Pop-up « votre PC est infecté » sur votre site : ce que c'est
Ce n’est pas Windows : c’est un script déposé sur votre domaine pour effrayer le visiteur. « Votre PC est infecté, appelez le 01… » sort de votre site, pas de Microsoft. Coupez-le, puis cherchez la porte. Vos clients vous appelleront sinon — et certains paieront l’arnaque en votre nom.
Ce n'est pas Windows : c'est un script déposé sur votre domaine pour effrayer le visiteur. Coupez-le, puis cherchez la porte. Vos clients vous appelleront sinon.
Ce que c’est (et ce que ce n’est pas)
Pop-up « votre PC est infecté » sur votre site : une page ou un JS en plein écran, souvent avec un bip, un faux logo Microsoft / Apple / Chrome, un numéro de « support », parfois un blocage du clic droit. Ce n’est pas un virus sur le PC du visiteur (pas encore). C’est un contenu servi par votre domaine, donc « légitime » visuellement : cadenas, votre nom dans la barre. D’où l’efficacité. Voir aussi cadenas vert.
Ce n’est pas non plus l’alerte Safe Browsing de Chrome (interstitiel Google, texte officiel, pas de numéro à appeler). Si le client décrit un vrai écran Chrome rouge sans numéro, autre dossier : site trompeur. Ici : un overlay qui imite une alerte, servi par vous.
Les campagnes tournent sous les noms tech support scam, « arnaque support Chrome », faux support technique. Industriel. Votre WordPress n’a pas « attrapé Windows ». Il héberge le théâtre.
- Barre d’adresse = votre domaine → c’est votre HTML/JS.
- Numéro à appeler / TeamViewer → arnaque, pas Microsoft.
- Safe Browsing officiel = pas de 01 89 à joindre.
Pourquoi les clients vous appellent vous
Ils ont tapé votre marque, ils sont chez vous, l’alerte « le dit ». Votre standard explose. Chaque manqué est un potentiel virement à un call center. Traitez ça comme une URL dangereuse : prioritaire, pas « on verra après le SEO ». Isolation de l’overlay dès qu’il est trouvé, même avant l’entrée. Couper : ici, oui, au moins la page / le JS.
Une phrase d’accueil standard (accueil téléphonique, bandeau mail) : « si vous voyez un écran d’alerte avec un numéro, ne composez pas, fermez, c’est une fraude, nous traitons ». Ça réduit les dégâts le temps du grep.
Ne tweetez pas le numéro du scam (publicité). Informez ceux qui vous contactent.
Reproduire sans se faire avoir
Souvent mobile ou clic Google, comme les autres conditionnels. Privée, iPhone, SERP. Ne cliquez pas « appeler ». Ne installez pas le « cleaner ». Capture URL + overlay, puis Échap / fermer l’onglet. Captures.
Le script bloque parfois F12. Capture d’écran OS, pas besoin de la console pour constater. Pour trouver le fichier, view-source avant que le JS ne tourne, ou curl, ou GSC.
Si vous ne reproduisez plus : cookie « déjà scammé » ou ciblage horaire. Croyez les captures clients. Ne clôturez pas.
Où vit le script (fullscreen, pas un virus PC)
JS en footer / header, option, widget, mu-plugin, prepend, parfois une page `/support` ou un `error.php` appelé en 404. Chaînes : `call now`, `tech support`, numéros, `alert(`, `onkeydown` qui bloque, domaines de son `.mp3`. Les trois pistes redirect s’appliquent ; ici la « cible » est souvent un overlay plutôt qu’un 302 — ou les deux (302 vers une page scam sur votre propre domaine).
Un iframe plein écran vers un tiers : même effet, autre fichier. Iframe cachée — parfois 100 % viewport, pas 1×1.
GTM / pixel « support chat » ajouté par l’attaquant : dashboard, pas seulement le thème. GTM.
Couper l’overlay, pas le serveur de messagerie
Isoler le JS / la page, flush cache, vérifier mobile+SERP. Une maintenance globale est acceptable quelques heures si vous ne trouvez pas tout de suite — le coût d’un client qui paie le scam dépasse le crawl. Remettez un front dès que l’overlay est mort, même si l’entrée n’est pas encore fermée, avec un filet (surveillance).
Ne coupez pas les mails « pour punir le site ». Inutile. Ticket hébergeur si un path est déjà flaggé (certains scanners voient les pages scam).
Le numéro affiché : notez-le pour la plainte / les clients, pas pour le composer « voir qui décroche ».
La porte derrière le pop-up
Même checklist que le reste : users, FTP, extension, voisin, secrets. Un overlay qui revient H+6 : porte. Les call centers rachètent du trafic ; votre domaine propre les intéresse. Ils reviendront si la serrure est ouverte.
Ne « installez pas Wordfence pour enlever le pop-up » comme seul geste. Plugin pendant.
Après : 2FA, plus de file manager WP public, PHP interdit dans uploads.
Ce qu’il faut dire aux gens qui ont appelé le numéro
Ne plus rappeler, ne plus payer, faire opposition si virement / cartes, changer les mots de passe qu’ils auraient donnés (messagerie, banque — par les canaux officiels, pas un lien). Signalement (police, 33700 pour les SMS, banque). Vous n’êtes pas leur banque. Vous pouvez fournir une attestation (« notre site a servi un faux support du … au … ») pour leur dossier. Pièce utile, factuelle.
S’ils ont installé AnyDesk / TeamViewer : faire désinstaller par quelqu’un de confiance, considérer le PC comme compromis. Ce n’est plus votre CMS. Ne prenez pas la main à distance « pour aider » avec le même outil.
Comm’ large : seulement si le volume le justifie. Sinon, ceux qui vous ont contactés. Prévenir les clients.
Preuves et suites Google / hébergeur
Captures, dates, numéro affiché, path. Safe Browsing peut tomber (ingénierie sociale). Réexamen après overlay mort. Abuse hébergeur : motif parfois « phishing » / scam. Constat trouvé / retiré / corrigé.
Assurance : oui si contrat, surtout si des clients ont perdu de l’argent et se retournent — rare mais le dossier existe. Déclarer.
Créer un compte si l’overlay revient ou si vous ne trouvez pas le JS. Chaque heure d’overlay est une heure d’appels.