ClickFix est devenue l'une des techniques d'ingénierie sociale les plus efficaces de ces deux dernières années, et Google vient d'y répondre directement dans le navigateur. Selon une annonce publiée le 20 octobre 2026 sur le blog sécurité de Google, Chrome intègre désormais une détection de ClickFix pour les utilisateurs ayant activé la Protection renforcée (Enhanced Protection), avec un avertissement affiché avant l'exécution d'une commande jugée dangereuse (relayé par The Hacker News).
Qu'est-ce que ClickFix et pourquoi Chrome s'en préoccupe-t-il ?
ClickFix consiste à faire croire à la victime qu'elle doit réparer elle-même un problème : une fausse vérification Cloudflare ou reCAPTCHA, ou une fausse erreur d'affichage. La page lui demande alors de copier une commande puis de la coller dans la boîte Exécuter de Windows ou dans le Terminal macOS.
La commande réellement collée est souvent différente de celle affichée à l'écran, et fait appel à des outils système légitimes comme PowerShell ou cmd.exe, ce qui lui permet de contourner les protections classiques de téléchargement de fichiers. Nous avions déjà détaillé le fonctionnement complet de cette technique dans notre analyse de ClickFix, qui reste utilisée aussi bien par des groupes cybercriminels que par des campagnes de phishing ciblées.
Comment fonctionne la nouvelle protection de Chrome ?
Lorsqu'un utilisateur protégé copie un script jugé suspect, Chrome le détecte avant son exécution. Les données personnelles éventuellement présentes dans le contenu copié sont retirées, puis ce contenu est transmis à Safe Browsing pour analyse. Si le verdict est dangereux, Chrome affiche un avertissement avant que la commande ne s'exécute. Google illustre son annonce par une formule sans ambiguïté, reprise dans l'article : « Chrome ne vous demandera jamais de le réparer de cette manière ! ».
Google précise avoir conçu le système pour rester très précis, afin de limiter les interruptions pour les développeurs et administrateurs qui copient légitimement des commandes dans leur travail quotidien. Aucun détail technique sur le modèle de détection n'est publié, ce qui est cohérent avec la volonté d'éviter qu'un attaquant n'apprenne à le contourner.
Qui est protégé, et quelles sont les limites ?
Cette protection n'est active que pour les utilisateurs ayant activé la Protection renforcée de Safe Browsing dans les paramètres de Chrome. Elle ne concerne donc pas, par défaut, l'ensemble des utilisateurs du navigateur. L'annonce de Google ne précise ni numéro de version ni date d'activation exacte pour cette fonctionnalité, ce qui rend son déploiement progressif difficile à vérifier précisément à ce stade.
Autre limite à garder en tête : la détection s'appuie sur Safe Browsing, qui reste un système de réputation et d'analyse de contenu. Une commande nouvelle, encore inconnue des bases de Google, peut ne pas être repérée immédiatement. La vigilance de l'utilisateur et la sensibilisation des équipes restent donc nécessaires, même avec cette protection activée.
D'autres mesures annoncées en parallèle
Dans la même annonce, Google détaille une nouvelle taxonomie des avertissements Safe Browsing : « sites suspects » pour les pages aux schémas trompeurs proches de sites malveillants connus, et « sites dangereux » pour les sites confirmés malveillants.
L'entreprise décrit aussi un modèle embarqué sur l'appareil capable de repérer les faux antivirus, les fausses mises à jour de navigateur et les arnaques au support technique, en évaluant la marque imitée, l'intention de la page et un score de probabilité d'arnaque. Google précise que cette analyse ne se déclenche que lorsque les indicateurs sont très fiables, et qu'elle est traitée de façon éphémère, sans journalisation ni conservation.
Google étend par ailleurs sa vérification des annonceurs de services financiers aux États-Unis et au Canada, en s'appuyant respectivement sur les registres de l'American Bankers Association et de la Canadian Bankers Association.
De son côté, l'équipe WebKit d'Apple a publié son propre renforcement : Safari bloque désormais, au niveau du domaine, les infrastructures de résolution d'identité qui permettent de transmettre une adresse e-mail à des tiers pour créer des identifiants de pistage, sur iOS, iPadOS, macOS et visionOS 27.
Comment se protéger si vous n'avez pas la Protection renforcée ?
En attendant un déploiement plus large, quelques réflexes restent la meilleure défense contre ClickFix :
- Activez la Protection renforcée de Safe Browsing dans les paramètres de Chrome si vous ne l'avez pas déjà fait.
- Ne collez jamais une commande dans la boîte Exécuter de Windows ou dans un terminal à la demande d'une page web, quel que soit le prétexte invoqué (vérification, erreur, mise à jour).
- Avant d'ouvrir une page qui vous pousse à « réparer » quelque chose, passez son URL dans notre bac à sable d'analyse d'URL, qui détecte spécifiquement les tentatives ClickFix et les kits de phishing associés, sans jamais exécuter le code sur votre machine.
- Formez vos équipes à reconnaître ce schéma : aucune vérification Cloudflare ou reCAPTCHA légitime ne demande d'exécuter une commande système, quelle que soit l'urgence affichée.
Points clés
- ClickFix pousse la victime à copier-coller elle-même une commande malveillante, en la faisant passer pour une réparation technique.
- Chrome détecte désormais cette technique et avertit avant l'exécution, mais uniquement pour les utilisateurs ayant activé la Protection renforcée, selon l'annonce de Google du 20 octobre 2026.
- Le contenu copié est analysé par Safe Browsing après anonymisation, sans journalisation durable selon Google.
- Cette protection s'ajoute à d'autres mesures annoncées le même jour : détection d'arnaques par un modèle embarqué, vérification des annonceurs financiers, et blocage de l'identity resolution par Apple sur Safari.
- Sans cette protection, la meilleure défense reste de ne jamais exécuter une commande copiée depuis une page web, et de l'analyser dans un environnement isolé avant toute action.