Depuis des années, des milliers de documentations techniques utilisent un même nom de domaine comme simple exemple, un peu comme on écrirait « Jean Dupont » dans un formulaire type. Problème : ce domaine n’est pas réservé. Il appartient à quelqu’un, et depuis au moins juin 2026, il sert une fausse page de vérification qui piège les utilisateurs Windows.
Ce qui s’est passé
Le 23 septembre 2026, BleepingComputer a relayé une découverte de la société Manifold Security (BleepingComputer, 23 septembre 2026). En étudiant des documentations techniques et des modules pour agents d’intelligence artificielle, ses chercheurs ont remarqué qu’un nom de domaine cité partout comme exemple affichait une page piégée.
Selon Manifold, ce domaine apparaît dans plus de 1 700 projets publics de code, y compris dans des exemples de projets très connus. Il avait été enregistré dès 1996, mais on ne sait pas quand ni comment il est passé sous le contrôle de personnes malveillantes (The Hacker News, 24 septembre 2026).
Un point mérite d’être connu de tous ceux qui rédigent de la documentation : seuls quelques noms, comme example.com, example.net et example.org, sont officiellement réservés à cet usage et ne peuvent pas être achetés. Tous les autres « noms d’exemple » peuvent appartenir à n’importe qui. Manifold en a d’ailleurs repéré 13 autres du même type, dont deux servent déjà des arnaques aux visiteurs sur Mac.
Comment l’attaque a fonctionné
La technique utilisée s’appelle « ClickFix ». Elle ne repose sur aucune faille logicielle : c’est l’utilisateur lui-même qui lance le programme malveillant, en croyant suivre une consigne normale.
- Le visiteur arrive sur le domaine, par exemple en cliquant sur un lien d’exemple dans une documentation.
- Une fausse page de vérification s’affiche, qui imite celle de Cloudflare (un service très répandu qui protège les sites web) : « Vérifiez que vous êtes humain ».
- Au clic, une commande est copiée en douce dans le presse-papiers de l’ordinateur.
- La page demande ensuite d’appuyer sur Windows + R, de coller, puis de valider. Ce raccourci ouvre une fenêtre qui exécute directement des commandes. La commande collée télécharge alors un programme depuis Internet et le lance.
Détail important : la page ne montre son piège qu’aux ordinateurs Windows. Sur Mac ou Linux, elle affiche un simple message d’erreur. Résultat, un outil d’analyse automatique ou un expert qui teste depuis un serveur Linux ne voit rien d’anormal. C’est l’une des raisons pour lesquelles le piège est passé inaperçu si longtemps.
Le domaine est aujourd’hui signalé comme dangereux par les listes de sécurité de Google, selon The Hacker News. Mais il reste en ligne et pourrait servir de nouveau.
Ce qu’on ne sait pas encore
- Le programme final installé sur les ordinateurs piégés n’a pas pu être identifié : le serveur de téléchargement ne répondait plus lors des tests de BleepingComputer. Ce type d’attaque sert en général à installer des logiciels qui volent les mots de passe ou donnent un accès à distance.
- Aucune victime n’a été signalée publiquement à ce stade.
Ce que ça change pour une PME
Il n’y a pas de correctif à installer : le risque vient d’une habitude. Les bonnes réponses sont donc surtout des règles simples.
- Faites passer une règle d’or à toutes vos équipes : aucun site légitime, aucune vérification « anti-robot », aucun support technique ne vous demandera de coller une commande dans Windows + R ou dans un terminal. Si cela arrive, on ferme la page et on prévient.
- Demandez à votre prestataire de limiter ce que peut lancer un utilisateur standard sur son poste, par exemple en bloquant l’accès aux outils de commandes (comme PowerShell) pour ceux qui n’en ont pas besoin.
- Si vous développez ou faites développer des outils, imposez l’usage des seuls domaines réservés (example.com, example.net, example.org) dans la documentation, les tests et les exemples, et faites rechercher les autres noms d’exemple dans votre code.
- Méfiez-vous des modules prêts à l’emploi pour vos outils d’intelligence artificielle : vérifiez les adresses qu’ils contiennent avant de les installer, un agent d’IA peut suivre un lien piégé aussi bien qu’un humain.
Dossier : Pièges tendus aux utilisateurs
Cet article prolonge notre bulletin de veille du 25 septembre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.