Faux CAPTCHA WordPress : l’attaque ClickFix qui peut voler vos mots de passe
Un faux CAPTCHA WordPress peut aujourd’hui cacher bien plus qu’une simple tentative de phishing.
En 2026, la méthode ClickFix continue de se diffuser : des cybercriminels compromettent des sites web légitimes ou redirigent les internautes vers des pages piégées, puis affichent une fausse vérification anti-robot. L’objectif est de pousser la victime à exécuter elle-même une commande malveillante sur son ordinateur.
L’Office fédéral de la cybersécurité suisse, l’OFCS, avait déjà alerté en février 2026 sur une hausse de cette méthode. L’autorité explique que ClickFix exploite avant tout l’ingénierie sociale : plutôt que de contourner directement toutes les protections techniques, l’attaquant persuade l’utilisateur d’autoriser lui-même l’infection.
Les sites WordPress compromis constituent notamment un vecteur intéressant pour les cybercriminels, car un site parfaitement légitime peut être transformé en plateforme de diffusion de faux CAPTCHA sans que ses visiteurs s’en aperçoivent immédiatement.
Et les conséquences peuvent être sérieuses : vol de mots de passe, cookies de connexion, portefeuilles de cryptomonnaies ou accès à des comptes professionnels.
Voici comment fonctionne l’attaque et surtout comment reconnaître un faux CAPTCHA avant qu’il ne soit trop tard.
Faux CAPTCHA WordPress : de quoi parle-t-on exactement ?
Un CAPTCHA classique sert à vérifier qu’un visiteur est bien humain et non un robot automatisé.
Il peut vous demander de :
- cocher une case ;
- identifier certaines images ;
- patienter quelques secondes ;
- effectuer une vérification automatique dans le navigateur.
Un CAPTCHA légitime ne doit en revanche pas vous demander d’ouvrir une console système et d’y exécuter une commande.
C’est précisément cette différence qu’exploitent les campagnes ClickFix.
Le faux CAPTCHA WordPress reproduit visuellement une interface rassurante, parfois proche de services bien connus, puis prétend qu’une étape supplémentaire est nécessaire pour terminer la vérification.
L’utilisateur peut alors recevoir des instructions l’incitant à ouvrir un outil système comme PowerShell sous Windows ou le Terminal sous macOS.
À ce stade, il ne s’agit plus d’un CAPTCHA.
Il s’agit d’une tentative d’exécution de code malveillant.
Qu’est-ce que ClickFix ?
ClickFix est une technique d’ingénierie sociale qui pousse la victime à exécuter elle-même une commande malveillante sous prétexte de résoudre un problème technique.
L’OFCS décrit plusieurs scénarios utilisés par les attaquants :
- CAPTCHA prétendument défectueux ;
- mise à jour de navigateur échouée ;
- erreur DNS ;
- problème d’affichage ;
- réparation fictive du navigateur.
Le piège est particulièrement efficace parce qu’il ressemble à une procédure technique normale.
L’utilisateur croit réparer un problème.
En réalité, il peut déclencher l’installation d’un malware.
Comment fonctionne une attaque ClickFix ?
Le fonctionnement général peut être résumé ainsi :
Site web compromis
↓
Affichage d’un faux CAPTCHA
↓
Instructions techniques trompeuses
↓
Ouverture de PowerShell ou du Terminal
↓
Exécution involontaire d’une commande malveillante
↓
Téléchargement d’un malware
↓
Vol potentiel de données
L’OFCS explique que, dans certaines campagnes, une commande malveillante peut déjà avoir été placée dans le presse-papiers de l’utilisateur. Celui-ci est ensuite manipulé afin qu’il la colle et l’exécute lui-même.
C’est ce mécanisme qui rend ClickFix particulièrement astucieux.
Pourquoi ClickFix peut contourner certaines protections ?
Habituellement, lorsqu’un malware tente de s’exécuter automatiquement, différents mécanismes peuvent intervenir :
- antivirus ;
- protection du navigateur ;
- filtrage du système ;
- règles de sécurité.
Avec ClickFix, une partie de l’action est volontairement exécutée par la victime.
Le système voit donc potentiellement une commande lancée par l’utilisateur lui-même.
L’OFCS souligne que ce fonctionnement peut permettre de contourner certains mécanismes de sécurité qui bloqueraient plus facilement un téléchargement automatiquement déclenché.
Cela ne signifie pas que tous les antivirus seront systématiquement contournés.
Mais cela rend l’attaque plus difficile à détecter uniquement avec des protections automatisées.
Pourquoi WordPress est-il utilisé dans ces campagnes ?
Il faut être précis sur ce point.
WordPress n’est pas automatiquement responsable de ClickFix.
Le problème apparaît lorsqu’un site WordPress est déjà compromis.
Les cybercriminels peuvent alors modifier son contenu ou injecter des scripts afin d’afficher un faux CAPTCHA devant les visiteurs.
Le scénario devient :
vulnérabilité WordPress ou identifiants compromis
↓
prise de contrôle du site
↓
injection d’un faux CAPTCHA
↓
infection potentielle des visiteurs
Un site piraté devient alors non seulement un problème pour son propriétaire, mais également un risque pour ses visiteurs.
C’est une différence essentielle.
Le lien avec les récentes failles WordPress
Cette problématique est d’autant plus importante en 2026 que WordPress a dû corriger plusieurs vulnérabilités sérieuses.
Le 17 juillet 2026, WordPress a publié la version 7.0.2, corrigeant deux vulnérabilités de sécurité, dont une combinaison permettant potentiellement une exécution de code à distance. Les correctifs ont également été rétroportés sur certaines branches précédentes.
Les références concernées sont :
- CVE-2026-60137
- CVE-2026-63030
WordPress.org recommandait explicitement aux administrateurs de mettre leurs sites à jour immédiatement compte tenu de la gravité des failles.
Dans ce contexte, un WordPress non corrigé peut constituer une porte d’entrée permettant ensuite d’installer d’autres charges malveillantes ou de modifier le contenu du site.
Qu’est-ce qu’un infostealer ?
Le malware final installé par ClickFix est fréquemment un infostealer.
Un infostealer est un logiciel malveillant spécialisé dans le vol d’informations.
Il peut rechercher notamment :
- mots de passe enregistrés dans le navigateur ;
- cookies de session ;
- informations de connexion ;
- données liées aux comptes ;
- portefeuilles de cryptomonnaies ;
- certaines informations système.
L’OFCS indique que ClickFix a notamment été utilisé pour diffuser ce type de malwar
Pourquoi le vol de cookies est-il particulièrement dangereux ?
Les mots de passe ne sont pas les seules données intéressantes pour un attaquant.
Après une connexion réussie, un site peut enregistrer un cookie de session dans le navigateur.
Ce cookie permet au service de reconnaître que l’utilisateur est déjà authentifié.
Si un malware parvient à voler un cookie valide, il peut dans certains cas faciliter l’accès au compte sans devoir saisir immédiatement le mot de passe.
L’OFCS cite justement le vol de cookies de navigateur parmi les conséquences possibles des infostealers diffusés via ClickFix.
Les comptes les plus sensibles sont évidemment :
- messagerie ;
- administration WordPress ;
- réseaux sociaux ;
- comptes professionnels ;
- services cloud ;
- services financiers.
Les portefeuilles crypto sont également ciblés
Les détenteurs de cryptomonnaies doivent être particulièrement vigilants.
Certains infostealers recherchent :
- données de wallets ;
- extensions de navigateur liées aux cryptomonnaies ;
- identifiants ;
- informations permettant d’accéder aux portefeuilles.
L’OFCS indique que les campagnes ClickFix observées peuvent notamment conduire au vol ou à la vidange de portefeuilles de cryptomonnaies.
Windows n’est pas le seul système concerné
Une erreur courante consiste à croire que ClickFix est exclusivement une menace Windows.
Ce n’est pas le cas.
L’OFCS explique que la technique peut s’adapter au système utilisé :
Sur Windows
Les faux messages peuvent tenter de conduire l’utilisateur vers PowerShell ou d’autres outils système.
Sur macOS
La victime peut être invitée à utiliser le Terminal.
Le principe reste identique :
faire exécuter à l’utilisateur une instruction qu’un site web normal n’aurait aucune raison de lui demander.
Comment reconnaître immédiatement un faux CAPTCHA ?
Il existe une règle extrêmement simple.
Un CAPTCHA ne doit jamais vous demander d’exécuter une commande système.
Soyez immédiatement méfiant si une page vous demande :
- d’ouvrir PowerShell ;
- d’ouvrir le Terminal ;
- d’ouvrir l’invite de commande ;
- d’utiliser une combinaison de touches inhabituelle ;
- de copier ou coller du code ;
- d’exécuter une commande pour prouver que vous êtes humain.
Même si la page affiche :
- un logo connu ;
- une animation professionnelle ;
- une interface parfaitement crédible ;
cela ne rend pas la procédure légitime.
Faux CAPTCHA imitant Cloudflare : pourquoi c’est crédible ?
Les cybercriminels reproduisent souvent des interfaces visuelles que les internautes connaissent déjà.
Cloudflare est par exemple couramment associé à :
- protections anti-bot ;
- pages de vérification ;
- CAPTCHA ;
- sécurité des sites.
Un internaute habitué à rencontrer une vérification Cloudflare peut donc être moins méfiant face à une imitation.
La clé n’est pas seulement l’apparence.
Il faut regarder ce que la page vous demande réellement de faire.
Une interface ressemblant à Cloudflare qui vous demande d’exécuter une commande locale doit être considérée comme suspecte.
ClickFix et ingénierie sociale : la victime devient le maillon de l’attaque
La force de ClickFix repose moins sur une sophistication visuelle exceptionnelle que sur la psychologie.
L’utilisateur voit :
« Une erreur est survenue. Voici comment la résoudre. »
Il veut accéder rapidement au contenu.
Il suit donc les instructions.
Cette méthode s’appuie sur plusieurs ressorts :
- urgence ;
- frustration ;
- confiance dans l’interface ;
- automatisme ;
- faible connaissance technique.
L’attaquant transforme finalement l’utilisateur en acteur involontaire de l’infection.
C’est précisément pour cette raison que la sensibilisation reste indispensable même dans des environnements disposant de protections techniques avancées.
CrashFix : une variante encore plus trompeuse
L’OFCS alerte également sur une technique appelée CrashFix.
Le scénario peut commencer par une extension de navigateur malveillante se présentant comme un outil utile, par exemple un bloqueur de publicité.
L’extension provoque ensuite volontairement un dysfonctionnement ou un plantage du navigateur.
Après le redémarrage, une fausse procédure de réparation apparaît et encourage l’utilisateur à exécuter une commande.
La finalité reste la même :
convaincre la victime de lancer elle-même le malware.
Cette technique montre à quel point les attaques modernes misent désormais sur des scénarios réalistes plutôt que sur des messages grossiers facilement identifiables.
ClickFix est-il vraiment une menace récente ?
La technique n’est pas apparue en août 2026.
L’OFCS suivait déjà ClickFix auparavant et l’avait notamment documentée dans ses rapports précédents.
Son rapport couvrant le second semestre 2025 indiquait déjà que ClickFix continuait d’être massivement utilisé par les cybercriminels, signe que son rapport efficacité/coût restait intéressant pour les attaquants.
En février 2026, l’autorité suisse a de nouveau constaté une hausse des signalements.
Le sujet n’est donc pas un phénomène isolé mais une méthode persistante.
Que faire si vous avez exécuté la commande d’un faux CAPTCHA ?
Si vous avez suivi les instructions d’un CAPTCHA suspect et exécuté une commande, ne partez pas du principe que tout va bien parce qu’aucune fenêtre particulière ne s’est ouverte.
Certaines infections fonctionnent justement de manière discrète.
1. Déconnectez l’appareil du réseau si vous suspectez une infection
Coupez temporairement :
- Wi-Fi ;
- Ethernet ;
- éventuellement VPN.
Cela peut limiter certaines communications avec l’extérieur pendant l’analyse.
2. Utilisez un appareil sain pour vos comptes sensibles
Évitez de modifier immédiatement tous vos mots de passe depuis l’ordinateur potentiellement compromis.
Utilisez de préférence un autre appareil fiable.
3. Changez les mots de passe prioritaires
Commencez notamment par :
- adresse email principale ;
- gestionnaire de mots de passe ;
- comptes professionnels ;
- WordPress ;
- hébergeur ;
- services cloud.
4. Révoquez les sessions actives
Lorsque le service le permet, utilisez une option comme :
Déconnecter tous les appareils
ou :
Révoquer toutes les sessions.
Cette mesure est importante en cas de vol potentiel de cookies.
5. Activez l’authentification multifacteur
La MFA ajoute une barrière supplémentaire.
Elle ne remplace pas le nettoyage de la machine, mais améliore considérablement la sécurité des comptes.
6. Analysez complètement l’ordinateur
Utilisez les outils de sécurité officiels ou une solution fiable.
Dans une entreprise, contactez immédiatement le service informatique ou le responsable cybersécurité.
7. Surveillez les comptes
Vérifiez :
- connexions inhabituelles ;
- changement d’adresse ;
- messages envoyés ;
- nouvelles règles de transfert email ;
- achats inconnus ;
- transactions suspectes.
Vous gérez un site WordPress ? Voici ce qu’il faut vérifier
Les administrateurs WordPress ont également un rôle essentiel dans la lutte contre ClickFix.
Maintenez WordPress à jour
WordPress recommande d’appliquer rapidement les versions de sécurité.
À titre d’exemple, la mise à jour 7.0.2 du 17 juillet 2026 corrigeait une vulnérabilité critique et une autre de haute gravité.
Depuis, d’autres versions de sécurité ont également été publiées, notamment WordPress 7.0.3 et 7.0.4.
Installez donc la dernière version stable disponible, pas uniquement le premier correctif associé à une vulnérabilité donnée.
Mettez également les plugins et thèmes à jour
Un WordPress Core à jour ne suffit pas.
La surface d’attaque comprend :
WordPress
plugins
thèmes
hébergement
comptes administrateurs
Supprimez également les extensions inutilisées.
Une extension inactive mais présente sur le serveur peut toujours constituer un risque selon la vulnérabilité concernée.
Activez la MFA pour les comptes administrateurs
L’authentification multifacteur doit être prioritaire sur les comptes sensibles :
- administrateurs ;
- hébergement ;
- CDN ;
- registrar ;
- email professionnel.
L’OFCS recommande également l’utilisation de l’authentification multifacteur lorsque le CMS la permet.
Vérifiez les utilisateurs WordPress
Dans :
Utilisateurs → Tous les utilisateurs
recherchez :
- administrateur inconnu ;
- compte récemment créé ;
- email modifié ;
- privilèges anormalement élevés.
Une compromission WordPress peut conduire à la création d’un accès persistant
Contrôlez les fichiers récemment modifiés
Si vous suspectez que votre site affiche ou a affiché un faux CAPTCHA :
recherchez notamment :
- fichiers PHP récemment modifiés ;
- JavaScript inhabituel ;
- fichiers inconnus ;
- changements dans les thèmes ;
- modifications de plugins ;
- code injecté dans les pages.
Ne supprimez toutefois pas aveuglément toutes les traces avant d’avoir compris l’origine de l’intrusion.
Examinez les logs
Les journaux de l’hébergeur peuvent révéler :
- connexion administrative inhabituelle ;
- modification de fichiers ;
- requêtes suspectes ;
- exploitation de vulnérabilités ;
- accès provenant d’adresses IP inhabituelles.
Les logs peuvent être déterminants pour comprendre comment un site a été compromis.
Un site nettoyé doit aussi être corrigé
Supprimer le faux CAPTCHA n’est pas suffisant.
Si la porte d’entrée reste ouverte, les attaquants peuvent revenir.
Il faut rechercher la cause :
- WordPress obsolète ;
- plugin vulnérable ;
- mot de passe compromis ;
- compte administrateur frauduleux ;
- clé API volée ;
- hébergement compromis ;
- autre site infecté sur le même serveur.
La bonne démarche est :
contenir → analyser → nettoyer → corriger → surveiller.
Pourquoi cette attaque concerne aussi les entreprises
Une infection ClickFix sur un ordinateur professionnel peut avoir des conséquences beaucoup plus importantes qu’un simple vol de mot de passe personnel.
Un infostealer peut permettre de récupérer :
- compte Microsoft 365 ;
- Google Workspace ;
- VPN ;
- CRM ;
- outils internes ;
- messagerie professionnelle.
L’OFCS rappelle d’ailleurs que ce type d’infection peut constituer un point d’entrée vers d’autres attaques, y compris des attaques par rançongiciel dans un environnement professionnel.
Une simple fausse vérification CAPTCHA peut donc devenir le début d’un incident beaucoup plus sérieux.
Faux CAPTCHA WordPress : la checklist à retenir
Pour les internautes
- Ne jamais ouvrir PowerShell ou Terminal à la demande d’un site.
- Ne jamais exécuter une commande copiée depuis une page inconnue.
- Fermer immédiatement un CAPTCHA suspect.
- Mettre navigateur et système à jour depuis leurs paramètres officiels.
- Utiliser la MFA.
- Signaler les sites suspects.
Pour les administrateurs WordPress
- Mettre WordPress à jour.
- Mettre thèmes et plugins à jour.
- Supprimer les extensions inutiles.
- Activer la MFA.
- Contrôler les administrateurs.
- Examiner les fichiers modifiés.
- Analyser les logs.
- Vérifier régulièrement l’intégrité du site.
- Conserver des sauvegardes externes.
- Réagir immédiatement en cas de compromission.
FAQ – Faux CAPTCHA WordPress et ClickFix
Conclusion : ne laissez jamais un site vous dicter une commande système
Le faux CAPTCHA WordPress représente une évolution particulièrement intéressante des techniques de cybersécurité modernes.
L’attaquant n’a pas forcément besoin de contourner toutes les protections de votre ordinateur.
Il peut simplement vous convaincre de le faire à sa place.
La règle essentielle est donc facile à retenir :
Un CAPTCHA légitime ne vous demandera jamais d’ouvrir PowerShell, le Terminal ou d’exécuter manuellement une commande.
Si une page vous demande ce genre d’action :
fermez-la immédiatement.
Pour les propriétaires de sites WordPress, la responsabilité est également importante.
Un site compromis peut devenir un relais d’attaque contre ses propres visiteurs.
Mises à jour, MFA, surveillance des fichiers, contrôle des comptes et sauvegardes doivent donc faire partie de la maintenance normale d’un site WordPress.
Ces articles pourraient aussi vous intéresser
Site WordPress piraté : que faire immédiatement ?
La procédure complète pour contenir une attaque, préserver les preuves, nettoyer WordPress et sécuriser les accès.
Faille WordPress 2026 : 7 vérifications à effectuer après WP2Shell
Mettre WordPress à jour ne suffit pas toujours : voici les contrôles à effectuer après une vulnérabilité critique.
Faille Forminator WordPress : CVE-2026-15748
Découvrez pourquoi une vulnérabilité d’upload de fichiers dans un formulaire peut devenir une menace sérieuse pour un site WordPress.
