024. Cette croissance explosive en a fait le deuxième vecteur d'attaque initial le plus répandu au monde, juste derrière le phishing traditionnel.
• 8 %: Proportion totale, parmi l'ensemble des attaques Web mondiales bloquées par la télémétrie, de celles qui sont explicitement déclenchées par des scripts ClickFix.
• 47 %: Pourcentage de toutes les notifications d’accès initial émises par l’équipe de recherche de menaces « Defender Experts » de Microsoft, directement attribuées à des vecteurs ClickFix sur une période de 12 mois.
• 54 %: Pourcentage de victimes de ransomware dont les identifiants de domaine d’entreprise ont été mis en vente sur des marchés de données volées avant même que le chiffrement n’ait lieu, selon le rapport 2025 Data Breach Investigations Report (DBIR) de Verizon.

Ce dernier indicateur met en évidence le dangereux enchaînement entre le vol d’identifiants et le ransomware. Le délai médian entre le moment où un employé se fait voler ses identifiants par un programme de vol d’informations et celui où un groupe malveillant déploie un ransomware sur le réseau de l’entreprise n’est actuellement que de deux jours. Étant donné que ClickFix et FileFix comptent parmi les principaux mécanismes de diffusion alimentant ces marchés d’identifiants, il est essentiel de mettre fin à ces interactions initiales pour éviter un déploiement catastrophique de ransomware.

Comment repérer une tentative de « ClickFix » ou de « FileFix » ?

Les employés de l'entreprise constituent la première ligne de défense contre cette menace. Pour protéger votre terminal, vérifiez toute demande inhabituelle sur le Web à l'aide de cette liste de contrôle de sécurité :

• Un site web fiable ne vous demandera jamais d'ouvrir la boîte de dialogue « Exécuter » de Windows, un terminal ou la barre d'adresse de l'Explorateur de fichiers pour « vérifier » votre identité ou corriger une erreur de navigateur.
• Méfiez-vous de tout CAPTCHA ou message d'erreur vous invitant à appuyer sur des combinaisons de touches telles que Win + R, Cmd + Espace ou Ctrl + V.
• Si vous collez quelque chose et que vous obtenez une longue chaîne de code que vous n'avez jamais copiée, cela signifie que votre presse-papiers a été piraté. Ne collez ni n'exécutez ce contenu nulle part.
• Les outils de sécurité standard fonctionnent entièrement dans l'onglet actif de votre navigateur. Ils ne vous obligeront jamais à quitter le navigateur Web ni à interagir avec un logiciel de bureau externe.

Si jamais vous tombez sur un lien inconnu ou suspect lors de votre navigation ou dans un message, vous pouvez vérifier sa fiabilité à l'aide d'un outil gratuit dédié à la vérification des liens avant d'interagir avec celui-ci.

Comment les équipes informatiques peuvent-elles se protéger contre ClickFix et FileFix ?

Étant donné que ces attaques exploitent des comportements légitimes du système plutôt que de recourir à des exploits traditionnels, leur prévention nécessite un modèle de sécurité à plusieurs niveaux.

1. Limiter et surveiller les interfaces à haut risque

Les équipes d'ingénierie informatique doivent mettre en place des contrôles restrictifs via les stratégies de groupe (GPO) afin de bloquer l'accès aux interfaces de commande administratives, telles que la boîte de dialogue « Exécuter » (cmd.exe) et l'exécution native de PowerShell, pour les utilisateurs standard non administrateurs, dans la mesure où cela est opérationnellement possible. Lorsque des restrictions totales ne sont pas envisageables, l'infrastructure de surveillance doit être configurée pour signaler les anomalies au sein des clés de registre RunMRU, consigner tous les changements rapides du contenu du presse-papiers et imposer une journalisation exhaustive du blocage des scripts PowerShell.

2. Une architecture de détection des mouvements qui va au-delà du fichier

L'analyse statique traditionnelle des fichiers s'avérant inefficace face aux logiciels malveillants sans fichier, les équipes de sécurité doivent désormais examiner l'ensemble de la chaîne comportementale. Les solutions de sécurité doivent associer des filtres Web périmétriques avancés, capables d'analyser les structures HTML/URL entrantes, à des outils d'analyse comportementale des terminaux, capables d'identifier la signature distinctive d'un processus de navigateur injectant des commandes dans les outils système.

3. Bloquer le vecteur d'attaque initial du phishing

Bien que l'interaction avec ClickFix se déroule sur le Web, le lien initial est largement diffusé par le biais d'e-mails de hameçonnage ciblés ou de publicités malveillantes qui usurpent l'identité de marques d'entreprise de confiance ou de domaines internes d'entreprises. Selon des rapports du Center for Internet Security (CIS) et du Multi-State Information Sharing and Analysis Center (MS-ISAC), les organismes du secteur public reçoivent fréquemment des tentatives de hameçonnage utilisant des sous-domaines détournés de services de confiance (tels que trycloudflare.com ou r2.dev) afin de contourner les filtres de messagerie standard et de rediriger les victimes vers de faux écrans CAPTCHA.

L'application de protocoles d'authentification de domaine tels que le DMARC (Domain-based Message Authentication, Reporting, and Conformance) avec une politique stricte de type « p=reject » réduit considérablement la capacité des acteurs malveillants à usurper le domaine de votre organisation lors de l'envoi de ces premiers leurres de hameçonnage. Il est important d’être très précis sur ce point : DMARC est un mécanisme de vérification d’identité et de protection de la marque, et non une solution directe pour l’exécution sur les terminaux. Il ne peut pas empêcher un employé de coller du code dans un terminal une fois qu’il se trouve déjà sur un site malveillant, mais il réduit considérablement la capacité de l’attaquant à envoyer des e-mails hautement convaincants utilisant un domaine usurpé, qui constituent le point de départ de la chaîne d’attaque.

4. Proposer une formation des utilisateurs adaptée au contexte

Les formations génériques à la sécurité d'entreprise qui se contentent de conseiller aux employés de « ne pas cliquer sur des liens suspects » sont totalement inefficaces face aux techniques visuelles spécifiques utilisées par ClickFix. Les entreprises doivent mettre en place des exercices de formation courts et ciblés, entièrement axés sur ce cycle opérationnel. Le message à retenir doit être clair et concret : si un site web vous demande de coller du texte dans la fenêtre « Exécuter » de Windows ou dans la barre d'adresse de l'Explorateur de fichiers, arrêtez-vous immédiatement et signalez-le au service informatique.

5. Privilégier le signalement plutôt que la résolution par soi-même

ClickFix tire activement parti de la tendance naturelle des utilisateurs à vouloir résoudre eux-mêmes les petits problèmes techniques sans faire appel au service d'assistance. Les équipes de sécurité doivent délibérément lutter contre ce comportement en mettant en place des procédures de signalement claires et simples. Les employés doivent savoir que signaler une demande de vérification inhabituelle est la démarche attendue et la plus sûre.

Conclusion : garantir la dimension humaine

ClickFix et FileFix marquent un tournant hautement stratégique dans la cybercriminalité moderne. Ces campagnes ne perdent pas de temps à rechercher des failles logicielles « zero-day » complexes ; elles ciblent au contraire une vulnérabilité bien plus simple : le réflexe naturel de l'être humain de cliquer rapidement pour contourner une interruption technique mineure. Cette simple exploitation comportementale s'est révélée si efficace qu'elle est désormais activement déployée tant par des cybercriminels opportunistes que par des réseaux de renseignement étatiques sophistiqués.

Pour contrer cette menace, il faut mettre en place une défense équilibrée et à plusieurs niveaux. Les entreprises doivent associer une surveillance proactive des terminaux, une formation spécifique sur le comportement des employés et des contrôles techniques d'authentification afin de bloquer les canaux de diffusion initiaux.

En mettant en place une authentification stricte des domaines, vous pouvez bloquer totalement les e-mails non autorisés envoyés depuis les domaines de votre entreprise. Prenez le contrôle de votre périmètre de messagerie et protégez l'image de marque de votre entreprise. Utilisez la plateforme de sécurité de domaine PowerDMARC pour analyser votre écosystème de messagerie et mettre en place dès aujourd’hui une défense active contre les réseaux de diffusion de hameçonnage.

Foire aux questions

Qu'est-ce que ClickFix dans le domaine de la cybersécurité ?

ClickFix est une technique d'ingénierie sociale sans fichier dans laquelle des sites web compromis affichent de faux CAPTCHA ou de faux messages d'erreur du navigateur. Lorsqu'un utilisateur clique sur l'invite, un script JavaScript s'exécutant en arrière-plan copie une commande malveillante dans son presse-papiers, puis des instructions l'incitent à la coller manuellement et à l'exécuter à l'aide d'outils système de confiance, tels que la boîte de dialogue « Exécuter » de Windows.

Quelle est la différence entre ClickFix et FileFix ?

ClickFix incite les victimes à coller des commandes malveillantes provenant du presse-papiers directement dans des utilitaires système administratifs, tels que la boîte de dialogue « Exécuter » de Windows ou le Terminal de macOS. FileFix est une variante plus sophistiquée qui incite les utilisateurs à ouvrir une fenêtre standard de l'Explorateur de fichiers Windows et à coller la commande directement dans la barre d'adresse, une interface qui leur est plus familière et que les équipes informatiques ont plus de mal à restreindre.

Comment une attaque de type ClickFix parvient-elle à infecter un ordinateur sans fichier malveillant ?

Cette attaque évite totalement le téléchargement de fichiers lors de la phase initiale d'infection. Elle utilise du code JavaScript natif s'exécutant en arrière-plan pour détourner le presse-papiers du système de l'utilisateur. La victime colle ensuite manuellement ce code caché et l'exécute à l'aide d'utilitaires d'administration du système d'exploitation préinstallés et jugés fiables, une méthode connue sous le nom de « living off the land ».

Quels acteurs malveillants utilisent ClickFix et FileFix ?

Cette technique est largement utilisée dans le paysage des menaces. Elle a été adoptée tant par des groupes cybercriminels spécialisés dans le vol d’informations (diffusant des charges utiles telles que Lumma Stealer) que par des groupes d’espionnage étatiques hautement sophistiqués issus de plusieurs pays, notamment les groupes russes APT28 et COLDRIVER, le groupe nord-coréen Kimsuky, le groupe iranien MuddyWater et le groupe pakistanais APT36.

Un antivirus ou l'authentification multifactorielle (MFA) peuvent-ils empêcher une attaque de type ClickFix ?

Les logiciels antivirus statiques traditionnels ne parviennent souvent pas à détecter ClickFix, car aucun fichier malveillant n'est téléchargé lors de l'interaction initiale et ne peut donc être analysé. L'authentification multifactorielle (MFA) ne permet pas non plus d'empêcher une infection, car l'attaque cible directement le terminal actif plutôt que de tenter de détourner une session de connexion à une application web.

Comment savoir si un CAPTCHA ou une invite « Corrigez cela » correspond à une attaque ClickFix ?

Un véritable outil de vérification humaine, tel que Google reCAPTCHA, s'exécute entièrement dans l'onglet actif de votre navigateur et ne vous oblige jamais à ouvrir un logiciel externe sur votre bureau. Toute invite vous demandant d'utiliser des raccourcis clavier tels que Win + R, d'ouvrir la boîte de dialogue « Exécuter » ou de coller du texte dans la barre d'adresse de l'Explorateur de fichiers pour résoudre une erreur constitue une attaque de type ClickFix.

• À propos de
• Derniers messages

Milena Baghdasaryan

Spécialiste du contenu chez PowerDMARC

Milena est une rédactrice et créatrice de contenu qualifiée qui possède plus de 7 ans d'expérience dans la création de contenu attrayant sur les technologies de l'information, la cybersécurité, les événements virtuels, etc. Elle est diplômée d'institutions prestigieuses telles que la New York University Abu Dhabi, l'UWC China et le Collège d'Europe.

Derniers messages de Milena Baghdasaryan (voir tous)

• Qu'est-ce que ClickFix (et FileFix) ? - 8 juillet 2026
• Comment choisir un fournisseur de messagerie électronique : un cadre d'évaluation axé sur la sécurité - 1er juillet 2026
• Sécurité des e-mails en Amérique latine : état des lieux du DMARC et de l'authentification des e-mails en Amérique latine en 2026 - 30 juin 2026