TerminalFix : le faux CAPTCHA qui piège vos employés

Imaginez : l'un de vos employés visite un site web banal — un forum professionnel, un article de blog, une page fournisseur. Une fenêtre s'affiche, sobre et rassurante : « Vérification de sécurité Cloudflare. Prouvez que vous n'êtes pas un robot. » Il suit les instructions, copie-colle une commande dans Windows, appuie sur Entrée. Trente secondes plus tard, un pirate informatique a un accès complet à son poste de travail — et potentiellement à tout votre réseau d'entreprise. Ce scénario n'est pas de la fiction. C'est exactement ce que fait TerminalFix, un nouveau variant de la famille d'attaques ClickFix, qui cible activement les PME françaises et européennes.

Comment fonctionne le piège TerminalFix ?

TerminalFix exploite un mécanisme redoutablement simple : la confiance aveugle que la plupart d'entre nous accordons aux vérifications CAPTCHA. Cloudflare, l'entreprise qui sécurise des millions de sites web dans le monde, affiche régulièrement de vrais CAPTCHA pour filtrer les robots. Les cybercriminels ont reproduit à l'identique cette interface — logo, couleurs, formulation — pour créer un faux CAPTCHA quasi indétectable. Concrètement, voici ce qui se passe. L'employé atterrit sur un site compromis ou malveillant. La fausse fenêtre Cloudflare s'affiche et lui demande de « compléter la vérification » en suivant trois étapes : appuyer sur les touches Windows + R (ce qui ouvre la fenêtre Exécuter de Windows), coller une commande déjà copiée dans le presse-papiers, puis appuyer sur Entrée. Cette commande lance discrètement PowerShell — l'outil d'administration intégré à Windows — qui télécharge et installe un backdoor (une « porte dérobée ») sur le poste. L'employé, convaincu d'avoir simplement prouvé qu'il était humain, continue sa navigation. Il ne s'est rendu compte de rien. C'est précisément la force de cette attaque de type ClickFix PowerShell : elle transforme l'utilisateur lui-même en vecteur d'infection, contournant ainsi la plupart des antivirus et des filtres de sécurité automatiques.

Pourquoi vos employés tombent dans le piège (et ce n'est pas leur faute)

Il serait tentant de blâmer l'inattention ou la négligence. Ce serait une erreur. TerminalFix est conçu par des professionnels qui ont étudié la psychologie humaine avec soin. Plusieurs facteurs rendent ce piège particulièrement efficace en PME. D'abord, la légitimité apparente : le faux CAPTCHA Cloudflare malware est visuellement parfait. Même un utilisateur averti peut s'y laisser prendre au premier coup d'œil. Ensuite, le contexte de confiance : l'employé est sur un site qu'il connaît, ou qui lui a été envoyé par un collègue dont le compte a été compromis. Il n'a aucune raison de se méfier. Enfin, l'urgence fabriquée : la fenêtre indique souvent que la vérification est obligatoire pour accéder au contenu. Refuser, c'est bloquer sa propre navigation. Dans une journée chargée, la résistance est faible. En PME, ce risque est amplifié par un manque de sensibilisation formelle et par des droits administrateurs souvent accordés trop largement sur les postes de travail — ce qui permet à la commande malveillante de s'exécuter sans obstacle.

Quelles sont les conséquences concrètes pour votre entreprise ?

Une fois le backdoor installé, les attaquants disposent d'un accès persistant et discret au poste infecté. Ils peuvent agir immédiatement ou attendre des semaines avant de passer à l'action, ce qui complique enormément la détection. Les conséquences possibles sont graves : vol de données sensibles (fichiers clients, contrats, données RH, identifiants bancaires), propagation latérale sur le réseau interne pour infecter d'autres postes et serveurs, déploiement d'un ransomware qui chiffre tous vos fichiers contre rançon, ou encore espionnage industriel discret sur la durée. Pour une PME, une seule infection de ce type peut coûter plusieurs dizaines de milliers d'euros entre la remédiation technique, l'arrêt d'activité, les obligations légales de notification (RGPD) et les dommages réputationnels. La bonne nouvelle : des mesures simples permettent de réduire drastiquement ce risque.

Ce que vous pouvez faire dès maintenant

1. Sensibilisez vos équipes avec un message clair et immédiat : envoyez dès aujourd'hui un email à tous vos collaborateurs pour leur expliquer qu'aucun CAPTCHA légitime ne leur demandera jamais d'ouvrir Windows, de copier-coller une commande ou d'utiliser PowerShell. Une règle simple à retenir : si une page web vous demande d'exécuter quoi que ce soit sur votre ordinateur, c'est une arnaque.

2. Restreignez les droits administrateurs sur les postes de travail : la majorité des employés n'ont pas besoin de droits d'administration pour travailler. En les supprimant, vous empêchez les commandes malveillantes de s'installer, même si l'employé les exécute par erreur. Demandez à votre prestataire informatique de vérifier ce point en priorité.

3. Bloquez l'accès à PowerShell pour les utilisateurs standard : via les stratégies de groupe Windows (GPO), il est possible d'empêcher les utilisateurs non-administrateurs de lancer PowerShell. C'est une mesure technique rapide qui neutralise directement le mécanisme d'infection de TerminalFix et des attaques ClickFix PowerShell similaires.

4. Activez une solution de filtrage web : un outil de filtrage DNS (comme Cisco Umbrella, Cloudflare Gateway ou des solutions équivalentes accessibles aux PME) bloque automatiquement les sites malveillants connus avant même que la page s'affiche. Cela réduit considérablement la surface d'exposition.

5. Mettez en place une procédure de signalement rapide : vos employés doivent savoir à qui signaler un comportement suspect — une fenêtre étrange, une action qu'ils regrettent d'avoir faite — sans craindre d'être réprimandés. Plus un incident est signalé tôt, plus il est facile et peu coûteux à contenir. La vigilance collective est votre meilleur bouclier contre des attaques aussi sophistiquées que TerminalFix.