Ma box est-elle piratée ? Les 6 réglages à vérifier

Q: Un appareil inconnu apparaît « connecté » en Ethernet : c'est grave ?

Plus qu'en Wi-Fi. Un périphérique en Ethernet est relié par un câble à la box ou à une prise CPL : il a fallu entrer chez vous, ou bien un vieux boîtier est resté branché derrière un meuble. Suivez le câble avant de conclure ; neuf fois sur dix, c'est un décodeur TV, une console ou une prise CPL oubliée.

↑ Ce conseil fait partie du guide : Ordinateur et appareils piratés

Comment savoir si ma box est piratée ?

Ouvrez l'interface d'administration de votre box et comparez six réglages à ce qu'ils devraient être : les serveurs DNS, l'administration à distance, l'UPnP, les redirections de ports, la DMZ et le mot de passe d'administration. Une box réellement compromise laisse presque toujours sa trace dans les DNS ou dans une redirection que personne n'a posée.

Comparer les DNS avec ceux du fournisseur
Couper l'administration à distance
Désactiver l'UPnP
Supprimer les redirections de ports injustifiées
Vérifier qu'aucune DMZ n'est active
Changer le mot de passe d'administration

Les signes, et ce qu'ils valent vraiment

Commençons par la bonne nouvelle, parce qu'elle est vraie dans la grande majorité des appels que je reçois : quand quelqu'un me dit « ma box est piratée », ce n'est presque jamais la box. C'est le navigateur, une extension, un logiciel publicitaire sur le portable, ou simplement une ligne saturée. La box d'un fournisseur d'accès est l'un des rares équipements du foyer qui se met à jour tout seul, sans que personne ne s'en occupe.

Voici comment trier ce que vous observez.

Ce qui n'accuse pas la box

La connexion est lente. La lenteur vient du débit disponible, du wifi, de l'heure de la journée ou d'un appareil qui télécharge. Un intrus qui veut rester discret ne sature pas la ligne : il ne ferait que se signaler.
Des publicités s'affichent partout. Dans la plupart des cas, c'est une extension de navigateur ou un logiciel installé avec autre chose. Le symptôme suit l'ordinateur, pas le réseau : testez la même page sur un téléphone en 4G, puis sur le wifi. Si le résultat est identique, la box est hors de cause — voir les publicités intempestives dans le navigateur.
Un appareil inconnu apparaît dans la liste. Les noms techniques (« ESP-4A2F », « android-dhcp », une suite de chiffres) sont presque toujours une prise connectée, une télévision, un thermostat ou une console. La question est traitée en détail dans quelqu'un utilise mon wifi.
La box chauffe ou clignote. Elle chauffe toujours, et les voyants suivent la synchronisation de la ligne, pas l'activité d'un pirate.

En revanche, ces quatre-là méritent que vous ouvriez l'interface dans la minute :

Une adresse correcte mène à la mauvaise page. Vous tapez l'adresse de votre banque, l'orthographe est juste, et vous tombez sur une page de connexion qui ressemble à l'originale sans en être tout à fait. C'est le symptôme typique d'un DNS détourné, et c'est le seul de la liste qui désigne vraiment la box.
Votre mot de passe d'administration ne fonctionne plus, alors que vous ne l'avez jamais changé et que celui de l'étiquette est refusé.
La clé wifi a changé toute seule et plus aucun appareil ne se reconnecte.
L'interface de la box s'affiche depuis l'extérieur. Testé en trente secondes : coupez le wifi de votre téléphone, passez en données mobiles, et ouvrez votre adresse IP publique dans le navigateur. Si la page de la box apparaît, elle est joignable par n'importe qui.

Ouvrir l'interface de la box

Tout se passe dans un navigateur, depuis un appareil relié à la box — en wifi ou par câble, peu importe. L'adresse est imprimée sur l'étiquette collée au dos ou sous le boîtier, avec l'identifiant et le mot de passe d'origine. C'est le premier réflexe : retourner la box et lire l'étiquette, plutôt que chercher dans un moteur de recherche.

Dans la pratique, l'adresse est 192.168.1.1 sur la plupart des box, 192.168.1.254 sur les Bbox, et mafreebox.freebox.fr chez Free. Si aucune ne répond, votre box utilise un autre plan d'adressage : sous Windows, ouvrez l'invite de commandes, tapez ipconfig, et lisez la ligne « Passerelle par défaut ». C'est l'adresse de votre box.

Si l'invite de commandes vous rebute, la même information s'obtient en trois clics. Sur les ordinateurs Windows, ouvrez les Paramètres réseau et Internet, cliquez sur votre connexion — Wi-Fi ou Ethernet selon que la machine est en sans-fil ou reliée par un câble — et lisez la ligne « Passerelle par défaut IPv4 ». L'ancien Panneau de configuration y mène aussi, par Connexions réseau, qui liste une icône par adaptateur. Sur Mac, c'est dans Réglages système > Réseau, onglet TCP/IP : la ligne « Routeur » donne l'adresse cherchée.

La page demande ensuite un nom d'utilisateur — presque toujours admin, parfois vide — et un mot de passe. Sur plusieurs modèles, il faut encore basculer sur l'onglet Mode avancé : tant qu'on reste sur l'affichage simplifié, la moitié des rubriques reste cachée, et l'on conclut à tort que tout va bien.

Le mot de passe d'usine n'est pas un secret

Sur les Livebox récentes, le mot de passe d'administration par défaut est composé des huit premiers caractères de la clé wifi imprimée sur l'étiquette. Autrement dit, toute personne à qui vous avez donné la clé wifi — un artisan, un voisin, l'ami d'un enfant, un locataire précédent — peut entrer dans l'administration de votre box sans rien pirater du tout. C'est, de très loin, la première cause d'accès indésirable que je constate. Le réglage n° 1 ci-dessous n'est pas une précaution théorique.

Les 6 réglages à vérifier, un par un

Prenez cinq minutes et passez-les dans l'ordre. Notez ce que vous trouvez avant de modifier quoi que ce soit : une capture d'écran de chaque page suffit, et elle servira si vous devez déposer plainte.

1. Le mot de passe d'administration

S'il est encore celui de l'étiquette, changez-le maintenant. Un mot de passe long et distinct de tous les autres, noté quelque part de sûr — un gestionnaire de mots de passe fait très bien l'affaire. Il ne doit avoir aucun rapport avec la clé wifi, puisque celle-ci circule : c'est toute la logique du problème. Si le mot de passe de l'étiquette est refusé alors que vous ne l'avez jamais modifié, quelqu'un est passé avant vous : allez directement à la réinitialisation décrite plus bas.

2. Les serveurs DNS

C'est le réglage le plus important de la liste, et celui que personne ne regarde. Le DNS est l'annuaire qui traduit un nom de site en adresse numérique. Qui le contrôle décide où votre navigateur atterrit, sans jamais toucher à votre ordinateur. Une box dont on a changé les DNS vous envoie vers une fausse page de banque pendant que l'adresse tapée reste correcte : c'est propre, c'est invisible, et ça survit à tous les nettoyages d'antivirus.

Dans la rubrique DHCP ou DNS de la box, deux cas de figure sont normaux : soit les champs sont vides ou sur « automatique » (la box prend ceux de votre fournisseur d'accès), soit ils portent un service public connu que vous ou votre installateur avez choisi — 1.1.1.1 chez Cloudflare, 8.8.8.8 chez Google, 9.9.9.9 chez Quad9. Tout autre réglage que vous ne pouvez pas expliquer se remet sur « automatique », et tout de suite.

Vérifiez aussi les DNS de l'ordinateur, que personne ne regarde : quand ils sont détournés là, la box est irréprochable et le problème suit la machine partout, y compris en partage de connexion depuis un téléphone. Sur les ordinateurs Windows, ouvrez les propriétés de la carte réseau, puis Protocole Internet version 4 : la case doit être sur « Obtenir les adresses des serveurs DNS automatiquement ». Des adresses saisies manuellement que vous ne reconnaissez pas désignent le coupable. À refaire sur les autres périphériques du foyer, Mac compris.

3. L'administration à distance

La plupart des box proposent un accès à leur interface depuis Internet, sous un nom du genre « administration à distance », « accès distant sécurisé » ou « gestion depuis l'extérieur ». C'est pratique deux fois dans une vie et risqué en permanence : une fois activée, votre page de connexion est exposée au monde entier et subit des tentatives automatisées en continu. Désactivez-la. Vous êtes chez vous quand vous avez besoin de régler votre box.

4. L'UPnP

L'UPnP autorise un appareil du réseau à ouvrir lui-même une porte vers l'extérieur, sans vous prévenir et sans vous demander votre avis. Les consoles de jeu et les disques réseau s'en servent pour proposer un « accès distant » automatique. C'est la première cause d'exposition involontaire d'un appareil, comme décrit dans imprimante ou NAS accessibles depuis Internet.

Coupez-le. Si une console affiche ensuite un message de connectivité limitée ou un « NAT strict », ouvrez à la main le seul port dont elle a besoin, plutôt que de tout rouvrir.

5. Les redirections de ports

Cette rubrique s'appelle selon les marques « redirection de ports », « NAT/PAT », « serveur virtuel » ou « gestion des ports ». Chaque ligne est une porte ouverte de l'extérieur vers un appareil précis de la maison. La liste doit être vide chez l'immense majorité des particuliers.

Si elle ne l'est pas, prenez la capture d'écran, puis supprimez toute ligne que vous ne pouvez pas justifier. Les redirections légitimes existent — une caméra posée par un installateur, un disque réseau configuré il y a six ans — mais elles restent en place indéfiniment, y compris après le remplacement de l'appareil. Une porte ouverte vers une machine qui n'existe plus reste une porte ouverte.

6. La DMZ

La DMZ est la version totale de la redirection de ports : elle expose tous les ports d'un appareil à Internet, d'un seul coup. Il n'existe aucune raison domestique de l'activer. Le champ doit être vide ou la fonction désactivée. Si une adresse y figure, notez laquelle : elle désigne l'appareil qui a été mis en première ligne, et c'est par lui qu'il faut continuer l'examen.

Où ça se trouve : Livebox, Freebox, SFR Box, Bbox

Les libellés changent d'une marque à l'autre, et c'est ce qui fait abandonner la plupart des gens au bout de deux minutes. Voici les chemins réels, tels qu'ils s'affichent.

Les chemins, marque par marque

Livebox (Orange) — 192.168.1.1, identifiant admin. Les DNS sont dans « Réseau > DHCP », les ports dans « Réseau > NAT/PAT », l'UPnP et la DMZ dans « Réseau » également. Le mot de passe se change dans « Paramètres avancés ».
Freebox — mafreebox.freebox.fr. Presque tout vit dans « Paramètres de la Freebox > Mode avancé » : « Redirections de ports », « DMZ », « UPnP IGD », « Serveur DHCP ». Particularité utile : en cas d'oubli, la réinitialisation du mot de passe demande une validation physique sur le boîtier, ce qu'une personne à distance ne peut pas faire.
SFR Box — 192.168.1.1. Le mot de passe d'origine est sur l'étiquette. Les rubriques sont groupées sous « Réseau » puis « NAT » et « DHCP » ; l'UPnP est un simple interrupteur.
Bbox (Bouygues) — 192.168.1.254. Passez en « Mode avancé » pour voir apparaître « NAT/PAT », « DynDNS » et la DMZ, sans quoi la moitié des réglages reste cachée.
Un routeur acheté dans le commerce, un répéteur ou un boîtier d'occasion : c'est là que le risque est réel. Contrairement à la box du fournisseur, il n'est mis à jour par personne. Vérifiez sa version de micrologiciel, et s'il n'est plus suivi par le fabricant, remplacez-le.
Une box passée en mode modem (ou « bridge »), souvent à la demande d'un joueur ou d'un installateur : elle ne filtre alors plus rien et se contente de porter l'accès à Internet. C'est le routeur branché derrière elle qui protège le réseau local ; c'est donc lui qu'il faut configurer, et lui faire passer les six vérifications. Inspecter la box seule, dans ce cas, ne prouve rien.

Remettre la box d'aplomb, dans l'ordre

Si un des six réglages était anormal, ne vous contentez pas de le corriger : reprenez la séquence entière, sinon vous laissez derrière vous le chemin par lequel on est entré.

Photographiez l'écran fautif avant toute modification : DNS étrangers, redirection inconnue, DMZ active. C'est votre preuve.
Réinitialisez la box aux réglages d'usine : un trombone dans le bouton « reset » pendant une dizaine de secondes. Comptez ensuite dix à quinze minutes pour que la ligne se resynchronise et pour reconfigurer le wifi. C'est la seule façon d'être sûr de ne rien avoir oublié dans un sous-menu.
Changez le mot de passe d'administration dès le premier accès, avant tout le reste.
Changez la clé wifi et désactivez le WPS, ce bouton d'appairage rapide qui reste un point faible. Prévoyez de reconnecter chaque appareil de la maison : télévision, imprimante, aspirateur, thermostat. C'est la partie longue.
Changez le mot de passe de votre espace client chez l'opérateur, et activez-y la double authentification.
Reprenez les six réglages sur la configuration neuve, pour partir propre.

Le cas où la réinitialisation ne suffit pas

Les opérateurs peuvent pousser une configuration sur votre box depuis votre espace client. Conséquence directe : si c'est ce compte-là qui a été piraté, et pas la box, vous aurez beau la réinitialiser dix fois, les réglages reviendront. C'est l'étape que l'on saute presque toujours, et c'est elle qui explique les cas où « ça recommence ». Reprenez d'abord l'espace client : mot de passe, adresse de récupération, numéro de téléphone enregistré, et vérifiez qu'aucune option ni commande n'a été ajoutée.

Ce qui ne sert à rien

Redémarrer la box. Cela règle une lenteur passagère, jamais une configuration modifiée : les réglages sont écrits dans la mémoire de l'appareil et survivent à la coupure.
Changer d'adresse IP publique. Elle change déjà toute seule chez la plupart des fournisseurs, et cela ne referme aucune porte. Ce que votre adresse IP permet réellement est détaillé dans que peut-on faire avec mon adresse IP.
Installer un VPN. Un VPN chiffre le trajet entre votre appareil et le serveur du prestataire. Si le problème est dans la box, il masque le symptôme sur un seul appareil et laisse les autres exactement où ils étaient.
Passer l'antivirus sur l'ordinateur. Utile par ailleurs, sans effet ici : un antivirus ne lit pas la configuration de votre box.
Masquer le nom du réseau wifi. Le réseau reste détectable par n'importe quel outil, et vous compliquez la vie de vos propres appareils.

Si les libellés ne vous disent rien, ou si vous préférez ne pas cliquer à l'aveugle dans des réglages réseau, c'est ce que couvre une assistance à distance : on passe les six rubriques ensemble, écran partagé, en une demi-heure. Le déroulé de la prise en main et les tarifs sont affichés : le diagnostic au téléphone dure quinze minutes et ne coûte rien.

Questions fréquentes

Un pirate peut-il voir ce que je fais sur Internet via ma box ?

Il verrait les noms des sites visités, pas le contenu des pages : les sites sérieux sont chiffrés de bout en bout. Le vrai danger d'un DNS détourné n'est pas l'espionnage, c'est la redirection vers une fausse page de connexion où vous tapez vous-même vos identifiants.

Faut-il changer de box après un piratage ?

Non dans la quasi-totalité des cas. Une réinitialisation d'usine efface la configuration entière et remet le micrologiciel officiel. Le remplacement ne se justifie que pour un routeur acheté dans le commerce que le fabricant ne met plus à jour.

Mon voisin connaît ma clé wifi : peut-il entrer dans l'administration ?

Sur une Livebox récente, oui, tant que le mot de passe d'administration est celui d'usine : il correspond aux huit premiers caractères de la clé wifi. C'est la raison pour laquelle ce mot de passe se change en premier, avant tous les autres réglages.

Comment savoir si les DNS de ma box ont été modifiés ?

Ouvrez la rubrique DHCP ou DNS de l'interface. Des champs vides ou sur « automatique » sont normaux. Une adresse que vous n'avez pas saisie et qui n'est ni celle de votre fournisseur ni un service public connu doit être retirée immédiatement.

Un appareil inconnu apparaît « connecté » en Ethernet : c'est grave ?

Plus qu'en Wi-Fi. Un périphérique en Ethernet est relié par un câble à la box ou à une prise CPL : il a fallu entrer chez vous, ou bien un vieux boîtier est resté branché derrière un meuble. Suivez le câble avant de conclure ; neuf fois sur dix, c'est un décodeur TV, une console ou une prise CPL oubliée.

La box se met-elle à jour toute seule ?

Oui, les box des fournisseurs d'accès français reçoivent leurs mises à jour automatiquement, en général la nuit. Ce n'est pas le cas d'un routeur, d'un répéteur ou d'un boîtier CPL acheté séparément : ceux-là se vérifient à la main.

Dois-je porter plainte si ma box a été piratée ?

Oui dès qu'il y a eu une conséquence : un compte perdu, un paiement, une usurpation. Gardez vos captures d'écran des réglages fautifs, elles datent les faits. La marche à suivre est détaillée dans porter plainte et signaler un piratage.

Étienne AubryTechnicien informatique au Mans depuis dix ans. Cette fiche vient de ce que je vois passer au téléphone, pas d'un manuel. En savoir plus.

Ma box Internet est-elle piratée ?