Publié le 7 août 2026

Augmentation du nombre de faux CAPTCHA

L’OFCS constate actuellement une augmentation du nombre de sites web compromis qui, à l’aide de faux CAPTCHA, tentent d’inciter les internautes à exécuter des commandes informatiques dommageables, ceci dans le but d’infecter leur ordinateur avec des maliciels. Plus de 100 000 sites sont concernés dans le monde, leur nombre en Suisse étant à la hausse.

Les CAPTCHA sont de petits tests de sécurité qui aident les gestionnaires de sites web à protéger leurs pages des accès automatisés par des robots (appelés « bots »). À cette fin, les personnes qui visitent le site doivent cocher une case et résoudre ensuite un casse-tête constitué de chiffres ou d’images. La popularité croissante des CAPTCHA de ce type et la notoriété qui en résulte auprès des internautes sont désormais de plus en plus mises à profit par les pirates informatiques.

Plus de 100 000 sites concernés dans le monde

En février 2026, l’OFCS a consacré une rétrospective à une méthode d’ingénierie sociale appelée « ClickFix ». Les pirates tentent, par le biais de faux CAPTCHA ou de prétendus messages d’erreur, d’inciter les personnes qui visitent le site à exécuter une commande dommageable afin d’infecter leur ordinateur avec un maliciel (ou « malware »). Au cours des dernières semaines, l’OFCS a constaté une augmentation du nombre de sites web compromis en Suisse qui affichent de faux CAPTCHA. La plupart de ces sites utilisent le système de gestion de contenu (CMS) WordPress. Plus de 100 000 sites sont déjà concernés dans le monde. L’OFCS informe les gestionnaires des sites concernés par courriel et les invite à procéder à un nettoyage.

Ces faux CAPTCHA imitent ceux de Cloudflare, un fournisseur américain de réseau de diffusion de contenu, et s’adaptent à la langue locale. Les sites web piratés prennent également en compte le système d’exploitation utilisé. Ainsi, les personnes utilisant Windows sont invitées à exécuter une commande PowerShell et celles utilisant macOS son équivalent. Les deux systèmes sont concernés dans la même proportion.

Actuellement, l’OFCS suit sept campagnes menées dans le but d’infecter des ordinateurs à l’aide de la méthode ClickFix décrite ci-dessus.

Vol des données sensibles par le maliciel

Si la victime suit les instructions d’un site web compromis et exécute la commande demandée, elle télécharge alors d’autres codes malveillants depuis internet. Pour stocker et diffuser ces codes, les pirates informatiques ont recours à la blockchain (une technique appelée « EtherHiding »), accessible via les interfaces web de fournisseurs RPC qui permettent d’accéder aux réseaux.

Le logiciel téléchargé par le code malveillant est généralement ce qu’on appelle un voleur d'informations : il vise les identifiants, les informations de carte bancaire, les portefeuilles cryptographiques et autres données sensibles stockées sur l’ordinateur de la victime. Ces programmes, « Vidar » par exemple, peuvent être achetés sur le « dark web », ce qui en fait un outil très prisé.

Faille du CMS WordPress : « WP2Shell »

La plupart des sites corrompus utilisent le CMS WordPress. Ces derniers jours, l’OFCS a reçu un nombre croissant de signalements émanant de gestionnaires de sites web et de fournisseurs d’hébergement web suisses, qui ont fait état de deux failles (CVE-2026-63030 et CVE-2026-60137) récemment découvertes dans WordPress. C’est leur combinaison, connue sous le nom de « WP2Shell », qui est utilisée. WordPress a publié, le 17 juillet 2026, des mises à jour de sécurité destinées à corriger ces vulnérabilités. Malheureusement, tous les gestionnaires de sites web ne les ont pas encore installées, ce qui a entraîné des compromissions. L’OFCS a également pris connaissance de cas dans lesquels des pirates auraient réussi, en exploitant la faille « WP2Shell » et en recourant à une méthode encore inconnue, à compromettre d’autres sites web hébergés sur le même serveur.

Il n’est pas exclu que ces atteintes constituent des actes préparatoires visant à mettre en place, à une date ultérieure, de faux CAPTCHA afin d’infecter d’autres personnes de la même manière.

Recommandations

Recommandations à la population

  • Attention aux commandes informatiques
    N’exécutez jamais une commande informatique (p. ex. exécution via Windows + R), si un site vous le demande. Quittez la page sans attendre et, en cas de doute, demandez conseil à des spécialistes.
  • Mise à jour des logiciels
    Assurez-vous que votre ordinateur et les logiciels qui y sont installés soient toujours à jour.
  • Protection antivirus
    Veillez à ce qu’un antivirus à jour soit toujours installé sur votre ordinateur.

Recommandations aux gestionnaires de sites web

  • Mise à jour des logiciels
    Assurez-vous que le CMS que vous utilisez est toujours à jour. Vérifiez également que tous les plug-ins et add-ons sont à jour. Activez si possible la fonction de mise à jour automatique.
  • Authentification multifacteurs
    Si votre CMS le permet, activez l’authentification multifacteurs (MFA) pour tous les comptes.
  • Sécurisation du CMS
    Respectez les bonnes pratiques ou les consignes de sécurité du fournisseur de votre CMS:

Recommandations aux entreprises et aux gestionnaires d’infrastructures critiques

  • Blocage des fournisseurs RPC
    Les entreprises et les gestionnaires d’infrastructures critiques qui n’opèrent pas dans le secteur des technologies financières devraient limiter les connexions sortantes vers les fournisseurs RPC. Vous trouverez une liste sur GitHub (archive GovCERT).
  • Sensibilisation
    Il faut informer le personnel sur la méthode « ClickFix » et l’utilisation des CAPTCHA.