Faux écran de vérification Cloudflare : l'arnaque qui vous fait taper vous-même une commande malveillante
« Vérifiez que vous êtes humain », puis Windows + R, Ctrl + V et Entrée : sur des sites suisses piratés, un faux contrôle Cloudflare pousse les visiteurs à installer eux-mêmes un logiciel espion. Comment le reconnaître, que faire si vous avez suivi les instructions et ce que prévoit le droit suisse.
Vous ouvrez le site d'un commerce, d'une association ou d'une PME que vous connaissez. Au lieu de la page attendue, un encadré qui ressemble à celui de Cloudflare vous demande de confirmer que vous n'êtes pas un robot. Mais au lieu de cocher une case ou de choisir des images, il vous demande d'appuyer sur quelques touches de votre clavier. C'est un piège : en suivant ces instructions, vous lancez vous-même un programme malveillant sur votre ordinateur.
Cette méthode porte un nom, « ClickFix ». Le 7 août 2026, l'Office fédéral de la cybersécurité (OFCS) a signalé une augmentation du nombre de sites web compromis en Suisse qui affichent ces faux CAPTCHA. Selon l'OFCS, plus de 100 000 sites sont concernés dans le monde, la plupart fonctionnant avec WordPress, et leur nombre est en hausse en Suisse. Les faux écrans imitent ceux de Cloudflare, le fournisseur américain dont les contrôles anti-robots apparaissent sur de très nombreux sites, et s'affichent dans la langue du visiteur.
Sites touchés dans le monde (OFCS)
Plus de 100 000
Systèmes visés
Windows et macOS
Campagnes suivies par l'OFCS
7 (août 2026)
La règle à retenir
Un vrai contrôle anti-robot ne vous demande jamais d'ouvrir la fenêtre « Exécuter » de Windows, le Terminal de votre Mac, ni de coller et lancer une commande. Si une page vous le demande, fermez-la sans rien taper.
1. Comment fonctionne le faux écran Cloudflare
Le site que vous visitez n'est pas forcément un site frauduleux : c'est souvent un site légitime dont les pirates ont pris le contrôle, par exemple grâce à une faille non corrigée. Ils y ajoutent un script qui affiche le faux contrôle par-dessus le contenu.
Sur un ordinateur Windows
- Étape 1 : l'écran imite la case « Vérifiez que vous êtes humain » de Cloudflare. En cliquant, vous copiez à votre insu une commande dans le presse-papiers.
- Étape 2 : on vous demande d'appuyer sur Windows + R, ce qui ouvre la fenêtre « Exécuter ».
- Étape 3 : on vous demande d'appuyer sur Ctrl + V, ce qui colle la commande cachée.
- Étape 4 : on vous demande d'appuyer sur Entrée. La commande s'exécute et télécharge le logiciel malveillant.
Sur un Mac
Les sites piratés détectent le système utilisé. Selon l'OFCS, les personnes sous macOS sont invitées à exécuter une commande équivalente, et les deux systèmes sont visés dans la même proportion. Ne collez jamais dans le Terminal une commande proposée par un site que vous consultez.
La commande télécharge ensuite d'autres programmes. Il s'agit en général d'un « voleur d'informations » (infostealer) qui récupère les identifiants enregistrés, les données de carte bancaire, les portefeuilles de cryptomonnaies et d'autres données stockées sur l'ordinateur.
Pourquoi l'antivirus ne suffit pas toujours
C'est vous qui ouvrez la fenêtre et qui lancez la commande. Pour le système, il s'agit d'une action volontaire de l'utilisateur, ce qui permet à l'attaque de passer plus facilement les premières protections. D'où l'importance du réflexe : ne jamais exécuter une commande demandée par une page web.
Ce piège peut aussi vous être présenté hors d'un site piraté : lien dans un e-mail de fausse facture, faux site de réservation ou message sur un réseau social. Le principe reste le même. Pour un aperçu des autres variantes du faux CAPTCHA, consultez notre fiche arnaque au faux CAPTCHA (ClickFix).
2. Les signes qui doivent vous alerter
- Le contrôle vous demande d'appuyer sur une combinaison de touches (Windows + R, Ctrl + V, Entrée) au lieu de cocher une case.
- On vous demande de coller un texte que vous n'avez pas copié vous-même, dans la fenêtre « Exécuter », PowerShell ou le Terminal.
- Le message invoque une « erreur de vérification », un « code de validation » ou une « réparation » à effectuer vous-même.
- L'écran apparaît sur un site où vous n'aviez jamais vu de contrôle anti-robot auparavant.
- Une fenêtre noire s'ouvre et affiche des messages de « validation Cloudflare » après la manipulation.
Ce que dit la police
La police rappelle que les CAPTCHA qui demandent de presser des combinaisons de touches cachent souvent une fraude. Les messages suspects peuvent être transmis à Cybercrimepolice.ch.
3. Vous avez tapé la commande : que faire tout de suite
Agissez vite : un voleur d'informations transmet en général les données dès qu'il est installé. L'ordre des démarches compte.
Étape 1 - Isoler l'ordinateur
Coupez le Wi-Fi et débranchez le câble réseau. Si l'appareil est professionnel, prévenez immédiatement votre service informatique.
Étape 2 - Protéger vos comptes depuis un autre appareil
Depuis un téléphone ou un autre ordinateur sain, changez les mots de passe de votre messagerie, de votre e-banking et des comptes enregistrés dans le navigateur. Appelez votre banque pour faire surveiller ou bloquer vos cartes, et déconnectez les sessions ouvertes.
Étape 3 - Faire contrôler ou réinstaller l'ordinateur
Faites vérifier l'appareil par un spécialiste. En cas de doute sur l'infection, une réinstallation complète du système est la solution la plus sûre.
Étape 4 - Conserver les preuves, signaler et porter plainte
Notez l'adresse du site, la date et l'heure, et faites des captures d'écran si possible. Signalez le cas à l'OFCS ou sur Cybercrimepolice.ch. Si de l'argent a été débité ou si vos comptes ont été utilisés, déposez plainte auprès de la police de votre canton.
4. Ce que prévoit le droit suisse
Les auteurs de ces attaques commettent plusieurs infractions prévues par le Code pénal suisse (CP). Selon les circonstances, il peut s'agir notamment :
- Accès indu à un système informatique (art. 143bis CP) : s'introduire sans droit dans un système informatique d'autrui spécialement protégé, ce qui vise aussi le piratage du site web qui affiche le faux écran.
- Détérioration de données (art. 144bis CP) : modifier ou effacer sans droit des données, et fabriquer ou diffuser des logiciels destinés à cet usage.
- Utilisation frauduleuse d'un ordinateur (art. 147 CP) et escroquerie (art. 146 CP) : lorsque les données volées servent à vider un compte, effectuer des paiements ou obtenir de l'argent.
En pratique, les auteurs agissent souvent depuis l'étranger et sont difficiles à identifier. Une plainte reste utile : elle permet de documenter les faits, de recouper les cas et de justifier vos démarches auprès de votre banque ou de votre assurance. Si des paiements ont été effectués avec vos données, signalez-les sans attendre à votre banque.
5. Votre propre site affiche le faux CAPTCHA
Si vous gérez un site et que des visiteurs vous signalent un écran « Cloudflare » inhabituel, ou si l'OFCS vous a écrit, votre site est probablement compromis. L'OFCS informe par e-mail les gestionnaires des sites concernés et les invite à les nettoyer. Selon l'OFCS, la plupart des sites touchés utilisent WordPress, et une combinaison de deux failles corrigées par des mises à jour de sécurité publiées le 17 juillet 2026 a été exploitée sur des sites qui n'avaient pas encore été mis à jour.
Les mesures recommandées par l'OFCS
- Mettre à jour le CMS, les extensions et les thèmes, et activer si possible les mises à jour automatiques.
- Activer l'authentification multifacteur pour tous les comptes d'administration.
- Appliquer les règles de sécurisation de votre CMS (par exemple le guide WordPress Hardening).
Les données de vos clients
Si le piratage a pu donner accès à des données personnelles (comptes clients, formulaires de contact, commandes), vérifiez s'il s'agit d'une violation de la sécurité des données. Lorsqu'elle entraîne vraisemblablement un risque élevé pour les personnes concernées, le responsable du traitement doit l'annoncer dans les meilleurs délais au Préposé fédéral à la protection des données et à la transparence (PFPDT), selon l'art. 24 de la loi sur la protection des données (LPD).
Résumé rapide à retenir
Un vrai contrôle Cloudflare ne demande jamais d'ouvrir la fenêtre « Exécuter » ou le Terminal, ni de coller une commande.
Le faux écran s'affiche sur des sites légitimes piratés, surtout sous WordPress, y compris en Suisse.
Si vous avez tapé la commande : coupez Internet, changez vos mots de passe depuis un autre appareil et prévenez votre banque.
Signalez le cas à l'OFCS ou sur Cybercrimepolice.ch et déposez plainte si vous avez subi un dommage.
Vos données ou votre argent ont été dérobés ?
Plainte pénale, contestation des débits auprès de la banque, obligations d'annonce si votre site a été piraté : décrivez votre situation, nos spécialistes vous orientent vers les bonnes démarches.
Questions fréquentes
-
Comment savoir si un écran de vérification Cloudflare est faux ?
Le vrai contrôle se limite à une case à cocher ou se valide tout seul. S'il vous demande d'appuyer sur Windows + R, de coller quelque chose ou d'ouvrir le Terminal, c'est un faux. Fermez l'onglet sans rien taper.
-
J'ai seulement cliqué sur la case, sans appuyer sur les touches : suis-je infecté ?
Le clic copie en général la commande dans votre presse-papiers, mais c'est son exécution qui installe le logiciel malveillant. Si vous n'avez pas collé ni lancé la commande, fermez la page et copiez un autre texte pour remplacer le contenu du presse-papiers. En cas de doute, faites contrôler l'ordinateur.
-
Le site que je visitais est-il responsable ?
Le gestionnaire du site est généralement lui-même victime du piratage. Sa responsabilité dépend des circonstances, notamment des mesures de sécurité qu'il avait prises. Les auteurs de l'attaque restent les premiers responsables sur le plan pénal.
-
Où signaler un faux CAPTCHA en Suisse ?
Vous pouvez le signaler à l'Office fédéral de la cybersécurité (OFCS) ou sur Cybercrimepolice.ch. Si vous avez subi un dommage, déposez plainte auprès de la police de votre canton.
Textes officiels et ressources utiles
- OFCS - Augmentation du nombre de faux CAPTCHA (7 août 2026)
- ThreatLocker - Fausse vérification Cloudflare et attaque ClickFix (janvier 2026, en anglais)
- Netzwoche - La police met en garde contre les faux CAPTCHA (en allemand)
- Fedlex - Code pénal suisse (CP, RS 311.0)
- Fedlex - Loi fédérale sur la protection des données (LPD, RS 235.1)
Rédigé par la Rédaction juridique JuriUp
Équipe de rédaction et de contenu juridique de JuriUp, plateforme de mise en relation avec des experts juridiques en Suisse romande.
