Mon ordinateur a été piraté : que faire

↑ Ce conseil fait partie du guide : Ordinateur ou téléphone piraté

Mon ordinateur a été piraté : que faire en premier ?

Coupez le réseau de la machine, sans l'éteindre brutalement. Changez ensuite vos mots de passe importants depuis un autre appareil sain, en commençant par la boîte mail. Vérifiez les règles de transfert de votre messagerie, puis faites analyser la machine. Redémarrer ou réinstaller à la hâte efface les traces sans régler le problème.

Est-ce vraiment un piratage ?

Avant de tout débrancher, il faut savoir ce qu'on regarde. Beaucoup d'appels commencent par « on a piraté mon ordinateur » alors que la machine n'a rien : elle est lente, encombrée, ou elle affiche une fausse alerte de navigateur. La différence se fait en quelques minutes.

Ce qui indique une vraie intrusion :

• Le curseur bouge seul, des fenêtres s'ouvrent et se ferment pendant que vous regardez l'écran sans rien toucher.
• Un logiciel de prise en main à distance est installé alors que vous ne l'avez jamais installé : AnyDesk, TeamViewer, UltraViewer, Supremo.
• Votre mot de passe de session ou de messagerie ne fonctionne plus, du jour au lendemain, sans que vous l'ayez changé.
• Des messages sont partis de votre boîte mail sans que vous les ayez écrits, ou vos contacts reçoivent des liens bizarres de votre part.
• L'antivirus est désactivé et refuse de se rallumer.
• Vos fichiers ont changé de nom ou d'extension, et un fichier texte réclame un paiement.

Ce qui n'en est pas un :

• Un ordinateur lent. C'est presque toujours l'âge de la machine, un disque plein, ou une dizaine de logiciels qui démarrent en même temps que Windows.
• Une page qui affiche « votre PC est infecté, appelez ce numéro », avec un bip et parfois une voix. C'est une page web, pas un virus : on ferme l'onglet, et il ne reste rien.
• Un mail qui prétend vous avoir filmé et qui cite un de vos anciens mots de passe. Ce mot de passe vient de la fuite d'un site, pas de votre machine.
• Des publicités qui s'ouvrent dans le navigateur. Le plus souvent, c'est une extension installée avec autre chose, ou une autorisation de notifications donnée sans y penser.

Si vous hésitez encore, la liste complète est là : les douze signes qui doivent alerter. Elle permet de classer la situation en deux minutes, et évite de traiter une fausse alerte comme une urgence.

Les six gestes de la première heure

Dans cet ordre, et rien d'autre tant qu'ils ne sont pas faits.

1. Coupez le réseau. Débranchez le câble, ou coupez le wifi depuis la box si vous n'êtes pas sûr de vous. Une machine hors ligne ne peut plus rien envoyer, ni recevoir d'ordre. En revanche, ne l'éteignez pas brutalement : ce qui est affiché est plus facile à constater sur une machine allumée.
2. Photographiez l'écran. Le message de rançon, la fenêtre du prétendu technicien, l'alerte de connexion : avec le téléphone, en entier, avec l'heure. Ces photos serviront pour la plainte, pour la banque et pour celui qui reprendra la machine.
3. Prenez un autre appareil. Un téléphone, une tablette, l'ordinateur d'un proche. Tout ce qui suit se fait depuis lui.
4. Changez le mot de passe de votre boîte mail principale. C'est la clé de tous les autres comptes : celui qui tient la boîte mail peut réinitialiser la banque, les réseaux sociaux et les sites d'achat, dans l'ordre qui lui plaît.
5. Déconnectez toutes les sessions ouvertes. Les grandes messageries proposent un bouton « se déconnecter partout » ou une liste des appareils connectés. C'est important : un mot de passe changé ne ferme pas toujours une session déjà ouverte ailleurs.
6. Prévenez votre banque si une carte était enregistrée dans le navigateur, ou si des identifiants bancaires ont été saisis quelque part. L'opposition se fait en deux minutes, au numéro inscrit au dos de la carte ou depuis l'application.

Les trois réflexes qui aggravent tout

Ce sont toujours les mêmes, et ils coûtent tous les trois plus cher que le piratage lui-même.

Rappeler le numéro affiché à l'écran. L'alerte qui vous demande d'appeler « le support Microsoft » n'a jamais été écrite par Microsoft. Au bout du fil, on vous fera installer un outil de prise en main, puis payer une réparation qui n'existe pas. Le déroulé complet est ici : comment fonctionne l'arnaque au faux support technique.

Réinstaller dans la foulée. Formater fait disparaître le problème, mais aussi vos documents, vos photos et les traces qui permettent de comprendre par où c'est entré. Or, tant qu'on ne le sait pas, rien n'empêche que ça recommence trois semaines plus tard. On sauvegarde, on constate, on réinstalle ensuite.

Brancher le disque de sauvegarde « pour mettre les fichiers à l'abri » pendant que la machine est encore infectée. C'est le meilleur moyen d'emporter l'infection avec, ou de faire chiffrer la sauvegarde en même temps que le reste. Le disque se branche après, sur une machine propre.

Reprendre la main sur vos comptes

Changer le mot de passe ne suffit pas. Quelqu'un qui est entré laisse presque toujours une porte pour revenir, et cette porte survit très bien au changement de mot de passe. Il faut donc, compte par compte, vérifier :

• L'adresse mail et le numéro de secours. S'ils ont été remplacés, c'est la porte principale : tant qu'ils ne sont pas remis à votre nom, le compte peut être repris à tout moment.
• Les règles de la messagerie. Une règle qui recopie discrètement vos mails vers une adresse inconnue, ou qui envoie les alertes de la banque directement à la corbeille, se crée en dix secondes et ne se voit jamais.
• Les applications autorisées. Retirez tout ce que vous ne reconnaissez pas dans la liste des services connectés au compte.
• Les appareils connectés. Déconnectez tout ce qui n'est pas à vous, y compris les vieux téléphones dont vous ne vous servez plus.
• La signature du mail. Elle est parfois modifiée pour glisser un lien dans tout ce que vous envoyez.

Ensuite seulement, activez la double authentification sur la boîte mail, la banque et les réseaux sociaux : de préférence par une application de codes, plus solide que le SMS.

Si le même mot de passe servait sur plusieurs sites — et c'est le cas le plus fréquent —, l'ordre dans lequel les reprendre est détaillé dans la fiche sur les mots de passe volés ou fuités.

Nettoyer la machine, ou la réinstaller

La bonne question n'est pas « virus ou pas virus ». C'est : est-ce qu'on sait comment c'est entré ?

Quand on identifie la cause — un logiciel indésirable arrivé avec un téléchargement, une extension de navigateur, un faux installeur —, un nettoyage suffit. On désinstalle, on passe la machine au crible, on regarde les programmes lancés au démarrage, les tâches planifiées, les extensions du navigateur et les autorisations de notifications. En général, c'est l'affaire d'une intervention.

La réinstallation devient raisonnable dans trois cas :

• vous avez laissé un inconnu prendre la main à distance sur la machine ;
• un outil d'accès distant ou d'administration a été installé sans vous ;
• les fichiers ont été chiffrés — c'est un cas à part, traité dans la fiche sur les rançongiciels.

Là encore, l'ordre ne change pas : sauvegarder les documents sur un disque externe, débrancher ce disque, réinstaller le système, analyser la sauvegarde avant de la recopier, puis refaire une passe sur les mots de passe depuis la machine redevenue propre. Un mot de passe changé pendant que la machine était compromise ne vaut rien.

Si de l'argent est parti

Dès qu'un paiement, un virement ou une saisie d'identifiants bancaires est en jeu, les délais comptent plus que le reste.

1. Opposition immédiate sur la carte concernée, au numéro figurant au dos ou depuis l'application de la banque.
2. Contestation des opérations auprès de votre banque. Une fraude à la carte alors que vous l'avez toujours en main se signale en plus sur Perceval, le service en ligne de l'État.
3. Plainte au commissariat ou à la gendarmerie, avec vos photos d'écran, les dates et les montants. La banque la réclame souvent avant de rembourser.
4. Signalement sur cybermalveillance.gouv.fr ou via 17Cyber, qui oriente vers la bonne démarche selon ce qui s'est passé. Les sites et contenus frauduleux se signalent sur Pharos.

Si vous êtes professionnel et que des données de clients ont pu partir, il faut aussi notifier la CNIL, dans les 72 heures qui suivent la découverte.

Un mot franc sur les fichiers : quand ils ont été effacés ou chiffrés, personne ne peut promettre de les retrouver. On peut tenter, et c'est ce que je fais ; mais sans la clé des attaquants, il n'y a souvent rien à déchiffrer, et il vaut mieux l'entendre tout de suite que d'y croire trois semaines.

Quand se faire aider

Il y a un moment où continuer seul fait perdre du temps : quand vous ne savez pas dire par où c'est entré, quand le mot de passe change à nouveau après que vous l'avez changé, ou quand la machine sert à votre activité professionnelle.

Le premier avis ne coûte rien : quinze minutes au téléphone, pendant lesquelles je vous dis si vous avez été piraté ou non, ce qu'il faut faire d'abord, et ce que coûterait la suite. C'est le seul but de ce quart d'heure.

Pour la suite : assistance à distance dès 19 € pour trente minutes, nettoyage d'un virus, d'un logiciel espion ou d'une intrusion dès 39 €, intervention à domicile au Mans et en Sarthe dès 49 €. Un rançongiciel se chiffre au devis : comptez une demi-journée. Une tentative de récupération de données commence à 79 €, et si rien n'est récupéré, elle n'est pas facturée.

Je suis référencé comme prestataire sur cybermalveillance.gouv.fr, le dispositif national d'assistance aux victimes. Si vous voulez savoir à quoi ressemble une intervention avant d'appeler, le déroulé est décrit ici, étape par étape.

Si le seul symptôme est la lenteur, prenez le temps de faire le tri avant de conclure à une infection : mon PC est lent, virus ou simple vieillesse donne les tests à faire soi-même.

Le même doute sur un téléphone se traite différemment : voyez mon téléphone Android est-il infecté.

Et si votre inquiétude porte moins sur un virus que sur quelqu'un qui verrait ce que vous faites, la fiche détecter un logiciel espion sur son ordinateur donne les signes réels et les vérifications à faire soi-même.

Comment voir si votre ordinateur est vraiment piraté

Trois endroits répondent, et aucun ne demande d'outil particulier :

1. Les connexions à vos comptes. Ouvrez la page de sécurité de votre compte Google ou Microsoft : elle liste les appareils connectés, le pays et la date. Un appareil inconnu est la preuve la plus directe qui existe — bien plus fiable qu'une analyse antivirus.
2. Les programmes installés récemment. Paramètres, Applications, tri par date d'installation. L'intrus arrive presque toujours avec une date, et elle correspond au moment où les symptômes ont commencé.
3. Les e-mails de sécurité. Cherchez dans votre boîte mail les messages d'alerte du dernier mois — corbeille et spam compris. Un intrus les supprime, mais rarement de la corbeille, et le premier message anormal date précisément le début de l'intrusion.

Ce qui, en revanche, ne prouve rien : un ordinateur lent, un ventilateur bruyant, une fenêtre publicitaire. Ce sont des symptômes ordinaires qu'on attribue au piratage faute d'autre explication.

Reprendre vos comptes, écran par écran

Une machine nettoyée ne sert à rien si les comptes restent ouverts ailleurs. L'ordre compte :

1. Depuis un autre appareil — téléphone, ordinateur d'un proche — et jamais depuis la machine suspecte, dont le clavier peut être écouté.
2. La messagerie en premier. Sur la page de connexion, « Mot de passe oublié », saisissez votre adresse email, cliquez sur le lien reçu, choisissez un nouveau mot de passe qui ne sert nulle part ailleurs.
3. Fermez les autres sessions dans les réglages de sécurité. Changer le mot de passe ne déconnecte pas toujours les appareils déjà connectés : c'est l'étape que tout le monde saute.
4. Vérifiez les moyens de récupération : adresse e-mail de secours, numéro de téléphone, et surtout les règles de transfert automatique de la messagerie, qui survivent au changement de mot de passe.
5. Enchaînez sur la banque, puis sur les comptes qui servent à se connecter ailleurs — Google, Apple, Facebook —, puis sur le reste.
6. Activez la double authentification au fur et à mesure : c'est le seul moment où vous y penserez.

Questions fréquentes

Comment voir si mon ordinateur est piraté ?

Trois endroits répondent : les connexions récentes de vos comptes (un appareil inconnu y est la preuve la plus directe), les programmes installés triés par date, et les e-mails de sécurité du dernier mois, corbeille comprise.

Que faire en premier si mon ordinateur est piraté ?

Couper le réseau, puis reprendre la messagerie depuis un autre appareil — jamais depuis la machine suspecte, dont le clavier peut être écouté. Le nettoyage de la machine vient après, pas avant.

Un ordinateur lent est-il forcément piraté ?

Non, et c'est rarement le cas. La lenteur, le bruit du ventilateur et les fenêtres publicitaires sont des symptômes ordinaires qu'on attribue au piratage faute d'autre explication.

Faut-il pour autant tout effacer ? Pas toujours : les cas où la réinstallation s'impose vraiment, et l'ordre à respecter pour ne rien perdre, sont dans réinstaller Windows après un piratage.