ClickFix Chrome : protégez votre PME de cette arnaque

Imaginez : l'un de vos employés tombe sur un message d'erreur qui lui demande de suivre quelques étapes simples pour « réparer » son ordinateur. Il suit les instructions, colle une commande dans son terminal… et en quelques secondes, un pirate a accès à votre réseau d'entreprise. C'est exactement ce que font les attaques ClickFix. Et elles explosent en 2026. La bonne nouvelle : Google Chrome vient d'intégrer une protection spécifique contre ce piège. Voici ce que vous devez savoir, et ce que vous devez faire.

ClickFix : l'arnaque qui retourne vos employés contre vous

Le principe de ClickFix est redoutablement simple. Votre collaborateur visite un site web — parfois un site légitime qui a été compromis, parfois une imitation convaincante d'un outil qu'il utilise au quotidien (Microsoft 365, Google Meet, un outil RH). Une fausse fenêtre d'erreur s'affiche : « Votre navigateur doit être mis à jour », « Une vérification est nécessaire pour accéder au document », « Erreur système détectée ». La page lui explique ensuite comment « régler le problème » : copier une commande affichée à l'écran, ouvrir le menu Démarrer de Windows, coller la commande et appuyer sur Entrée. Ce que votre employé ne sait pas, c'est que cette commande est en réalité un programme malveillant déguisé. En l'exécutant, il installe lui-même le logiciel qui va permettre aux pirates de voler des données, des mots de passe, ou de bloquer votre système contre rançon. Ce qui rend ClickFix particulièrement dangereux, c'est qu'il contourne tous vos antivirus : c'est l'humain qui exécute volontairement l'action. Aucun logiciel de sécurité ne peut bloquer ce qu'un utilisateur fait délibérément.

Pourquoi vos collaborateurs sont particulièrement exposés

Dans une PME, les salariés portent souvent plusieurs casquettes, travaillent dans l'urgence, et n'ont pas toujours reçu de formation spécifique aux menaces informatiques. Ce sont exactement les conditions qui favorisent ce type d'attaque d'ingénierie sociale. L'ingénierie sociale, c'est l'art de manipuler les gens pour qu'ils agissent contre leur propre intérêt — sans qu'ils s'en rendent compte. Les messages ClickFix sont conçus pour créer un sentiment d'urgence (« Votre accès sera suspendu dans 5 minutes »), imiter des interfaces officielles que tout le monde reconnaît, et proposer une solution qui semble simple et logique. Un comptable pressé qui veut juste accéder à sa facture, un commercial qui ne veut pas rater une réunion Teams, un assistant qui gère dix choses à la fois : tous peuvent tomber dans le piège, même en étant vigilants. En 2026, les campagnes ClickFix ciblent activement les PME françaises, souvent moins bien protégées que les grandes entreprises, et donc plus rentables à attaquer à grande échelle.

La réponse de Chrome : un bouclier intégré contre ClickFix

Google a décidé de s'attaquer directement au problème. Les dernières versions de Chrome intègrent désormais des avertissements spécifiques contre les attaques ClickFix. Concrètement, lorsque Chrome détecte qu'une page web tente de faire copier-coller une commande suspecte à l'utilisateur, un message d'alerte s'affiche pour le mettre en garde avant qu'il ne commette l'erreur. Cette protection repose sur la navigation sécurisée améliorée de Chrome — appelée « Protection renforcée » dans les paramètres du navigateur. Ce mode analyse en temps réel les pages visitées et les compare à une base de données de menaces connues, incluant désormais les schémas ClickFix. Pour que cette protection soit active sur les postes de vos employés, elle doit être explicitement activée : elle n'est pas allumée par défaut sur tous les appareils. C'est un geste simple qui prend moins de deux minutes par poste, et qui ajoute une couche de défense concrète contre un vecteur d'attaque en pleine expansion.

Ce que vous pouvez faire dès maintenant

1. Activez la Protection renforcée sur Chrome pour tous vos employés. Dans Chrome, allez dans Paramètres → Confidentialité et sécurité → Sécurité → sélectionnez « Protection renforcée ». Faites-le sur chaque poste, ou demandez à votre prestataire informatique de le déployer automatiquement. 2. Montrez à vos équipes à quoi ressemble une attaque ClickFix. Pas besoin d'une longue formation : envoyez un email simple avec un exemple visuel. Le simple fait de savoir que ça existe suffit souvent à éveiller la méfiance au bon moment. 3. Posez une règle claire : jamais copier-coller une commande depuis un site web. Si un site demande à un employé d'ouvrir le menu Démarrer ou un terminal et d'y coller quelque chose, c'est une attaque. Point. Cette règle ne souffre aucune exception. 4. Mettez Chrome à jour sur tous les postes. La protection ClickFix est intégrée dans les versions récentes du navigateur. Un Chrome non mis à jour, c'est une protection qui n'existe pas. Vérifiez que les mises à jour automatiques sont bien activées. 5. Parlez-en à votre prestataire informatique. Si vous n'avez pas encore de politique de sécurité navigateur dans votre entreprise, c'est le bon moment pour en définir une. Ces quelques actions ne coûtent rien et peuvent éviter des semaines de crise — et des dizaines de milliers d'euros de dommages.