Le faux captcha (« appuyez sur Windows + R »)
Nouvelle Une page vous demande de « prouver que vous n’êtes pas un robot » en appuyant sur Windows + R puis en collant un texte : vous installez vous-même un virus.
| Par où elle arrive | Site web, E-mail, Publicité en ligne |
|---|---|
| Qui est visé | Tout le monde, Entreprises |
| Ce que vous risquez | Un appareil infecté, Un compte piraté, Vos données, Coordonnées bancaires |
| Aussi appelée | ClickFix, fausse vérification Je ne suis pas un robot, faux Cloudflare, FakeCaptcha |
Vous arrivez sur un site, parfois après un lien dans un e-mail ou une publicité. Une case « Je ne suis pas un robot » s’affiche. Mais au lieu d’images à cocher, on vous donne des instructions : appuyer sur Windows + R, puis Ctrl + V, puis Entrée. Sur Mac, on vous demande d’ouvrir le Terminal et d’y coller un texte.
En cliquant sur la case, la page a copié en cachette une commande dans votre ordinateur. En la collant et en appuyant sur Entrée, vous lancez vous-même un programme qui télécharge un virus. Comme c’est vous qui faites l’action, les protections ont plus de mal à la bloquer. Microsoft appelle cette technique « ClickFix ».
Le virus installé est souvent un voleur de mots de passe, qui récupère les mots de passe et les « cookies » de votre navigateur. Le CERT-FR indique que le voleur Lumma a été « massivement déployé » par des campagnes de faux captcha en 2024 et 2025. Retenez : un vrai captcha ne vous demande jamais d’ouvrir une fenêtre Windows ou le Terminal pour coller quelque chose.
Comment ça se passe
- Vous ouvrez une page piégée : site piraté, lien dans un e-mail, publicité.
- Une fausse vérification « Je ne suis pas un robot » ou une fausse erreur s’affiche.
- Quand vous cliquez, la page copie en secret une commande dans votre presse-papiers.
- On vous dit d’appuyer sur Windows + R, puis Ctrl + V, puis Entrée (ou d’ouvrir le Terminal sur Mac).
- La commande télécharge et lance un programme malveillant.
- Le virus vole vos mots de passe, cookies, portefeuilles de cryptomonnaies, ou prend le contrôle de l’ordinateur.
À quoi ça ressemble
- Un captcha qui demande des touches du clavier
- Ouvrir la fenêtre « Exécuter » de Windows
- Coller un texte que vous n’avez pas écrit
- Aucune vraie case à cocher ni images
- Message inattendu qui vous pousse à cliquer
- Annonce d’une « vérification » à faire
- Lien vers un site inconnu
Exemple rédigé par IP73 sur le modèle des messages signalés ; le lien et le numéro sont fictifs.
Les signes qui doivent alerter
- Un « captcha » vous demande d’appuyer sur Windows + R, Ctrl + V ou Entrée.
- On vous demande d’ouvrir le Terminal, PowerShell ou l’invite de commandes.
- La page vous dit de coller quelque chose que vous n’avez pas copié vous-même.
- La vérification apparaît sans raison sur un site que vous ne connaissez pas.
- Une fausse erreur (« le document ne s’affiche pas ») propose une « réparation » à coller.
Comment vous protéger
- Ne collez jamais une commande proposée par une page web dans Windows + R, le Terminal ou PowerShell.
- Si une page vous le demande, fermez-la tout de suite.
- Mettez à jour votre système et votre navigateur.
- Utilisez un antivirus à jour.
- Ne cliquez pas sur les liens d’e-mails inattendus, même s’ils imitent une marque connue.
- Évitez les logiciels piratés et les sites douteux.
- En entreprise, l’informatique peut désactiver la fenêtre « Exécuter » pour les utilisateurs qui n’en ont pas besoin.
Vous êtes victime ?
Tout de suite
- Déconnectez l’ordinateur d’internet (débranchez le câble ou coupez le Wi-Fi).
- Depuis un autre appareil sain, changez les mots de passe importants : e-mail, banque, réseaux sociaux.
- Sur chaque compte, déconnectez toutes les sessions ouvertes.
- Prévenez votre banque si des données bancaires étaient enregistrées dans le navigateur.
Ensuite
- Faites une analyse complète avec un antivirus à jour.
- Si le doute persiste, réinstallez l’ordinateur et restaurez une sauvegarde saine.
- Activez la double authentification sur vos comptes.
- En entreprise, prévenez tout de suite le service ou le prestataire informatique.
- Faites-vous aider via 17Cyber, et portez plainte si vous subissez un préjudice.
Vos droits
Si un escroc utilise ensuite votre carte ou votre compte sans votre accord, ces opérations sont non autorisées : signalez-les vite à votre banque, qui doit en principe rembourser (art. L133-18 et L133-19 du Code monétaire et financier), sauf négligence grave. Si elle invoque une « négligence grave », elle doit quand même rembourser d’abord, puis la prouver pour vous réclamer la perte (Cour de justice de l’Union européenne, 15 octobre 2026, C-70/25).
Qui contacter
Assistance en ligne pour toutes les victimes de cybermalveillance : un diagnostic en quelques questions, des conseils adaptés, la mise en relation avec un prestataire informatique et, si la menace le justifie, un échange par tchat avec un policier ou un gendarme. Ce n’est pas un dépôt de plainte.
Le dispositif national d’assistance et de prévention en cybersécurité (GIP ACYMA). Il publie des fiches « que faire » par menace, des alertes, et donne accès à 17Cyber et à des prestataires référencés.
Bloque la carte, les accès en ligne et les virements, enregistre la contestation des opérations, et peut demander le retour des fonds d’un virement.
Le numéro figurant au dos de votre carte, dans votre appli ou sur le site officiel de votre banque (jamais un numéro donné dans un SMS ou un appel reçu)
Dépôt de plainte sur place (police ou gendarmerie de votre choix), par courrier au procureur de la République, ou par visioplainte pour certaines infractions. Les services sont obligés d’enregistrer votre plainte.
17 ou 112 en cas d’urgence service-public.gouv.fr/particuliers/vosdroits/F1435 ↗
Plateforme du ministère de l’Intérieur pour signaler les contenus illicites publics sur internet : mise en danger des personnes, terrorisme, menaces, pédocriminalité, haine, traite des êtres humains, trafics, cruauté envers les animaux, escroquerie en ligne.
Dans l’actualité
- DBSC et Vercel : sécuriser les sessions web contre le vol de cookies 5 novembre 2026
- Vulnérabilité Paint Windows CVE-2026-83844 : risque d’exécution de code 5 novembre 2026
- VOLTA, un infostealer utilise l’IA pour prioriser les victimes par valeur 31 octobre 2026
- Malware Yoba utilise les binaires signés ChatGPT et Claude pour infecter les utilisateurs 30 octobre 2026
Arnaques du même type
Sources
- Think before you Click(Fix): Analyzing the ClickFix social engineering technique — Microsoft Threat Intelligence (2025-08-21)
- Opération ENDGAME 2025 (CERTFR-2025-CTI-008) — CERT-FR / ANSSI (2025-05-23)
- CAPTCHA malveillants : attention aux fausses vérifications diffusant des malwares — ESET (WeLiveSecurity) (2025-09-16)
Fiche vérifiée le 8 novembre 2026.
Ce guide informe ; il ne remplace ni les services officiels ni un avocat. En cas d’urgence ou de danger, appelez le 17.
Sources : services publics (Cybermalveillance.gouv.fr, CERT-FR, DGCCRF, AMF, police, gendarmerie…) et références internationales, citées sur chaque fiche. Les exemples de messages sont rédigés par nos soins à partir des alertes officielles : ils ne reprennent aucun vrai numéro ni lien. Guide revu chaque semaine (notre méthode). Dernière mise à jour : 8 novembre 2026. Données en JSON (CC BY 4.0).