Un nouveau malware baptisé ClickLock Stealer cible les utilisateurs de Mac depuis le mois de mai 2026. Son principe : piéger la victime avec un faux test « je ne suis pas un robot », puis verrouiller entièrement l'écran jusqu'à ce que la victime tape son mot de passe de session, porte ouverte sur tous les mots de passe stockée sur la machine.
Comment fonctionne cette nouvelle menace ?
ClickLock Stealer, découvert et documenté par les chercheurs de Group-IB, repose sur une technique aujourd'hui devenue l'une des plus efficaces contre macOS : le ClickFix. Le principe ne consiste plus à faire télécharger un fichier suspect, mais à convaincre l'utilisateur d'exécuter lui-même une commande malveillante.
Concrètement, la victime tombe sur une page web (souvent via un lien publicitaire, un forum ou un site compromis) qui affiche un faux test de vérification Cloudflare ou je ne suis pas un robot. Au lieu d'une simple case à cocher, la page invite à ouvrir le Terminal de macOS et à y coller une commande pour prouver que vous n'êtes pas un robot. Cette commande télécharge et exécute en réalité le malware.
Une fois lancé, ClickLock Stealer affiche une fenêtre de connexion permanente et se met à fermer de force toutes les applications visibles toutes les 210 millisecondes : Safari, Mail, Finder, tout y passe sauf sa propre fenêtre. Impossible de forcer l'arrêt du processus ou de reprendre la main : la seule échappatoire proposée à l'écran est de saisir son mot de passe de session. Une fois ce mot de passe obtenu, le malware s'en sert pour accéder au trousseau macOS et collecter silencieusement identifiants de navigateur, extensions de wallets crypto, fichiers de portefeuilles desktop et données de gestionnaires de mots de passe, avant de tout renvoyer à ses opérateurs via un bot Telegram qui sert de canal de commande.
Quels sont les risques pour les utilisateurs macOS ?
Ce qui rend ClickLock Stealer particulièrement dangereux, c'est qu'il ne se contente pas de voler des données stockées : il obtient le mot de passe de session lui-même, la clé qui protège en temps normal le trousseau macOS, les mots de passe enregistrés et les données chiffrées de l'appareil. Une fois ce sésame en main, les attaquants disposent d'un accès quasi complet à l'identité numérique de la victime.
des identifiants stockés dans les navigateurs
des cookies de session permettant d’accéder à des services sans mot de passe
des portefeuilles de cryptomonnaies
des fichiers stockés localement
des informations système utiles pour persister sur la machine
Comment se protéger efficacement ?
Ces attaques étant fondées sur la manipulation psychologique et la confiance dans les outils d’IA, la prévention repose avant tout sur la vigilance. Voici les recommandations essentielles :
ne jamais exécuter une commande Terminal trouvée en ligne sans la vérifier
se méfier des publicités sponsorisées sur Google : même si elles renvoient vers un domaine reconnu, leur provenance réelle peut être malveillante
télécharger des logiciels uniquement sur l'App Store ou sur les sites éditeurs
