Vous annulez une demande de mot de passe suspecte sur votre Mac, et quelques heures plus tard, à la prochaine ouverture de session, impossible d'utiliser votre ordinateur. Finder se ferme, Safari aussi et Chrome disparaît, le Dock s'évanouit.. Encore et encore, toutes les 210 millisecondes, pendant des heures. Seule chose qui reste à l'écran : une fenêtre vous demandant votre mot de passe.
C'est le principe de ClickLock, un nouveau malware pour macOS repéré par Group-IB en juin 2026. Au moins 100 victimes dans 33 pays depuis mai, dont plus de la moitié en Europe. Et ce n'est probablement que le début : les analystes estiment que ce logiciel malveillant est encore en développement.
Comment ce malware arrive sur votre Mac
Il utilise une technique appelée ClickFix : vous tombez sur une page qui ressemble à une vérification Cloudflare (vous savez, ces cases à cocher "Je ne suis pas un robot"). La page vous demande de copier-coller une commande dans le Terminal de votre Mac pour "résoudre un problème".
Une fois la commande lancée, une fausse fenêtre système apparaît, avec votre vrai nom d'utilisateur et le logo Apple. Elle demande votre mot de passe. Si vous l'entrez, c'est fini : vos données partent immédiatement. Si vous annulez, le piège se referme différemment.
Le chantage commence après que vous ayez refusé
ClickLock est particulièrement vicieux car il a été conçu pour les utilisateurs prudents. Ceux qui refusent de donner leur mot de passe à une fenêtre suspecte.
Quand vous cliquez sur "Annuler", le malware installe discrètement deux programmes cachés qui se lanceront automatiquement à votre prochaine connexion. Ces programmes vont alors :
- Fermer en boucle Finder, le Dock, Safari, Chrome, Firefox, Terminal, le Moniteur d'activité... toutes les 210 millisecondes, pendant jusqu'à 83 heures
- Bloquer les notifications système pendant 6 heures pour que macOS ne vous prévienne de rien
- Afficher en permanence une vraie fenêtre système demandant l'accès à votre trousseau (où sont stockés tous vos mots de passe)
Votre Mac devient totalement inutilisable. Impossible d'ouvrir le Moniteur d'activité pour voir ce qui se passe. Impossible d'utiliser Terminal pour arrêter les processus. La seule issue que vous voyez : taper votre mot de passe.
Ce que les pirates récupèrent
Une fois que vous cédez (par épuisement ou désespoir), ClickLock aspire en quelques secondes :
- Votre mot de passe macOS
- Tous les mots de passe enregistrés dans Chrome, Safari, Firefox
- Les portefeuilles de cryptomonnaies installés sur votre Mac (si vous en avez)
- Les coffres-forts de vos gestionnaires de mots de passe
- L'historique de vos commandes Terminal
- Les identifiants FileZilla (logiciel de transfert de fichiers)
Le tout est envoyé via Telegram. Et cerise sur le gâteau : les pirates récupèrent une clé spéciale qui leur permet de décrypter vos mots de passe Chrome à tout moment, même après coup, tranquillement chez eux.
Ce que vous devez savoir
- macOS 26.4 inclut une protection, mais elle n'alerte que si vous n'utilisez pas Terminal régulièrement, et vous pouvez cliquer sur "Coller quand même"
- Les sites hébergeant le malware sont des sites légitimes piratés (dont un WordPress compromis), avec une bonne réputation
- Aucun antivirus ne détectait ClickLock sur VirusTotal au moment de son analyse par Group-IB
Quelques conseils
- Ne collez jamais de commande dans Terminal sans comprendre ce qu'elle fait, même si la page a l'air officielle
- Si une fenêtre système demande votre mot de passe de manière inattendue, fermez-la et redémarrez votre Mac (ou tout autre ordinateur). Une vraie demande système reviendra dans un contexte logique
- Activez l'authentification à deux facteurs partout : même avec vos mots de passe volés, les pirates ne pourront pas se connecter facilement à vos comptes
- Si votre Mac devient soudainement inutilisable avec des applications qui se ferment en boucle, éteignez-le immédiatement et prenez conseil auprès un professionnel avant de le rallumer