Logiciel espion sur mon ordinateur : comment le détecter

↑ Ce conseil fait partie du guide : Appareil piraté

Comment détecter un logiciel espion sur son ordinateur ?

Cherchez d'abord les programmes installés récemment, ceux qui démarrent avec le système et les outils de prise en main à distance. Les vrais signaux sont une activité réseau constante au repos et des accès inconnus à vos comptes. La lenteur ou la chauffe ne prouvent rien. Dans le doute, faites vérifier depuis un autre appareil.

De quoi parle-t-on exactement

Le mot « espion » recouvre des choses très différentes, et la réponse n'est pas la même selon le cas.

Le voleur d'identifiants est un programme malveillant classique : il arrive par une pièce jointe, un faux installeur ou un logiciel « craqué », enregistre ce que vous tapez et récupère les mots de passe stockés dans le navigateur. Il ne cherche pas à vous surveiller, il cherche des comptes à revendre.

L'outil de surveillance commercial est un logiciel légal, vendu comme « contrôle parental » ou « suivi d'activité ». Il est installé à la main, par quelqu'un qui a eu la machine entre les mains et connaissait le mot de passe. Il remonte les frappes, les captures d'écran, l'historique.

Enfin, l'accès à distance laissé ouvert : un logiciel de prise en main installé lors d'une « assistance téléphonique » — souvent un faux support technique — et jamais désinstallé. C'est le cas le plus fréquent, et le plus facile à repérer.

Les signes qui doivent alerter

Un logiciel espion se cache, mais il consomme des ressources et communique. Quelques traces reviennent :

• Quelqu'un sait des choses qu'il ne devrait pas : une conversation privée, un rendez-vous, un achat. C'est souvent le premier indice, et le plus fiable.
• Des connexions inconnues signalées par vos comptes (lieu, appareil, horaire inhabituel).
• Le curseur bouge seul ou une fenêtre se ferme toute seule : signature d'un accès à distance en cours.
• Une fenêtre noire apparaît brièvement à intervalles réguliers.
• L'antivirus est désactivé ou ne se met plus à jour, sans que vous y ayez touché.
• La machine chauffe et travaille alors que rien n'est ouvert, y compris la nuit.

Aucun de ces points n'est une preuve à lui seul. Deux ou trois ensemble justifient de regarder sérieusement.

Ce qui n'en est pas un

Par honnêteté, et pour éviter des semaines d'inquiétude inutile :

• Une publicité qui « correspond » à une conversation : c'est du ciblage publicitaire, pas une écoute. Il repose sur les recherches, la localisation et l'entourage, et il donne régulièrement cette impression troublante.
• Un ordinateur lent : dans l'immense majorité des cas, c'est du matériel fatigué — le tri est fait dans mon PC est lent, virus ou usure.
• Un mail de menace affirmant vous avoir filmé : c'est un envoi de masse, décrit dans mail de chantage à la webcam.
• Une alerte de navigateur annonçant un espion détecté : une page web ne peut rien analyser, voyez fausse alerte antivirus.

Les vérifications à faire soi-même

Une demi-heure, sans rien installer de particulier :

1. Les programmes installés, triés par date : cherchez les outils de prise en main à distance et tout ce qui est arrivé à une date qui ne correspond à rien pour vous.
2. Le démarrage automatique (Gestionnaire des tâches, onglet Démarrage) : un programme de surveillance doit se relancer à chaque allumage.
3. Les tâches planifiées : même logique, et c'est la cachette préférée.
4. Les comptes d'utilisateur de la machine : un compte administrateur créé en plus du vôtre est un signal fort.
5. Le Bureau à distance (Windows) et le partage d'écran (Mac) : s'ils sont activés sans raison, désactivez-les.
6. Une analyse complète avec la protection en place. Les outils de surveillance commerciaux sont souvent détectés comme « logiciel potentiellement indésirable » : activez cette détection si elle est optionnelle.

Complétez cette liste par l'heure : le journal de Windows dit si quelqu'un a utilisé l'ordinateur et quand, ce qui permet de rapprocher une installation suspecte d'une ouverture de session précise.

Regarder ce qui parle sur le réseau

Un espion doit envoyer ce qu'il collecte : il laisse donc une trace réseau. Deux vérifications simples, sans logiciel spécialisé :

• L'activité réseau par application (Gestionnaire des tâches, colonne Réseau) : fermez tout, observez dix minutes. Un programme qui émet en continu alors que rien n'est ouvert mérite une recherche sur son nom exact.
• La liste des appareils connectés à la box : elle révèle parfois autre chose — un équipement inconnu sur le réseau. Si c'est le cas, changez la clé Wi-Fi.

Attention à l'interprétation : un navigateur, un antivirus et le système parlent en permanence, c'est normal. Ce que l'on cherche est un nom que l'on ne reconnaît pas, actif alors que la machine devrait être au repos.

Quand la surveillance vient de l'entourage

C'est la situation la plus délicate, et il faut la traiter comme telle plutôt que techniquement.

Deux précisions utiles : installer un tel outil sur l'appareil d'un adulte à son insu est illégal, et les traces (fichiers, journaux, factures d'abonnement) constituent des éléments qu'il vaut mieux faire constater avant de tout effacer. Côté employeur, une surveillance existe parfois légitimement sur un matériel professionnel, mais elle doit avoir été annoncée : en cas de doute, la CNIL publie ce qui est permis.

Le même sujet sur téléphone est traité dans mon téléphone Android est-il infecté.

Faire constater, quand la preuve compte

Dans certaines situations — séparation conflictuelle, litige avec un employeur, plainte pénale — ce qui se trouve sur la machine a une valeur de preuve. Or la première réaction, tout effacer, détruit précisément ce qui aurait servi.

Si vous pensez être dans ce cas :

1. N'utilisez plus l'appareil pour vos échanges sensibles, sans pour autant le nettoyer.
2. Notez tout : dates, faits observés, captures d'écran horodatées, nom exact des programmes trouvés.
3. Faites établir un constat écrit de ce qui est installé et de ce qui a été observé.
4. Déposez plainte : installer un outil de surveillance sur l'appareil d'un adulte à son insu est puni par la loi, et l'enquête pourra demander les éléments.

De mon côté, le constat écrit d'un audit n'est pas facturé : il liste ce qui a été trouvé, ce qui ne l'a pas été, et ce qu'il reste à faire. Il ne remplace pas une expertise judiciaire, mais il donne une base datée et précise, ce que ne fournit jamais un nettoyage fait dans l'urgence. Pour être orienté selon votre situation, cybermalveillance.gouv.fr et 17Cyber indiquent les démarches possibles.

Nettoyer, et dans quel ordre

Si rien ne justifie de préserver les traces, le nettoyage suit toujours le même ordre :

1. Déconnectez la machine du réseau pendant l'opération.
2. Désinstallez les outils de prise en main et les programmes suspects.
3. Supprimez les tâches planifiées et les entrées de démarrage associées.
4. Changez tous les mots de passe depuis un AUTRE appareil — c'est le point essentiel : les changer depuis la machine surveillée revient à les offrir.
5. Vérifiez les portes dérobées des comptes : règles de transfert, adresse de récupération, applications autorisées — voyez compte en ligne piraté.
6. Réinstallez le système si le doute persiste, après sauvegarde des documents (et sans restaurer les programmes).

Une remarque importante : contre un outil installé par quelqu'un qui connaît vos mots de passe, la réinstallation seule ne suffit pas. Il faut aussi reprendre les comptes, un par un.

Refermer les portes ensuite

Une fois la machine propre, trois réglages évitent la rechute :

• Un mot de passe de session connu de vous seul, et le verrouillage automatique de l'écran.
• La double authentification sur la messagerie et la banque : même volé, le mot de passe ne suffira plus — voyez la double authentification expliquée.
• Un compte utilisateur par personne sur un ordinateur partagé, plutôt qu'un compte commun.

Si vous préférez ne pas faire ce tour seul, c'est exactement l'objet d'un audit après un soupçon de piratage : un constat écrit, non facturé, et la liste de ce qu'il reste à faire. Le diagnostic au téléphone dure quinze minutes et ne coûte rien, et le nettoyage commence à 39 €.

Désinstaller proprement, dans le bon ordre

Une analyse antivirus retire des fichiers. Elle ne retire ni les extensions, ni les tâches planifiées, ni les programmes installés « légitimement ». La désinstallation manuelle reste donc indispensable :

1. Sous Windows, ouvrez Paramètres puis Applications — ou l'ancien Panneau de configuration, rubrique Programmes, qui affiche parfois des entrées que la nouvelle interface masque. Triez par date d'installation : c'est la vue qui révèle tout.
2. Désinstallez ce qui est apparu à la période des symptômes. Les outils de prise en main à distance et les « optimiseurs » en font partie : ils sont légitimes en eux-mêmes, c'est leur présence qui ne l'est pas.
3. Videz les extensions des navigateurs : Chrome, Mozilla Firefox, Edge. Une extension lit tout ce qui s'affiche à l'écran : c'est le logiciel espion le plus simple du monde, et le plus répandu.
4. Passez le démarrage en revue : Gestionnaire des tâches, onglet Démarrage. Puis le Planificateur de tâches, où se cachent les relances programmées qui font revenir le problème après chaque suppression.
5. Redémarrez, puis relancez une analyse : ce qui réapparaît après redémarrage n'a pas été retiré, seulement interrompu.

Si un programme refuse de se désinstaller, ne vous acharnez pas depuis la session ordinaire : le mode sans échec de Microsoft Windows démarre le système sans ces programmes et permet alors de les retirer.

Ce qu'il reste à faire après la suppression

Retirer le logiciel ne défait pas ce qu'il a lu. Tant qu'il a tourné, considérez comme connus :

• Tous les mots de passe enregistrés dans le navigateur. Ils se lisent en clair en trois clics. Changez-les depuis un autre appareil : depuis celui-ci, vous ne feriez que livrer les nouveaux.
• Les documents ouverts pendant la période, et les informations personnelles saisies dans des formulaires.
• Les conversations des messageries utilisées sur le poste.

Terminez par les mises à jour du système et des navigateurs, et par la vérification des sessions ouvertes sur vos comptes principaux : un accès resté ouvert survit très bien à la suppression du logiciel qui l'a créé.

Questions fréquentes

Un antivirus détecte-t-il les logiciels de surveillance ?

Souvent, mais pas toujours : comme ce sont des logiciels commerciaux légaux, ils sont classés « potentiellement indésirables ». Activez cette catégorie de détection dans les réglages de votre protection, elle est parfois désactivée par défaut.

On peut m'espionner sans avoir eu accès à mon ordinateur ?

Pour un outil de surveillance complet, non : il faut un accès physique ou une prise en main à distance que vous avez autorisée. En revanche, un compte en ligne piraté donne accès à beaucoup de choses sans jamais toucher la machine.

Réinstaller Windows suffit-il à s'en débarrasser ?

Pour le logiciel, oui. Mais si la personne connaît vos mots de passe, elle retrouvera l'accès par vos comptes : changez-les depuis un autre appareil et activez la double authentification, sinon le nettoyage ne sert à rien.

Dois-je nettoyer tout de suite si je soupçonne un proche ?

Pas nécessairement : le nettoyage prévient souvent la personne et détruit les traces qui pourraient servir de preuve. Si un litige est probable, faites d'abord constater ce qui est installé, puis décidez.

Comment détecter un logiciel espion sur mon ordinateur ?

Triez les programmes installés par date, passez en revue les extensions de Chrome et Firefox, puis le démarrage automatique et le planificateur de tâches. Un antivirus seul ne voit rien de tout cela.

Comment supprimer un logiciel espion ?

Par la désinstallation manuelle, extensions de navigateur comprises, puis un redémarrage et une seconde analyse. Ce qui réapparaît après redémarrage n'a pas été retiré : cherchez la tâche planifiée qui le relance.

Le programme refuse de se désinstaller, que faire ?

Démarrez en mode sans échec : Windows se lance sans ces programmes, et la désinstallation passe alors sans résistance. Si elle échoue encore, c'est que le composant est plus profond et la réinstallation devient la bonne option.

À lire aussi : le guide appareil piraté · mon ordinateur a été piraté.