Comment vérifier qu'un logiciel est sûr avant de l'installer ?

Le 24 août 2026, l'équipe de recherche Cato CTRL a documenté une campagne d'attaque visant les Mac : un faux installeur de Codex, l'outil de programmation d'OpenAI, diffusé par des liens sponsorisés en tête des résultats Google. Le site imite l'original, logo compris. Au bout du parcours, une instruction : ouvrez le Terminal, collez cette commande. Celui qui obéit installe lui-même un logiciel malveillant sur sa machine. Aucune faille exploitée, aucun piratage du système. Juste une page bien faite et un geste banal. Cette technique porte un nom, ClickFix, et elle progresse vite. Voici comment elle fonctionne, pourquoi elle concerne votre entreprise, et comment vérifier un logiciel avant de l'installer.

Une attaque qui commence par une simple recherche Google

Le scénario décrit par Cato tient en quelques lignes. Un salarié cherche « installer Codex » ou « Codex Mac » sur Google. Le premier résultat est une annonce sponsorisée. Elle mène vers un site propre : le bon logo, les bonnes couleurs, un bouton de téléchargement rassurant. La page affiche ensuite une prétendue étape d'installation : ouvrir le Terminal et coller la ligne de commande fournie.

Cette ligne télécharge et exécute le logiciel malveillant. Rien n'a forcé la machine. La victime a tout fait elle-même, en croyant suivre une procédure officielle.

Les chercheurs appellent cette méthode ClickFix. On la croise depuis 2024 sous plusieurs déguisements : fausse vérification « prouvez que vous êtes humain », faux correctif de navigateur, et désormais faux installeurs d'outils d'intelligence artificielle. Le choix de Codex n'a rien d'un hasard. L'outil est récent, très demandé, et son installation officielle passe justement par une ligne de commande. Les attaquants copient un geste que les utilisateurs légitimes font déjà dix fois par mois.

Pourquoi les protections du Mac ne servent à rien ici

macOS embarque de vraies défenses. Gatekeeper bloque les applications non signées, la notarisation impose un contrôle d'Apple avant toute distribution. Contre un fichier douteux téléchargé au hasard, ces barrières fonctionnent bien.

Elles ne voient pas passer cette attaque. Quand l'utilisateur colle une commande dans son Terminal, il agit avec ses propres droits, de son plein gré. Le système considère l'action comme légitime, puisqu'elle l'est techniquement. La méthode contourne toutes les défenses en passant par la seule porte qu'aucun éditeur ne peut verrouiller : la décision de l'utilisateur.

Le mythe du Mac « qui n'attrape rien » aggrave les choses. Beaucoup de dirigeants et d'équipes ont choisi Apple en partie pour cette réputation. Résultat : moins de méfiance, rarement une protection dédiée, et des machines qui concentrent pourtant l'essentiel des accès sensibles de l'entreprise.

Ce qu'un voleur d'informations récupère en quelques minutes

Le logiciel diffusé dans cette campagne appartient à la famille des voleurs d'informations, les « infostealers ». Leur travail dure quelques minutes : mots de passe enregistrés dans le navigateur, cookies de session, trousseau d'accès macOS, portefeuilles de cryptomonnaies, documents récents.

Les cookies de session méritent une explication. Ce sont les petits fichiers qui vous évitent de retaper votre mot de passe sur votre messagerie ou vos outils en ligne. Volés, ils permettent à l'attaquant de se connecter à votre place, sans mot de passe et sans déclencher la double authentification. La double authentification garde la porte d'entrée ; le cookie volé est une fenêtre restée ouverte.

Un exemple chiffré, prudent, pour fixer les ordres de grandeur. Prenons une entreprise de 25 personnes dont un poste est compromis. Il faut isoler la machine, comprendre ce qui a fuité, réinitialiser tous les mots de passe et toutes les sessions, vérifier les boîtes mail et les accès aux outils en ligne. Comptez deux à cinq jours d'intervention d'un prestataire spécialisé, entre 800 et 1 200 euros la journée, plus le temps perdu en interne pendant que les comptes sont gelés. Si des données personnelles de clients ont fuité, une notification à la CNIL s'impose sous 72 heures. La facture dépasse vite 10 000 euros, pour une attaque qui a coûté aux criminels le prix d'une annonce Google.

Vos équipes installent des outils d'IA en ce moment même

Assistants de rédaction, générateurs d'images, outils de code, résumés de réunion : les salariés adoptent ces outils à un rythme que peu de directions suivent. Souvent sans mauvaise intention. Souvent sans en parler. Chaque installation commence par une recherche Google, donc par une occasion de tomber sur une annonce piégée.

Interdire ne règle rien : ces outils font gagner un temps réel, et les équipes contourneront la consigne. La réponse utile tient en une réunion de dix minutes et deux questions. D'où viennent nos outils ? Qui vérifie avant d'exécuter ?

Cinq réflexes pour vérifier un logiciel avant de l'installer

1. Ignorer les annonces. Les résultats marqués « Sponsorisé » en tête de Google ne garantissent rien : n'importe qui peut acheter une annonce sur le nom d'un logiciel connu. Descendez jusqu'aux résultats naturels, ou mieux, tapez directement l'adresse officielle de l'éditeur.

2. Se méfier de toute commande à coller. Une page web qui demande d'ouvrir le Terminal et de coller une ligne doit provoquer un arrêt immédiat. Certains outils légitimes s'installent bien ainsi, mais uniquement depuis la documentation officielle de l'éditeur, que vous avez rejointe par vos propres moyens. Jamais depuis une page atteinte via une publicité ou un lien reçu.

3. Lire l'adresse du site en entier. openai.com et open-ai-codex.com racontent deux histoires différentes. Regardez le nom de domaine complet, avant le premier « / ». Une lettre en trop, un mot ajouté ou une extension inhabituelle suffisent à trahir la copie.

4. Centraliser les installations. Désignez une personne qui valide les nouveaux outils, et tenez une courte liste des logiciels approuvés avec leurs adresses officielles. Dix lignes dans un document partagé suffisent pour commencer. L'objectif : qu'un salarié qui veut un outil sache à qui demander, plutôt que de chercher seul.

5. Réagir vite en cas de doute. Une commande déjà collée ? Déconnectez la machine du réseau, changez les mots de passe importants depuis un autre appareil, fermez les sessions ouvertes sur vos services en ligne, puis faites examiner le poste. Les premières heures comptent : c'est le temps qu'il faut à un voleur d'informations pour exploiter ce qu'il a pris.

Dix minutes en réunion valent mieux qu'une semaine de crise

Cette campagne ne restera pas isolée. Les attaquants suivent les usages : hier les logiciels piratés, aujourd'hui les outils d'intelligence artificielle. Tant que vos équipes chercheront ces outils sur Google, des annonces piégées les attendront. La parade la plus rentable reste la plus simple : des règles claires sur l'origine des logiciels, connues de toute l'équipe, et une personne identifiée pour valider.

Autensai accompagne les entreprises sur exactement ce terrain : inventaire des outils déjà installés, liste des logiciels approuvés, sensibilisation courte des équipes, protection des postes, Mac compris. Pour faire le point sur vos pratiques d'installation, le plus direct est d'en parler : prendre rendez-vous. Trente minutes suffisent généralement à repérer les gestes à corriger.