Fausse mise à jour : reconnaître la vraie en trois secondes

↑ Ce conseil fait partie du guide : Ordinateur et appareils piratés

Fausse mise à jour : comment la reconnaître ?

Si la proposition de mise à jour apparaît pendant que vous naviguez, elle est fausse. Les vraies ne passent jamais par une page web : elles viennent du système ou du logiciel lui-même, dans ses propres réglages. Fermez l'onglet sans rien télécharger, puis allez vérifier vous-même dans Paramètres → Windows Update, ou dans le menu À propos de votre navigateur.

1. Ne cliquez sur aucun bouton de la page, même « Plus tard »
2. Sortez du plein écran avec Échap ou F11
3. Fermez l'onglet, et refusez la restauration des pages
4. Vérifiez la mise à jour par le chemin officiel de l'appareil
5. Si un fichier est descendu : supprimez-le sans l'ouvrir

La règle qui tranche, et le seul endroit légitime

Une seule chose à retenir : un éditeur de logiciel ne vous annonce pas une mise à jour depuis le site d'un tiers. Microsoft, Google, Apple et Samsung distribuent leurs correctifs par leur propre canal, intégré à l'appareil. Un site de streaming ou un forum n'a aucun moyen de savoir quelle version vous utilisez, et encore moins d'y toucher.

Cybermalveillance.gouv.fr le dit des écrans d'alerte surgissants : « Ce message n'est pas une alerte du système ou de l'antivirus de la victime, il s'agit d'une page Internet frauduleuse agressive. » La formule vaut mot pour mot pour la fausse mise à jour : c'est une page, pas un programme.

Appareil	Le seul endroit où la vraie mise à jour s'affiche
Windows 10 et Windows 11	Démarrer → Paramètres → Windows Update
Google Chrome	Menu ⋮ → Aide → À propos de Google Chrome
Edge, Firefox, Safari	Le menu À propos, qui affiche le numéro de version et met à jour tout seul
Android et Samsung	Paramètres → Mise à jour du logiciel ; les applications, par le Play Store
iPhone et iPad	Réglages → Général → Mise à jour logicielle
Mac	Réglages Système → Général → Mise à jour de logiciels

Le cas le plus simple reste Flash Player. Adobe a cessé de le prendre en charge le 31 décembre 2020 et bloque l'exécution du contenu Flash depuis le 12 janvier 2021. Plus aucune mise à jour légitime n'existe depuis cette date. Une page qui en propose une — il y en a encore, notamment sur Mac sous forme de fichier à ouvrir — est frauduleuse à 100 %, sans examen à faire. Même raisonnement pour les « codecs vidéo manquants » d'un site de streaming.

Les cinq signes d'une fausse mise à jour

1. Elle arrive pendant que vous naviguez. C'est le signe le plus fiable, et le plus ignoré. Une mise à jour réelle ne se déclenche pas parce que vous avez ouvert un site : elle suit l'appareil, pas la page. Regardez la barre d'adresse : si elle est encore là, vous êtes dans un onglet, donc chez un inconnu. Cinq maquillages d'adresse suffisent à faire passer un domaine quelconque pour un site officiel.

2. Elle vous met en retard. Compte à rebours, « 3 menaces détectées », « votre licence expire aujourd'hui », couleurs rouges et son d'alerte. Windows Update n'a jamais compté les secondes ni fait peur. L'urgence fabriquée empêche le réflexe de vérification : c'est la grammaire de la fausse alerte antivirus, dont la fausse mise à jour est la variante polie.

3. Elle fait descendre un fichier. Une vraie mise à jour de système ou de navigateur ne passe pas par votre dossier Téléchargements : ni Windows Update, ni le Play Store, ni l'App Store n'y déposent quoi que ce soit. Méfiez-vous de toute extension exécutable — .exe, .msi, .scr sur Windows, .dmg ou .pkg sur Mac, .apk sur Android — et du nom du fichier : chrome-update, setup_flash, MAJ_securite. Avant de supprimer, on peut le faire analyser par soixante-dix moteurs en une minute, sans rien installer.

4. Elle demande un geste qu'aucune mise à jour ne demande. Coller une commande, cocher « autoriser les sources inconnues », installer un profil, appeler un numéro d'assistance, désactiver l'antivirus. Chacune de ces demandes est à elle seule une réponse : c'est non. Sur iPhone, un profil de configuration posé par une page est l'un des rares moyens de prendre la main sur l'appareil, et il se repère facilement.

5. Elle ne survit pas au chemin officiel. Quittez la page et allez consulter la mise à jour dans les réglages. Deux issues seulement : le système se dit à jour, donc la page mentait ; ou il en propose une réellement, et vous l'installez depuis là. Dans les deux cas, vous n'avez rien téléchargé.

L'écran de mise à jour qui prend tout l'écran

C'est la version la plus impressionnante : fond bleu, police de Windows, roue qui tourne, « Mise à jour en cours, 37 %, n'éteignez pas votre ordinateur ». Parfois le pourcentage avance pour de vrai. Ce n'est qu'une page web passée en plein écran par le navigateur, une fonction ordinaire que les sites de vidéo utilisent tous les jours.

Cybermalveillance.gouv.fr donne la sortie dans les mêmes termes pour tous ces écrans : « Appuyez sur la touche Echap/Esc ou F11 de votre clavier pour quitter le mode plein écran. » Si cela ne suffit pas, la plateforme conseille de redémarrer l'ordinateur. Trois recours complémentaires :

• Alt + F4 ferme la fenêtre active sans passer par la souris, dont le curseur est parfois dessiné dans la page pour vous faire croire qu'il est bloqué.
• Ctrl + Alt + Suppr, puis Gestionnaire des tâches, puis Fin de tâche sur le navigateur. Si ce raccourci ne répond pas, le gestionnaire des tâches peut avoir été désactivé, et c'est un signe sérieux.
• Au redémarrage, refusez la restauration des pages. C'est l'erreur que je vois le plus souvent : le navigateur propose de rouvrir les onglets, la personne accepte, et l'écran revient. Démarrez sur une page d'accueil fixe.

Faites ensuite le tour des portes que la page a pu entrouvrir. Une autorisation de notifications accordée au passage affiche encore des alertes longtemps après la fermeture de l'onglet : quatre cachettes sont à vider. Et une extension installée dans Chrome survivra à tous les redémarrages.

« Appuyez sur Windows + R » : le piège récent

Une variante s'est répandue depuis deux ans, et elle contourne tout ce que votre navigateur sait bloquer. La page affiche une fausse vérification anti-robot — « Confirmez que vous êtes humain » — puis, au lieu d'une case à cocher, donne trois instructions : appuyer sur Windows + R, faire Ctrl + V, valider par Entrée. Le prétexte varie : réparer l'affichage, corriger une erreur, finir une mise à jour.

En affichant ces consignes, la page a silencieusement rempli votre presse-papiers avec une ligne de commande. Vous ne téléchargez rien et ne cliquez sur aucun avertissement : c'est vous qui exécutez, à la main, dans la fenêtre Exécuter de Windows. Aucun contrôle de sécurité ne s'interpose, puisque le geste vient de l'utilisateur. Les variantes font ouvrir PowerShell, le Terminal sur Mac, ou valider par Ctrl + Maj + Entrée pour les droits d'administration.

La bonne nouvelle, c'est que ce geste laisse une trace écrite. La fenêtre Exécuter garde l'historique de ce qu'on y a tapé : appuyez sur Windows + R et déroulez la liste. Les dernières lignes s'affichent, y compris celle que vous avez collée sans la lire. Cet historique est stocké dans le registre sous la clé HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU, consultable avec regedit. Si la ligne commence par powershell, mshta, curl ou cmd /c, la commande a bien été exécutée : notez-la par écrit, elle dira à un technicien ce qui a été téléchargé.

Un second indice se lit dans le presse-papiers, si son historique est activé : Windows + V affiche les derniers éléments copiés. Et une fenêtre noire qui apparaît une seconde après ce genre de manipulation n'est pas anodine : quatre tests gratuits en donnent la cause.

Je l'ai installée : les six gestes, dans l'ordre

L'ordre compte plus que la vitesse. Beaucoup de dégâts viennent de gestes faits dans le désordre : changer ses mots de passe depuis la machine suspecte revient à les dicter.

1. Coupez le réseau, sans éteindre l'ordinateur : wifi désactivé ou câble débranché. Un programme qui ne communique plus ne transmet plus rien, et la mémoire reste lisible pour un diagnostic.
2. Ne rouvrez aucun compte depuis cet appareil. Ni la banque, ni la messagerie, ni les réseaux sociaux — tant que le nettoyage n'est pas fait.
3. Lancez une analyse hors ligne. Dans Sécurité Windows → Protection contre les virus et menaces → Options d'analyse, choisissez Analyse hors ligne de Microsoft Defender. La machine redémarre et analyse avant le chargement de Windows, ce qu'une analyse ordinaire ne sait pas faire. Comptez un quart d'heure. Defender suffit dans la plupart des cas, et s'il n'arrive pas à supprimer la menace, quatre causes l'expliquent.
4. Depuis un autre appareil — le téléphone d'un proche suffit — changez les mots de passe de la messagerie d'abord, puis de la banque. C'est l'adresse mail qui commande toutes les réinitialisations : l'ordre des comptes à reprendre n'est pas indifférent.
5. Regardez ce qui s'est installé. Paramètres → Applications → Applications installées, puis triez par date d'installation. Tout ce qui est apparu à l'heure de l'incident est suspect, quel que soit son nom rassurant : un faux programme de mise à jour s'appelle volontiers Update Manager ou Driver Booster.
6. Fermez les accès à distance. Un faux dépanneur laisse souvent un outil de prise en main derrière lui : six portes du PC se ferment une par une, et les mots de passe enregistrés dans le navigateur méritent le même tour.

Un bandeau « Navigateur géré par votre organisation » affiché alors que vous êtes chez vous signale un paramètre posé par un programme ; il s'enlève en quatre étapes. En cas de doute général, les six gestes de la première heure reprennent tout dans l'ordre.

Savoir après coup si la mise à jour était vraie

La question revient souvent au téléphone, parfois plusieurs jours après : « j'ai cliqué sur une mise à jour la semaine dernière, était-ce la vraie ? » Il existe une réponse écrite, et elle est gratuite.

• Sur Windows, ouvrez Démarrer → Paramètres → Windows Update → Historique des mises à jour. Chaque ligne porte un numéro KB et une date d'installation. Une prétendue mise à jour venue d'une page web n'y figure jamais : le registre de Windows Update ne contient que ce que Microsoft a livré. En PowerShell, la commande Get-HotFix donne la même liste, triable, en une seconde.
• Dans Chrome, menu ⋮ → Aide → À propos de Google Chrome : le navigateur affiche son numéro de version, vérifie lui-même, et applique la mise à jour au redémarrage. Si un raccourci « Chrome » a été créé ailleurs que dans C:\Program Files\Google\Chrome, ce n'est pas Chrome.
• Sur Android, triez les applications par date d'installation, puis vérifiez à qui vous avez accordé l'autorisation d'installer des applications inconnues : depuis Android 8, elle se donne application par application, et le navigateur l'a souvent reçue sans qu'on s'en souvienne. Le test complet est gratuit, et la publicité envahissante a cinq causes dont une seule est un virus.
• Sur iPhone, Réglages → Général → VPN et gestion de l'appareil. S'il n'y a rien, aucun profil n'a été posé. C'est presque toujours le cas, parce qu'iOS n'installe pas d'application depuis une page web.
• Sur Mac, Réglages Système → Général → Éléments d'ouverture et extensions liste ce qui se lance au démarrage. Cinq vérifications tranchent sans logiciel payant.

Si quelque chose a bien été installé et que vous souhaitez revenir en arrière, sachez que la restauration du système a quatre limites qu'il vaut mieux connaître avant de l'utiliser ; et que la réinstallation complète a son utilité, mais après le diagnostic, jamais à la place.

Ce qui ne sert à rien

• Cliquer sur « Plus tard » ou sur la croix de la page. Ces boutons sont dessinés par le site : ils peuvent déclencher exactement ce que le bouton principal déclenche. On ferme l'onglet, pas la fausse fenêtre.
• Appeler le numéro affiché. C'est le scénario du faux support technique, et il se termine par une prise en main à distance et un paiement.
• Enchaîner dix analyses antivirus, ou installer un « nettoyeur » trouvé dans la foulée. Une analyse complète et une analyse hors ligne suffisent ; les outils proposés juste après une fausse alerte appartiennent souvent à la famille de ce qu'on cherche à retirer.
• Changer ses mots de passe depuis la machine suspecte. Tant que le nettoyage n'est pas fait, les nouveaux partent avec les anciens : la méthode complète commence par un appareil sain.

Enfin, un mot sur l'inverse : la peur de la fausse mise à jour ne doit pas conduire à refuser les vraies. Les correctifs bouchent des failles réellement exploitées, et un système en retard de six mois est une cible plus facile que n'importe quelle page piégée.

Questions fréquentes

La page dit que mon navigateur est obsolète : c'est peut-être vrai ?

C'est possible, et ça ne change rien à la conduite à tenir. Une version réellement ancienne se met à jour par le menu du navigateur, jamais par le bouton d'un site. Fermez l'onglet, ouvrez Aide puis À propos : le logiciel vérifie lui-même et applique la mise à jour au redémarrage. Si la version était ancienne, la page a dit vrai par hasard.

J'ai cliqué sur le bouton mais je n'ai rien installé, est-ce grave ?

Dans l'immense majorité des cas, non. Un clic qui déclenche un téléchargement ne lance pas l'installation : le fichier descend dans le dossier Téléchargements et y reste inerte. Supprimez-le, videz la corbeille, puis lancez une analyse de contrôle. Le danger commence au double-clic, pas au clic. Si le lien venait d'un message, la marche à suivre est détaillée ici.

Le fichier téléchargé est encore dans mes téléchargements, que faire ?

Ne l'ouvrez pas pour voir. Notez son nom exact, il servira si une analyse trouve quelque chose, puis supprimez-le et videz la corbeille. Pour savoir ce que c'était avant de l'effacer, un service public d'analyse multimoteur répond en une minute, sans rien installer.

On me propose une mise à jour de Flash Player, ça existe encore ?

Non, et c'est le cas le plus simple de toute cette fiche. Adobe a cessé de prendre en charge Flash Player le 31 décembre 2020 et bloque l'exécution du contenu Flash depuis le 12 janvier 2021. Il n'existe plus de mise à jour légitime depuis cette date. Toute page qui en propose une, sur Windows comme sur Mac, est frauduleuse sans la moindre exception.

Mon téléphone Android affiche une mise à jour dans une page web

Même règle que sur ordinateur : la mise à jour du système se trouve dans Paramètres, rubrique Mise à jour du logiciel, et celle des applications dans le Play Store. Une page qui propose un fichier .apk demande d'abord l'autorisation d'installer des applications inconnues. Cette autorisation se donne application par application depuis Android 8 : retirez-la au navigateur, et le piège se referme tout seul.

La fenêtre revient à chaque ouverture du navigateur

C'est presque toujours la session restaurée : le navigateur rouvre l'onglet piégé parce qu'il était ouvert à la fermeture. Refusez la restauration des pages, ou démarrez sur une page d'accueil fixe. Si la fenêtre revient quand même, regardez les notifications autorisées et les extensions. Un avertissement « cette connexion n'est pas privée » au même moment mérite aussi d'être lu.

À lire aussi : la fausse alerte antivirus · savoir si un fichier est un virus · supprimer un accès à distance.