Quatre noms différents
un seul mécanisme.
La technique repérée fin 2023 n’a pas disparu, elle s’est démultipliée sous d’autres noms, dont deux documentés par Microsoft en 2026. Son mécanisme, lui, n’a pas changé d’un millimètre, et une seule consigne suffit à s’en protéger.
Le mécanisme, en quatre temps
Il est resté identique depuis la première campagne observée fin 2023. Le comprendre une fois suffit pour reconnaître toutes les variantes à venir.
Aucune faille n’est exploitée. Aucune vulnérabilité à corriger, aucun correctif à appliquer. C’est une attaque qui vise la personne, pas la machine.
Pourquoi aucun antivirus ne l’arrête
C’est le point qui explique le succès de la méthode et son taux de progression.
Un outil de sécurité distingue difficilement une commande lancée volontairement par l’utilisateur d’une action légitime d’administration. Le geste est le même. La différence tient uniquement à l’intention, que la machine ne voit pas.
À cela s’ajoute la pression : le faux message annonce un problème, souvent avec une barre de progression bloquée. La personne agit vite, sans examiner ce qu’elle est en train de coller.
Les quatre variantes
Elles portent des noms différents et font la une à chaque publication. Ce qui les distingue tient en une ligne : l’endroit où l’on vous demande de coller.
La dernière est la plus préoccupante pour une entreprise : elle ne se contente pas de voler des données, elle installe un accès durable sur le poste et ouvre un passage vers le reste du réseau.
Trois ans de chronologie
Première apparition
La technique est repérée dans des campagnes marginales. Elle consiste à faire coller une commande dans la boîte Exécuter de Windows.
L’explosion
Les campagnes progressent de plus de 500 % sur l’année. La technique devient l’un des principaux modes d’accès initial aux réseaux d’entreprise.
La première variante
Un chercheur en sécurité démontre qu’on peut déplacer l’exécution vers la barre d’adresse de l’Explorateur de fichiers. Des campagnes réelles suivent en quelques semaines.
Les secteurs visés se précisent
Plusieurs éditeurs de sécurité documentent des campagnes ciblant en particulier la santé, l’automobile et l’hôtellerie.
Deuxième variante documentée
Microsoft décrit une évolution combinant une perturbation du navigateur et la manipulation, pour augmenter le taux d’exécution.
Troisième variante
Microsoft documente une campagne utilisant une fausse vérification anti-robot demandant d’ouvrir un terminal, avec installation d’un accès persistant et d’un tunnel vers le réseau interne.
Ce qui se passe après le clic
C’est l’information la plus utile du sujet, et la moins souvent donnée.
Le programme installé est le plus souvent un voleur d’identifiants. Il récupère les mots de passe enregistrés dans le navigateur, les jetons de session, les accès aux services professionnels.
Ces identifiants sont ensuite revendus. Le délai médian observé entre le vol et le déploiement d’un rançongiciel sur le réseau de l’entreprise est de deux jours. Autrement dit, la fenêtre pour réagir se compte en heures, pas en semaines.
La règle, et ce qui la complète
Une seule consigne bloque toute la famille, présente et à venir. Elle tient en une phrase et se transmet en trente secondes à une équipe.
Ne jamais coller une commande venue d’un site web, quel que soit l’endroit où on vous demande de le faire. Aucune mise à jour légitime, aucune vérification anti-robot, aucun support technique ne demande cela.
Trois mesures complémentaires renforcent la protection sans demander de compétence particulière.
- Restreindre l’exécution des outils d’administration sur les postes qui n’en ont pas l’usage.
- Ne pas enregistrer les mots de passe professionnels dans le navigateur : c’est la première chose que ces programmes récupèrent.
- Activer la double authentification, qui limite l’exploitation d’un identifiant volé.
La logique est la même que pour les chevaux de Troie bancaires sur mobile, où une seule autorisation explique toutes les campagnes, sujet traité dans notre article sur les logiciels malveillants Android. Sur la sauvegarde et la capacité à revenir en arrière après un incident, voir sauvegarde et sécurité.
Ce qu’on nous demande le plus souvent.
Qu’est-ce que ClickFix exactement ?
Une technique de manipulation, pas une faille logicielle. Une page web affiche un faux message système, une fausse vérification anti-robot ou une fausse mise à jour, et demande à la personne de coller puis d’exécuter elle-même une commande. Aucun antivirus ne bloque une action lancée volontairement par l’utilisateur.
La menace existe-t-elle toujours en 2026 ?
Oui, et elle s’est diversifiée. Après une hausse de plus de 500 % en 2025, elle reste l’une des techniques d’accès initial les plus actives selon plusieurs équipes de veille. Quatre variantes au moins ont été documentées, dont deux par Microsoft en 2026.
Quelle est la différence entre les variantes ?
Seulement l’endroit où la commande est collée : la boîte Exécuter de Windows, la barre d’adresse de l’Explorateur de fichiers, ou une fenêtre de terminal. Le principe reste rigoureusement identique, ce qui explique qu’une seule règle les bloque toutes.
Quelle est la règle qui protège ?
Ne jamais coller une commande venue d’un site web, quel que soit l’endroit où on vous demande de le faire. Aucune mise à jour légitime, aucune vérification anti-robot, aucun support technique ne demande cela. Jamais.
Que se passe-t-il si un salarié tombe dans le piège ?
Le plus souvent l’installation d’un programme voleur d’identifiants, qui récupère les mots de passe enregistrés dans le navigateur. Le délai médian observé entre ce vol et le déploiement d’un rançongiciel sur le réseau de l’entreprise est de deux jours.
Que faire concrètement dans une petite structure ?
Prévenir les équipes de la règle unique, restreindre l’exécution des outils d’administration sur les postes qui n’en ont pas besoin, et changer sans délai les mots de passe enregistrés dans le navigateur si un doute survient, depuis un autre appareil.
- Rapports d’éditeurs de sécurité sur la progression des campagnes en 2025, dont une hausse mesurée à plus de 500 %.
- Publication du chercheur ayant démontré la variante fondée sur l’Explorateur de fichiers, été 2025, et premières campagnes réelles observées.
- Recherches publiées par Microsoft en février 2026 sur une évolution combinant perturbation du navigateur et manipulation.
- Recherches publiées par Microsoft en 2026 sur une variante utilisant un faux contrôle anti-robot, avec accès persistant et tunnel vers le réseau interne.
- Analyses de veille sur les menaces confirmant le maintien de la technique parmi les principaux modes d’accès initial en 2026.
- Analyses sectorielles sur le délai médian entre vol d’identifiants et déploiement d’un rançongiciel.
WY-Créations conçoit des sites internet et construit des stratégies de visibilité pour les artisans, les TPE, les PME et les professions libérales depuis 2018. Cet article décrit un mécanisme d’attaque et les moyens de s’en protéger, sans reproduire de commande ni de mode opératoire. Pour aller plus loin : la sauvegarde et la sécurité, la supervision et les mises à jour ou le dépannage de serveur.
Vos collaborateurs connaissent-ils cette règle ?
Une phrase, trente secondes, et toute la famille d’attaques devient inopérante. C’est la mesure la plus rentable de votre sécurité.