Faux CAPTCHA : Chrome ajoute une protection contre le piège ClickFix
Une case « Je ne suis pas un robot », puis une demande d’ouvrir une fenêtre Windows et d’y coller quelque chose : ce n’est plus une simple vérification humaine. C’est le scénario de ClickFix. Le 20 octobre 2026, Google a présenté une nouvelle défense de Chrome contre ces commandes piégées, accessible avec la protection renforcée de la navigation sécurisée. (1)
La bonne nouvelle mérite un réglage à vérifier. Mais le réflexe le plus utile reste très simple : une page qui vous demande de lancer une commande pour afficher son contenu ne doit pas obtenir votre coopération. Voici comment reconnaître ce basculement, ce que Chrome ajoute et quoi faire si vous avez déjà suivi les instructions.
Le faux CAPTCHA qui fait sortir du navigateur
ClickFix désigne une technique de manipulation, pas un logiciel unique. Le prétexte peut être un CAPTCHA, une réparation du navigateur ou un problème d’accès. La page pousse la personne à copier, coller puis exécuter une commande dans un outil du système. Microsoft décrit des campagnes touchant Windows mais aussi macOS, avec notamment des logiciels destinés à dérober des informations. (2)
Le détail décisif est le changement d’endroit : vous étiez sur une page Web, on vous demande maintenant d’agir dans « Exécuter », PowerShell ou un terminal. Le logo affiché, la qualité du français et l’apparence du bouton ne rendent pas cette demande normale. Une marque connue peut être imitée.
Exemple fictif pour reconnaître le piège : vous cherchez un document, une page annonce une vérification obligatoire, puis propose une « méthode alternative » nécessitant une commande sur l’ordinateur. Arrêtez-vous à cette demande. Vous n’avez pas besoin d’essayer pour savoir si elle fonctionne, ni de comprendre la commande pour refuser de l’exécuter.
Ce mécanisme rejoint les ressorts du phishing et de l’ingénierie sociale : créer une raison crédible d’agir vite. Ici, le geste recherché dépasse la saisie d’un identifiant ; c’est vous qui lancez l’action sur la machine.
Ce que la nouvelle protection de Chrome change
Avec la protection renforcée, Chrome cherche désormais à détecter la copie d’une commande suspecte liée à ClickFix. Google indique que le contenu concerné est débarrassé des informations personnelles identifiables, puis envoyé à Safe Browsing pour analyse. Un verdict dangereux déclenche un avertissement. Cela vise le moment où l’utilisateur est manipulé, avant qu’il ne poursuive dans un outil extérieur au navigateur. (1)
L’absence d’avertissement ne valide pas la demande du site. Un filet de sécurité ne transforme pas une commande inconnue en geste anodin. Si la page insiste, fermer l’onglet reste une meilleure décision que chercher un moyen de dépasser le blocage.
Activer la protection renforcée dans Chrome sur PC
Le réglage se trouve dans Chrome lui-même, pas dans la page qui affiche le prétendu contrôle. Sur ordinateur, l’aide officielle indique ce parcours : (3)
- Ouvrez le menu à trois points de Chrome, puis Paramètres.
- Choisissez Confidentialité et sécurité, puis Sécurité.
- Dans la navigation sécurisée, sélectionnez Protection renforcée.
La protection standard est le mode proposé par défaut. Vérifiez donc le réglage réel, même si Chrome est déjà installé depuis longtemps. Sur un ordinateur professionnel géré par votre organisation, certains choix peuvent relever de son administration : faites remonter la demande plutôt que de chercher à contourner sa configuration.
Le compromis à connaître sur les données
L’aide de Google précise que le mode renforcé transmet davantage d’informations de sécurité, notamment des URL, des échantillons de page, l’activité des extensions et des informations système. Il ne faut donc pas le présenter comme un mécanisme entièrement local. Lisez le descriptif du réglage pour décider en connaissance de cause. (3)
Vous avez déjà cliqué : distinguez la copie de l’exécution
La première question est factuelle : avez-vous seulement vu la page, cliqué sur son bouton, ou réellement lancé une commande sur l’ordinateur ? Notez ce dont vous vous souvenez. Un clic ne permet pas, à lui seul, de conclure à une infection ; une commande exécutée mérite en revanche d’être prise au sérieux.
Vous avez copié, sans lancer la commande
Fermez la page. Ne collez pas son contenu dans un terminal, même « pour voir ». Pour remplacer le contenu courant du presse-papiers, copiez une phrase anodine depuis un document que vous avez écrit. Si vous aviez ouvert une fenêtre d’exécution sans encore valider, fermez-la. N’essayez pas la commande sur un autre appareil.
Vous avez exécuté ce qui était demandé
Déconnectez l’appareil d’Internet et du réseau local, puis évitez d’y réaliser des opérations sensibles. Conservez l’adresse de la page, l’heure et les messages observés pour faciliter le diagnostic. Sur une machine professionnelle, prévenez le support informatique. Pour une machine personnelle, sollicitez une assistance fiable si vous ne savez pas évaluer ce qui s’est lancé. Une analyse antivirus complète fait partie des mesures recommandées par Cybermalveillance.gouv.fr. (4)
Ne prenez pas l’absence de fenêtre visible pour une preuve rassurante. Et ne rappelez pas un numéro de « dépannage » présenté par la page suspecte : vous risqueriez de prolonger la manipulation au lieu d’en sortir.
Le repère à transmettre à vos proches
Pas besoin de leur faire apprendre le mot ClickFix. Dites-leur ceci : pour prouver que vous êtes humain sur un site, ne lancez jamais une commande demandée par ce site sur votre ordinateur. S’ils hésitent, qu’ils ferment la page et demandent de l’aide avant de continuer.
Le piège fonctionne précisément parce qu’il ressemble à une petite formalité. Ce repère vise le geste demandé, pas l’apparence du CAPTCHA : il reste utile même si les fraudeurs changent de logo, de message ou de nom.
Afficher les sourcesMasquer les sources
Sources
(1) Google, annonce du 20 octobre 2026 sur les nouvelles défenses de Chrome : https://blog.google/security/our-latest-defenses-against-evolving-web-scams/
(2) Microsoft Security, analyse de la technique ClickFix, 21 août 2025 : https://www.microsoft.com/en-us/security/blog/2025/08/21/think-before-you-clickfix-analyzing-the-clickfix-social-engineering-technique/
(3) Aide Google Chrome, choisir le niveau de protection de la navigation sécurisée : https://support.google.com/chrome/answer/9890866?hl=fr&co=GENIE.Platform%3DDesktop
(4) Cybermalveillance.gouv.fr, virus informatique : que faire ? : https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/virus-informatiques
Visuel : Google, illustration publiée avec son annonce du 20 octobre 2026.
Dernière mise à jour de l’article le 21 octobre 2026
