Logiciel espion sur mon ordinateur : comment le détecter

↑ Ce conseil fait partie du guide : Appareil piraté

De quoi parle-t-on exactement

Le mot « espion » recouvre des choses très différentes, et la réponse n'est pas la même selon le cas.

Le voleur d'identifiants est un programme malveillant classique : il arrive par une pièce jointe, un faux installeur ou un logiciel « craqué », enregistre ce que vous tapez et récupère les mots de passe stockés dans le navigateur. Il ne cherche pas à vous surveiller, il cherche des comptes à revendre.

L'outil de surveillance commercial est un logiciel légal, vendu comme « contrôle parental » ou « suivi d'activité ». Il est installé à la main, par quelqu'un qui a eu la machine entre les mains et connaissait le mot de passe. Il remonte les frappes, les captures d'écran, l'historique.

Enfin, l'accès à distance laissé ouvert : un logiciel de prise en main installé lors d'une « assistance téléphonique » — souvent un faux support technique — et jamais désinstallé. C'est le cas le plus fréquent, et le plus facile à repérer.

Les signes qui doivent alerter

Un logiciel espion se cache, mais il consomme des ressources et communique. Quelques traces reviennent :

• Quelqu'un sait des choses qu'il ne devrait pas : une conversation privée, un rendez-vous, un achat. C'est souvent le premier indice, et le plus fiable.
• Des connexions inconnues signalées par vos comptes (lieu, appareil, horaire inhabituel).
• Le curseur bouge seul ou une fenêtre se ferme toute seule : signature d'un accès à distance en cours.
• Une fenêtre noire apparaît brièvement à intervalles réguliers.
• L'antivirus est désactivé ou ne se met plus à jour, sans que vous y ayez touché.
• La machine chauffe et travaille alors que rien n'est ouvert, y compris la nuit.

Aucun de ces points n'est une preuve à lui seul. Deux ou trois ensemble justifient de regarder sérieusement.

Ce qui n'en est pas un

Par honnêteté, et pour éviter des semaines d'inquiétude inutile :

• Une publicité qui « correspond » à une conversation : c'est du ciblage publicitaire, pas une écoute. Il repose sur les recherches, la localisation et l'entourage, et il donne régulièrement cette impression troublante.
• Un ordinateur lent : dans l'immense majorité des cas, c'est du matériel fatigué — le tri est fait dans mon PC est lent, virus ou usure.
• Un mail de menace affirmant vous avoir filmé : c'est un envoi de masse, décrit dans mail de chantage à la webcam.
• Une alerte de navigateur annonçant un espion détecté : une page web ne peut rien analyser, voyez fausse alerte antivirus.

Les vérifications à faire soi-même

Une demi-heure, sans rien installer de particulier :

1. Les programmes installés, triés par date : cherchez les outils de prise en main à distance et tout ce qui est arrivé à une date qui ne correspond à rien pour vous.
2. Le démarrage automatique (Gestionnaire des tâches, onglet Démarrage) : un programme de surveillance doit se relancer à chaque allumage.
3. Les tâches planifiées : même logique, et c'est la cachette préférée.
4. Les comptes d'utilisateur de la machine : un compte administrateur créé en plus du vôtre est un signal fort.
5. Le Bureau à distance (Windows) et le partage d'écran (Mac) : s'ils sont activés sans raison, désactivez-les.
6. Une analyse complète avec la protection en place. Les outils de surveillance commerciaux sont souvent détectés comme « logiciel potentiellement indésirable » : activez cette détection si elle est optionnelle.

Regarder ce qui parle sur le réseau

Un espion doit envoyer ce qu'il collecte : il laisse donc une trace réseau. Deux vérifications simples, sans logiciel spécialisé :

• L'activité réseau par application (Gestionnaire des tâches, colonne Réseau) : fermez tout, observez dix minutes. Un programme qui émet en continu alors que rien n'est ouvert mérite une recherche sur son nom exact.
• La liste des appareils connectés à la box : elle révèle parfois autre chose — un équipement inconnu sur le réseau. Si c'est le cas, changez la clé Wi-Fi.

Attention à l'interprétation : un navigateur, un antivirus et le système parlent en permanence, c'est normal. Ce que l'on cherche est un nom que l'on ne reconnaît pas, actif alors que la machine devrait être au repos.

Quand la surveillance vient de l'entourage

C'est la situation la plus délicate, et il faut la traiter comme telle plutôt que techniquement.

Deux précisions utiles : installer un tel outil sur l'appareil d'un adulte à son insu est illégal, et les traces (fichiers, journaux, factures d'abonnement) constituent des éléments qu'il vaut mieux faire constater avant de tout effacer. Côté employeur, une surveillance existe parfois légitimement sur un matériel professionnel, mais elle doit avoir été annoncée : en cas de doute, la CNIL publie ce qui est permis.

Le même sujet sur téléphone est traité dans mon téléphone Android est-il infecté.

Faire constater, quand la preuve compte

Dans certaines situations — séparation conflictuelle, litige avec un employeur, plainte pénale — ce qui se trouve sur la machine a une valeur de preuve. Or la première réaction, tout effacer, détruit précisément ce qui aurait servi.

Si vous pensez être dans ce cas :

1. N'utilisez plus l'appareil pour vos échanges sensibles, sans pour autant le nettoyer.
2. Notez tout : dates, faits observés, captures d'écran horodatées, nom exact des programmes trouvés.
3. Faites établir un constat écrit de ce qui est installé et de ce qui a été observé.
4. Déposez plainte : installer un outil de surveillance sur l'appareil d'un adulte à son insu est puni par la loi, et l'enquête pourra demander les éléments.

De mon côté, le constat écrit d'un audit n'est pas facturé : il liste ce qui a été trouvé, ce qui ne l'a pas été, et ce qu'il reste à faire. Il ne remplace pas une expertise judiciaire, mais il donne une base datée et précise, ce que ne fournit jamais un nettoyage fait dans l'urgence. Pour être orienté selon votre situation, cybermalveillance.gouv.fr et 17Cyber indiquent les démarches possibles.

Nettoyer, et dans quel ordre

Si rien ne justifie de préserver les traces, le nettoyage suit toujours le même ordre :

1. Déconnectez la machine du réseau pendant l'opération.
2. Désinstallez les outils de prise en main et les programmes suspects.
3. Supprimez les tâches planifiées et les entrées de démarrage associées.
4. Changez tous les mots de passe depuis un AUTRE appareil — c'est le point essentiel : les changer depuis la machine surveillée revient à les offrir.
5. Vérifiez les portes dérobées des comptes : règles de transfert, adresse de récupération, applications autorisées — voyez compte en ligne piraté.
6. Réinstallez le système si le doute persiste, après sauvegarde des documents (et sans restaurer les programmes).

Une remarque importante : contre un outil installé par quelqu'un qui connaît vos mots de passe, la réinstallation seule ne suffit pas. Il faut aussi reprendre les comptes, un par un.

Refermer les portes ensuite

Une fois la machine propre, trois réglages évitent la rechute :

• Un mot de passe de session connu de vous seul, et le verrouillage automatique de l'écran.
• La double authentification sur la messagerie et la banque : même volé, le mot de passe ne suffira plus — voyez la double authentification expliquée.
• Un compte utilisateur par personne sur un ordinateur partagé, plutôt qu'un compte commun.

Si vous préférez ne pas faire ce tour seul, c'est exactement l'objet d'un audit après un soupçon de piratage : un constat écrit, non facturé, et la liste de ce qu'il reste à faire. Le diagnostic au téléphone dure quinze minutes et ne coûte rien, et le nettoyage commence à 39 €.

Questions fréquentes

Un antivirus détecte-t-il les logiciels de surveillance ?

Souvent, mais pas toujours : comme ce sont des logiciels commerciaux légaux, ils sont classés « potentiellement indésirables ». Activez cette catégorie de détection dans les réglages de votre protection, elle est parfois désactivée par défaut.

On peut m'espionner sans avoir eu accès à mon ordinateur ?

Pour un outil de surveillance complet, non : il faut un accès physique ou une prise en main à distance que vous avez autorisée. En revanche, un compte en ligne piraté donne accès à beaucoup de choses sans jamais toucher la machine.

Réinstaller Windows suffit-il à s'en débarrasser ?

Pour le logiciel, oui. Mais si la personne connaît vos mots de passe, elle retrouvera l'accès par vos comptes : changez-les depuis un autre appareil et activez la double authentification, sinon le nettoyage ne sert à rien.

Dois-je nettoyer tout de suite si je soupçonne un proche ?

Pas nécessairement : le nettoyage prévient souvent la personne et détruit les traces qui pourraient servir de preuve. Si un litige est probable, faites d'abord constater ce qui est installé, puis décidez.

À lire aussi : le guide appareil piraté · mon ordinateur a été piraté.