Faux captchas: l’OFCS alerte sur une hausse des sites compromis (update)
Après une première alerte en février sur la méthode «ClickFix», l’Office fédéral de la cybersécurité (OFCS) constate une augmentation du nombre de sites web compromis. À l’aide de faux captchas, des cybercriminels tentent d’inciter les internautes à exécuter des commandes malveillantes sur leur ordinateur.
Mise à jour du 12 août 2026: Après avoir alerté en février sur la méthode d’ingénierie sociale «ClickFix», qui consiste à inciter les internautes à exécuter eux-mêmes une commande malveillante sous couvert de résoudre un faux problème technique, l’Office fédéral de la cybersécurité (OFCS) constate désormais une augmentation du nombre de sites web compromis en Suisse affichant de faux captchas. La plupart utilisent le système de gestion de contenu WordPress. Plus de 100’000 sites seraient déjà concernés dans le monde, selon l’autorité.
Les faux captchas imitent ceux du fournisseur américain de réseau de diffusion de contenu (CDN) Cloudflare et s’adaptent à la langue locale. Les cybercriminels ciblent aussi bien les utilisateurs de Windows que ceux de macOS. Les premiers sont invités à exécuter une commande PowerShell, tandis qu’une commande équivalente est présentée aux utilisateurs de macOS. L’OFCS indique suivre actuellement sept campagnes cybercriminelles utilisant la méthode «ClickFix».
Des malwares dérobent des données sensibles
Selon l’OFCS, les personnes qui suivent les instructions d’un site compromis et exécutent les commandes recommandées déclenchent le téléchargement de code malveillant supplémentaire depuis Internet. Les cybercriminels stockent et diffusent ce code via la blockchain, selon une technique appelée «EtherHiding». Il est accessible par l’intermédiaire des interfaces web de fournisseurs RPC donnant accès aux réseaux blockchain.
Le code malveillant télécharge généralement un «infostealer», un malware conçu pour dérober des données sensibles stockées sur l’ordinateur de la victime, précise l’OFCS.
L’autorité indique par ailleurs avoir reçu ces derniers jours un nombre croissant de signalements d’exploitants de sites web et de fournisseurs d’hébergement suisses concernant l’exploitation de deux vulnérabilités WordPress récemment révélées: CVE-2026-63030 et CVE-2026-60137. Leur combinaison, connue sous le nom de «WP2Shell», est exploitée par les cybercriminels.
WordPress a publié le 17 juillet 2026 des mises à jour de sécurité corrigeant ces vulnérabilités. Celles-ci n’ont toutefois pas encore été appliquées par tous les exploitants, ce qui a déjà entraîné des compromissions. L’OFCS fait également état de cas dans lesquels des attaquants auraient exploité WP2Shell et une méthode encore inconnue pour compromettre d’autres sites web hébergés sur le même serveur. L’office n’exclut pas que ces compromissions servent ensuite à mettre en place de faux captchas afin d’infecter d’autres internautes.
Les nouvelles recommandations de l’OFCS
L’OFCS rappelle aux utilisateurs de ne jamais exécuter une commande informatique à la demande d’un site web inconnu et de maintenir leurs systèmes et logiciels à jour.
Les exploitants de sites web sont invités à maintenir à jour leur CMS ainsi que l’ensemble des plug-ins et extensions utilisés, et à activer les mises à jour automatiques lorsque cela est possible. L’OFCS recommande également d’activer l’authentification multifacteur (MFA) pour tous les comptes lorsque le CMS le permet, et de suivre les bonnes pratiques ainsi que les recommandations de sécurité de l’éditeur.
Enfin, les entreprises et les exploitants d’infrastructures critiques qui ne travaillent pas dans le secteur des technologies financières devraient limiter les connexions sortantes vers les fournisseurs RPC, selon l’OFCS. Une liste de ces fournisseurs est disponible dans les archives du GovCERT sur GitHub.
L’actualité IT en Suisse et à l’international, avec un focus sur la Suisse romande, directement dans votre boîte mail > Inscrivez-vous à la newsletter d’ICTjournal, envoyée du lundi au vendredi!
News du 25 février 2026: L’OFCS alerte: des attaquants injectent des logiciels malveillants en un clic
Une nouvelle tactique d’ingénierie sociale, baptisée «ClickFix», sévit actuellement en Suisse. Elle consiste à proposer une prétendue solution rapide («fix») à un faux problème technique, déclenchée par un simple clic. L’Office fédéral de la cybersécurité (OFCS) indique enregistrer une hausse des signalements liés à cette méthode.
Les cybercriminels exploitent des sites web mal sécurisés ou des annonces publicitaires pour rediriger les internautes vers des pages piégées. Celles-ci affichent ensuite une fenêtre contextuelle ou un encart superposé simulant un problème technique, par exemple une mise à jour du navigateur ayant échoué, un souci DNS ou un CAPTCHA soi-disant défectueux.
Selon l’OFCS, les utilisatrices et utilisateurs ne se rendent souvent pas compte que, dès l’ouverture de la page, du code malveillant est déjà copié dans le presse-papiers. Ils sont ensuite invités à exécuter une combinaison de touches; en appuyant sur la touche «Enter», la commande copiée est alors exécutée et déclenche l’infection.
Une fois la commande lancée, le script tente d’établir une connexion avec un serveur afin de télécharger un programme malveillant. Comme l’ordre de téléchargement émane apparemment de l’utilisateur lui-même, de nombreux antivirus ne détectent pas l’attaque, précise l’office. Dans la plupart des cas, un infostealer est installé: il extrait les mots de passe enregistrés dans les navigateurs, vide des portefeuilles de crypto-monnaies ou vole des cookies permettant aux attaquants d’accéder à des comptes sans mot de passe. Dans un environnement professionnel, ce type d’intrusion peut constituer le point de départ d’une attaque par rançongiciel, avertit l’autorité.
«CrashFix»: une variante plus élaborée
Depuis le début de l’année, les attaquants recourent également à une méthode complémentaire appelée «CrashFix». Celle-ci repose sur la diffusion d’extensions de navigateurs malveillants, déguisées en outils tels que des bloqueurs de publicité.
Après un certain temps, ces extensions provoquent volontairement un plantage du navigateur. Lors du redémarrage, un message invite alors l’utilisateur à saisir des commandes pour corriger le prétendu dysfonctionnement. Là encore, cela aboutit à l’installation d’un logiciel malveillant.
Recommandations de l’OFCS
L’autorité recommande de faire preuve d’une grande méfiance face aux messages annonçant des mises à jour de navigateur ou des erreurs techniques sur des sites web. Les mises à jour officielles s’effectuent exclusivement via les paramètres intégrés du navigateur, et non par des sites externes. Il ne faut en aucun cas coller ou exécuter du code provenant de sources inconnues dans PowerShell (Windows), le Terminal (macOS) ou l’invite de commande. L’OFCS déconseille également l’installation de logiciels issus de sources non fiables.
Les entreprises sont invitées à sensibiliser leur personnel à cette méthode d’attaque. Les personnes concernées sont encouragées à signaler immédiatement tout incident de ce type à l’OFCS.
L’actualité IT en Suisse et à l’international, avec un focus sur la Suisse romande, directement dans votre boîte mail > Inscrivez-vous à la newsletter d’ICTjournal, envoyée du lundi au vendredi!
