Fausses pages Claude : une publicité Google détourne Bing pour piéger les Mac

Le 9 octobre 2026, la société Push Security a décrit une campagne de publicité malveillante visant les utilisateurs de macOS qui cherchent à installer Claude, l'assistant d'IA d'Anthropic. Le point de départ est une annonce Google affichée sur la recherche « claude mac ». Elle présente le domaine bing.com, ce qui la rend plus crédible. Push Security a baptisé cette technique « Adception » et dit n'avoir trouvé aucun signalement public antérieur d'une annonce de recherche utilisant Bing comme destination.

Une chaîne de redirections bien camouflée

D'après Luke Jennings, vice-président R&D de Push Security, le clic passe d'abord par la redirection publicitaire de Google, puis par un lien de suivi de Bing. Il aboutit ensuite sur le site WordPress compromis d'un commerçant sud-américain, qui renvoie enfin vers une fausse page de téléchargement de Claude, claude-desk-code[.]com.

Deux filtres masquent l'attaque. Le site compromis n'effectue la redirection que si le visiteur arrive de Bing avec certains en-têtes de navigateur. La fausse page, elle, affiche une erreur 404 à tout visiteur qui n'arrive pas de Google ou de Bing. Un analyste qui tape l'adresse directement ne voit donc rien de suspect.

Le piège du copier-coller

La fausse page imite celle de Claude et affiche la vraie commande d'installation d'Anthropic. Mais le bouton « Copier » place une autre commande dans le presse-papiers. Une fois collée dans le Terminal, elle décode une adresse cachée, télécharge un script depuis lake-90[.]com et l'exécute. C'est une variante de « ClickFix », une technique où la victime lance elle-même le code malveillant. Push Security parle ici d'« InstallFix ». La charge finale n'a pas été identifiée.

Push Security relie plusieurs autres domaines à la même boîte à outils, qu'elle nomme « AcSig ». Selon l'entreprise, 4 attaques ClickFix sur 5 qu'elle détecte atteignent leurs victimes par les moteurs de recherche. BleepingComputer, qui a relayé l'étude, ne rapporte aucune réaction de Google ni d'Anthropic.

Les bons réflexes

• Ne pas installer un logiciel depuis une annonce, même si elle affiche un domaine connu. Taper soi-même l'adresse du site officiel de l'éditeur, ou utiliser un favori.
• Ne jamais coller dans un terminal une commande copiée sur une page web sans l'avoir relue après le collage. Le texte affiché et le texte copié peuvent être différents.
• Pour les entreprises : bloquer les domaines publiés par Push Security, dont claude-desk-code[.]com, cli-desktop[.]com et lake-90[.]com, et proposer les outils d'IA via un catalogue interne validé.
• Sensibiliser en particulier les développeurs, grands utilisateurs de commandes d'installation en une ligne.