Audit en cas de soupçon de piratage

C'est quoi, un audit après un soupçon de piratage ?

C'est une recherche de faits vérifiables sur vos comptes et vos appareils : connexions récentes, programmes installés, extensions du navigateur, règles de messagerie, accès à distance, état de l'antivirus et des mises à jour. Elle se termine par un constat écrit qui dit s'il y a eu intrusion, par où, et ce qui a été exposé — y compris quand la réponse est non.

Ce que je vérifie, concrètement

La liste est toujours la même, pour ne rien oublier sous le coup de l'urgence :

• Les comptes d'abord — connexions récentes, appareils autorisés, règles de transfert, adresses de récupération, applications tierces liées à vos comptes Google, Microsoft, Facebook.
• Les programmes installés — dates d'installation, éditeurs, signatures, et tout ce qui est apparu au moment où les symptômes ont commencé.
• Le démarrage et les tâches planifiées — c'est là que se logent la plupart des programmes qui veulent survivre à un redémarrage.
• Le navigateur — extensions, moteur par défaut, page d'accueil, proxy, raccourcis modifiés.
• Les accès à distance — logiciels de prise en main installés à votre insu, ports ouverts, comptes utilisateurs créés récemment.
• Le réseau — serveurs DNS de la box, appareils connectés, règles de redirection.
• L'état des protections — antivirus, pare-feu, mises à jour en retard, chiffrement du disque.
• Les traces de fuite — si votre adresse mail apparaît dans des fuites de données connues, et lesquelles.

Ce que vous recevez

Un constat écrit, en français, qui répond à trois questions : est-ce qu'il y a eu intrusion, par où, et qu'est-ce qui a été exposé. Avec, pour chaque point, ce qui est certain et ce qui ne l'est pas — je ne présente jamais une hypothèse comme un fait.

Ce document sert aussi de pièce si vous déposez plainte, ou si vous devez notifier une violation de données pour votre activité professionnelle.

Ce que je regarde dans la boîte mail et le navigateur

Ce sont les deux endroits qui parlent le plus, et les deux que personne ne pense à ouvrir :

• L'historique de connexions de l'adresse email : appareils, pays, horaires. Un accès depuis un terminal inconnu se voit immédiatement.
• Les règles de transfert et les réponses automatiques, créées pour lire votre courrier après que vous avez changé le mot de passe.
• Les indésirables et les éléments supprimés : les confirmations de réinitialisation déclenchées par un intrus y atterrissent, et donnent la liste de ce qu'il a tenté.
• Les adresses de récupération et le numéro de secours, souvent remplacés par les siens.
• Les extensions de Chrome, Firefox ou Edge, le moteur de recherche par défaut et les sites autorisés à envoyer des notifications.
• Les mots de passe enregistrés dans le navigateur — non pour les lire, mais pour savoir lesquels étaient exposés si un logiciel espion est passé.

Le constat indique, pour chacun, ce qui a été trouvé et ce qu'il faut changer : quel identifiant réinitialiser en priorité, quelle session désactiver, quel compte surveiller.

Les situations qui amènent un audit

Presque toujours l'une de ces six, dans les mots avec lesquels on m'appelle :

1. « Mon mot de passe ne marche plus » — un compte refuse la connexion, ou une adresse de récupération a changé sans vous. Voir compte en ligne piraté.
2. « Mes contacts reçoivent des messages de moi » — des mails ou des messages partent en votre nom, souvent avec un lien malveillant ou une demande d'argent.
3. « J'ai cliqué, et j'ai saisi quelque chose » — un mail d'hameçonnage, une pièce jointe ouverte, un formulaire rempli sur une fausse page. Voir j'ai cliqué sur un lien de phishing.
4. « Il y a eu un numéro à appeler sur l'écran » — une fausse alerte de sécurité, et parfois quelqu'un a pris la main à distance sur l'ordinateur. Voir le faux support technique.
5. « Il y a un achat que je n'ai pas fait » — un prélèvement, un abonnement, une commande. La question devient : par quel compte est-ce passé.
6. « Je crois qu'on me surveille » — un proche qui sait ce qu'il ne devrait pas savoir, un téléphone qui se comporte mal. Voir téléphone surveillé par un proche.

Dans les trois premiers cas, l'urgence est côté comptes : mots de passe, double authentification, règles de transfert de la messagerie. Dans les trois autres, elle est côté machine : logiciels malveillants, outils de prise en main, programmes lancés au démarrage de Windows. L'audit tranche entre les deux avant qu'on touche à quoi que ce soit — c'est tout son intérêt.

Ce que vous pouvez vérifier vous-même avant de m'appeler

Une partie des appels se termine par « vous n'avez rien ». Ces six vérifications prennent dix minutes et tranchent souvent la question :

1. L'historique de connexions de votre boîte mail : un appareil ou un pays inconnu est le signe le plus direct qu'un pirate a eu vos identifiants.
2. Votre adresse email de récupération et votre nom d'utilisateur : s'ils ont changé sans vous, il ne s'agit plus d'un doute.
3. Le dossier spam et les éléments supprimés, où atterrissent les codes de confirmation déclenchés à votre insu.
4. Les extensions installées dans vos navigateurs — Google Chrome, Firefox, Edge — et le moteur de recherche par défaut.
5. L'anti-virus intégré à Windows : s'il a été désactivé sans que vous le sachiez, un malware l'a presque certainement fait avant vous.
6. L'adresse exacte des sites où vous vous connectez : lisez l'URL jusqu'au premier « / », c'est là que se trouve le vrai nom de domaine.

Si tout est normal et que le doute vient d'un mail reçu ou d'une pièce jointe non ouverte, il n'y a probablement rien à facturer : je vous le dirai au téléphone. Et si vous devez changer le mot de passe d'un compte, faites-le depuis un appareil dont vous êtes sûr.

Ce qu'un audit n'est pas

• Ce n'est pas une analyse antivirus de plus. Un antivirus répond « j'ai trouvé ceci » ; il ne dit ni par où c'est entré, ni ce qui a été lu, ni si vos comptes sont encore ouverts à quelqu'un d'autre.
• Ce n'est pas une expertise judiciaire. Mon constat est technique et lisible ; il n'a pas la valeur d'un rapport d'expert commis par un tribunal. Il sert souvent de pièce à un dépôt de plainte — voir porter plainte après un piratage.
• Ce n'est pas une garantie d'avant-après. Certaines traces sont effacées par l'intrus, ou par un redémarrage. Je dis ce qui est certain, ce qui est probable et ce qui n'est pas déterminable : c'est la seule façon honnête de présenter des traces.
• Ce n'est pas réservé aux « vrais » piratages. Une bonne partie des audits se termine par « votre machine va bien, ce que vous avez vu était une fausse alerte ». C'est un résultat, pas un échec.

Après le constat : les changements à faire, dans l'ordre

Le constat ne sert que s'il débouche sur des gestes. Voici ceux que je liste, et dans quel ordre :

1. Changer le mot de passe du courrier électronique en premier. Choisissez un nouveau mot de passe long, différent des précédents, et faites-le depuis un appareil sain.
2. Déconnecter toutes les sessions de mon compte sur chaque service, puis retirer les appareils inconnus.
3. Rétablir les préférences modifiées : adresse de récupération, numéro de secours, règles de transfert, signature.
4. Vérifier les pièces jointes récemment envoyées depuis votre adresse — c'est ce que vos contacts ont reçu, et ils doivent être prévenus.
5. Remettre les protections en service sous Windows si elles avaient été désactivées, et appliquer les mises à jour en attente.
6. Reconnecter l'accès à internet seulement une fois ces points traités.

Si vous préférez les faire vous-même, le constat suffit : il est écrit pour être suivi sans moi. Cliquez simplement dans l'ordre indiqué, et gardez le document — il sert de preuve si vous devez déposer plainte.

Questions fréquentes

Dois-je changer mes mots de passe avant l'audit ?

Changez celui de votre boîte mail si vous pensez qu'un intrus y a accès : c'est la seule urgence. Pour le reste, attendez le constat. Si vous allez modifier le mot de passe de tous vos comptes avant, on perd les traces qui disent lesquels ont réellement été touchés — et il faudra recommencer ensuite.

Que faire si j'ai oublié le mot de passe d'un compte concerné ?

Utilisez « mot de passe oublié » sur le site officiel, dans un onglet que vous avez ouvert vous-même. Si le code de vérification part vers une adresse e-mail que vous ne contrôlez plus, il faut passer par le formulaire de récupération du service — Google, Microsoft ou autre — qui demande des informations personnelles de création du compte.

Puis-je me connecter à mon compte pendant l'audit ?

Oui, et c'est même utile : on regarde ensemble l'historique, les préférences et les appareils connectés. Ce qu'il faut éviter, c'est de réinitialiser le mot de passe dans la minute qui précède : les journaux deviennent illisibles.

Faut-il éteindre l'ordinateur en attendant ?

Non. Coupez le réseau — câble débranché ou wifi désactivé — mais laissez la machine allumée. Éteindre efface une partie des traces utiles, et un arrêt brutal pendant un chiffrement peut aggraver la perte de fichiers.

L'audit se fait-il à distance ?

Oui dans la plupart des cas, par une prise en main que vous voyez à l'écran et que vous coupez quand vous voulez. Le déplacement s'impose quand la machine ne démarre plus, ou quand plusieurs appareils et la box doivent être vérifiés ensemble.

Et si vous ne trouvez rien ?

Vous repartez avec un constat écrit qui dit qu'il n'y a pas de trace d'intrusion, et avec les réglages qui manquaient — double authentification, mises à jour, sauvegarde. C'est souvent ce qui évite l'appel suivant.

Mes mots de passe, vous les voyez ?

Non, et je n'en ai pas besoin : je regarde les journaux de connexion, les appareils autorisés et les réglages de sécurité, pas le contenu de vos comptes. Quand un changement de mot de passe s'impose, c'est vous qui le tapez.

Durée, lieu, tarif

L'audit se fait à distance dans la majorité des cas — vous voyez l'écran pendant toute l'intervention et vous coupez quand vous voulez — ou chez vous si la machine ne démarre plus, au Mans et dans l'agglomération.

Comptez une heure pour un audit de comptes, une demi-journée pour une machine complète. Le tarif suit la grille Fix72 : à distance dès 19 € les 30 minutes, à domicile dès 49 € la première heure, et le diagnostic préalable au téléphone est gratuit.

Après l'audit

S'il y a eu intrusion, on enchaîne sur le nettoyage et la reprise en main des comptes, puis sur les mesures qui empêchent la récidive. Vous décidez à chaque étape : rien n'est engagé sans votre accord.