ClickFix : la cyberattaque qui a augmenté de 500 % en 2025 et qui est déjà la deuxième la plus courante

Le premier semestre 2025 a apporté une alerte rouge dans le monde de la cybersécurité : le ClickFix a explosé d’environ 500 % par rapport au second semestre 2024 et apparaît déjà comme la deuxième cyberattaque la plus courante, juste derrière le phishing. Selon les données d’ESET, cette attaque a représenté près de 8 % de tous les incidents bloqués au cours de cette période.

Qu’est-ce que le ClickFix ?

Le ClickFix n’est pas un malware traditionnel, mais une technique puissante d’ingénierie sociale. L’attaque commence par de faux messages d’erreur – souvent imitant des captchas, des vérifications ou des alertes système – qui invitent la victime à copier et coller une commande dans un terminal ou une ligne de commande, que ce soit sur Windows, macOS ou Linux.

Ces commandes, qui peuvent impliquer PowerShell, curl, wget ou des scripts shell, sont conçues pour télécharger et installer des malwares – allant des infostealers et RAT jusqu’aux cryptominers et ransomwares. L’avantage de cette technique ? C’est la victime elle-même qui réalise l’installation, ce qui rend la détection par les antivirus presque impossible, puisque la commande est exécutée localement.

Pourquoi une croissance aussi rapide ?

Selon Jiří Kropáč, directeur de Threat Prevention chez ESET, cette augmentation s’explique par la combinaison d’une efficacité technique et d’un impact psychologique de ces faux messages. Les victimes, sous la pression d’une erreur factice, agissent rapidement sans vérifier si la commande est légitime – pensant résoudre un problème urgent.

De plus, il existe déjà des builders de pages ClickFix qui permettent à d’autres cybercriminels de reproduire l’attaque en masse.

Cibles et spécificités

Le ClickFix a été utilisé de différentes manières :
– Attaques via des liens ou des pièces jointes malveillantes dans des e‑mails de phishing, déguisés en plateformes comme Booking.com – une campagne connue sous le nom de Storm‑1865, visant surtout le secteur hôtelier.
– Sites compromis utilisant du JavaScript malveillant pour rediriger vers de fausses pages apprenant à l’utilisateur à exécuter des commandes – désormais sur Windows, Linux, macOS, iOS et Android.
– Des groupes APT (parrainés par des États) ont commencé à adopter la technique, dont Kimsuky (Corée du Nord), MuddyWater (Iran), APT28 (Russie), entre autres.
– Cibles variées : hôtellerie, santé, automobile, infrastructures publiques et, pour la première fois, Linux.

Évolution : du ClickFix au FileFix

Récemment, une évolution vers le FileFix a été observée, une forme d’attaque plus discrète qui consiste à insérer une commande malveillante directement dans le presse-papiers et attendre que la victime la colle dans l’Explorateur de fichiers de Windows – sans même ouvrir de terminal – pour exécuter du PowerShell et lancer un RAT avec le ransomware Interlock.

Cette variante a été utilisée lors de campagnes visant Interlock, un ransomware qui a déjà touché d’importantes institutions de santé et des administrations locales.

Impact global

– Les infostealers en hausse, notamment SnakeStealer, qui a dépassé Agent Tesla comme principal outil de vol de données d’accès.
– Cryptominers, RAT et ransomware : toutes les formes de malware bénéficient de l’installation via ClickFix, selon ESET.
– Les fraudes mobiles ont doublé : l’adware sur Android a augmenté de 160 %, les fraudes NFC multipliées par 35.
– Attaques entre cybercriminels : même des groupes de ransomware se retournent les uns contre les autres pour des ressources ou par manque de confiance.

Comment se protéger

1. Formation continue : sensibiliser les collaborateurs à ne jamais exécuter de commandes suspectes. Un conseil : les sites demandent rarement de copier et d’exécuter du code manuellement.
2. Politiques de sécurité strictes : blocage de PowerShell ou restriction de l’exécution via des politiques comme AppLocker ou Windows Defender.
3. Multiplication des défenses techniques : détection comportementale dans le Terminal, analyse heuristique des scripts, utilisation d’EDR avancé.
4. Simulations de phishing : entraîner à reconnaître les schémas d’attaque ClickFix.
5. Alertes immédiates : face à une demande de “copier et exécuter une commande”, consulter immédiatement l’équipe informatique.

Perspectives et recommandations

Le ClickFix représente un changement : il ne s’agit pas seulement de malwares sophistiqués, mais d’une manipulation psychologique efficace. Son expansion à différents systèmes d’exploitation, secteurs et même groupes APT montre que l’ingénierie sociale reste un outil puissant et économique pour les criminels.

Pour les entreprises, il est essentiel d’investir dans une culture de la cybersécurité, des politiques rigoureuses de contrôle de l’exécution du code et des outils de protection comportementale.

La croissance de 500 % du ClickFix en 2025 est un signal d’alarme : manipuler le comportement humain est parfois aussi – voire plus – efficace que l’exploitation de failles techniques. Combiné à l’adaptation constante des attaquants, comme l’apparition du FileFix, cela met en évidence l’importance de la vigilance, de l’éducation et d’une stratégie de sécurité continue.

Une prévention efficace nécessite de combiner technologies intelligentes et sensibilisation des utilisateurs, car la plus grande faille reste la curiosité et la précipitation humaines.