Mon ordinateur a été piraté : que faire

Est-ce vraiment un piratage ?

Avant de tout débrancher, il faut savoir ce qu'on regarde. Beaucoup d'appels commencent par « on a piraté mon ordinateur » alors que la machine n'a rien : elle est lente, encombrée, ou elle affiche une fausse alerte de navigateur. La différence se fait en quelques minutes.

Ce qui indique une vraie intrusion :

• Le curseur bouge seul, des fenêtres s'ouvrent et se ferment pendant que vous regardez l'écran sans rien toucher.
• Un logiciel de prise en main à distance est installé alors que vous ne l'avez jamais installé : AnyDesk, TeamViewer, UltraViewer, Supremo.
• Votre mot de passe de session ou de messagerie ne fonctionne plus, du jour au lendemain, sans que vous l'ayez changé.
• Des messages sont partis de votre boîte mail sans que vous les ayez écrits, ou vos contacts reçoivent des liens bizarres de votre part.
• L'antivirus est désactivé et refuse de se rallumer.
• Vos fichiers ont changé de nom ou d'extension, et un fichier texte réclame un paiement.

Ce qui n'en est pas un :

• Un ordinateur lent. C'est presque toujours l'âge de la machine, un disque plein, ou une dizaine de logiciels qui démarrent en même temps que Windows.
• Une page qui affiche « votre PC est infecté, appelez ce numéro », avec un bip et parfois une voix. C'est une page web, pas un virus : on ferme l'onglet, et il ne reste rien.
• Un mail qui prétend vous avoir filmé et qui cite un de vos anciens mots de passe. Ce mot de passe vient de la fuite d'un site, pas de votre machine.
• Des publicités qui s'ouvrent dans le navigateur. Le plus souvent, c'est une extension installée avec autre chose, ou une autorisation de notifications donnée sans y penser.

Si vous hésitez encore, la liste complète est là : les douze signes qui doivent alerter. Elle permet de classer la situation en deux minutes, et évite de traiter une fausse alerte comme une urgence.

Les six gestes de la première heure

Dans cet ordre, et rien d'autre tant qu'ils ne sont pas faits.

1. Coupez le réseau. Débranchez le câble, ou coupez le wifi depuis la box si vous n'êtes pas sûr de vous. Une machine hors ligne ne peut plus rien envoyer, ni recevoir d'ordre. En revanche, ne l'éteignez pas brutalement : ce qui est affiché est plus facile à constater sur une machine allumée.
2. Photographiez l'écran. Le message de rançon, la fenêtre du prétendu technicien, l'alerte de connexion : avec le téléphone, en entier, avec l'heure. Ces photos serviront pour la plainte, pour la banque et pour celui qui reprendra la machine.
3. Prenez un autre appareil. Un téléphone, une tablette, l'ordinateur d'un proche. Tout ce qui suit se fait depuis lui.
4. Changez le mot de passe de votre boîte mail principale. C'est la clé de tous les autres comptes : celui qui tient la boîte mail peut réinitialiser la banque, les réseaux sociaux et les sites d'achat, dans l'ordre qui lui plaît.
5. Déconnectez toutes les sessions ouvertes. Les grandes messageries proposent un bouton « se déconnecter partout » ou une liste des appareils connectés. C'est important : un mot de passe changé ne ferme pas toujours une session déjà ouverte ailleurs.
6. Prévenez votre banque si une carte était enregistrée dans le navigateur, ou si des identifiants bancaires ont été saisis quelque part. L'opposition se fait en deux minutes, au numéro inscrit au dos de la carte ou depuis l'application.

Les trois réflexes qui aggravent tout

Ce sont toujours les mêmes, et ils coûtent tous les trois plus cher que le piratage lui-même.

Rappeler le numéro affiché à l'écran. L'alerte qui vous demande d'appeler « le support Microsoft » n'a jamais été écrite par Microsoft. Au bout du fil, on vous fera installer un outil de prise en main, puis payer une réparation qui n'existe pas. Le déroulé complet est ici : comment fonctionne l'arnaque au faux support technique.

Réinstaller dans la foulée. Formater fait disparaître le problème, mais aussi vos documents, vos photos et les traces qui permettent de comprendre par où c'est entré. Or, tant qu'on ne le sait pas, rien n'empêche que ça recommence trois semaines plus tard. On sauvegarde, on constate, on réinstalle ensuite.

Brancher le disque de sauvegarde « pour mettre les fichiers à l'abri » pendant que la machine est encore infectée. C'est le meilleur moyen d'emporter l'infection avec, ou de faire chiffrer la sauvegarde en même temps que le reste. Le disque se branche après, sur une machine propre.

Reprendre la main sur vos comptes

Changer le mot de passe ne suffit pas. Quelqu'un qui est entré laisse presque toujours une porte pour revenir, et cette porte survit très bien au changement de mot de passe. Il faut donc, compte par compte, vérifier :

• L'adresse mail et le numéro de secours. S'ils ont été remplacés, c'est la porte principale : tant qu'ils ne sont pas remis à votre nom, le compte peut être repris à tout moment.
• Les règles de la messagerie. Une règle qui recopie discrètement vos mails vers une adresse inconnue, ou qui envoie les alertes de la banque directement à la corbeille, se crée en dix secondes et ne se voit jamais.
• Les applications autorisées. Retirez tout ce que vous ne reconnaissez pas dans la liste des services connectés au compte.
• Les appareils connectés. Déconnectez tout ce qui n'est pas à vous, y compris les vieux téléphones dont vous ne vous servez plus.
• La signature du mail. Elle est parfois modifiée pour glisser un lien dans tout ce que vous envoyez.

Ensuite seulement, activez la double authentification sur la boîte mail, la banque et les réseaux sociaux : de préférence par une application de codes, plus solide que le SMS.

Si le même mot de passe servait sur plusieurs sites — et c'est le cas le plus fréquent —, l'ordre dans lequel les reprendre est détaillé dans la fiche sur les mots de passe volés ou fuités.

Nettoyer la machine, ou la réinstaller

La bonne question n'est pas « virus ou pas virus ». C'est : est-ce qu'on sait comment c'est entré ?

Quand on identifie la cause — un logiciel indésirable arrivé avec un téléchargement, une extension de navigateur, un faux installeur —, un nettoyage suffit. On désinstalle, on passe la machine au crible, on regarde les programmes lancés au démarrage, les tâches planifiées, les extensions du navigateur et les autorisations de notifications. En général, c'est l'affaire d'une intervention.

La réinstallation devient raisonnable dans trois cas :

• vous avez laissé un inconnu prendre la main à distance sur la machine ;
• un outil d'accès distant ou d'administration a été installé sans vous ;
• les fichiers ont été chiffrés — c'est un cas à part, traité dans la fiche sur les rançongiciels.

Là encore, l'ordre ne change pas : sauvegarder les documents sur un disque externe, débrancher ce disque, réinstaller le système, analyser la sauvegarde avant de la recopier, puis refaire une passe sur les mots de passe depuis la machine redevenue propre. Un mot de passe changé pendant que la machine était compromise ne vaut rien.

Si de l'argent est parti

Dès qu'un paiement, un virement ou une saisie d'identifiants bancaires est en jeu, les délais comptent plus que le reste.

1. Opposition immédiate sur la carte concernée, au numéro figurant au dos ou depuis l'application de la banque.
2. Contestation des opérations auprès de votre banque. Une fraude à la carte alors que vous l'avez toujours en main se signale en plus sur Perceval, le service en ligne de l'État.
3. Plainte au commissariat ou à la gendarmerie, avec vos photos d'écran, les dates et les montants. La banque la réclame souvent avant de rembourser.
4. Signalement sur cybermalveillance.gouv.fr ou via 17Cyber, qui oriente vers la bonne démarche selon ce qui s'est passé. Les sites et contenus frauduleux se signalent sur Pharos.

Si vous êtes professionnel et que des données de clients ont pu partir, il faut aussi notifier la CNIL, dans les 72 heures qui suivent la découverte.

Un mot franc sur les fichiers : quand ils ont été effacés ou chiffrés, personne ne peut promettre de les retrouver. On peut tenter, et c'est ce que je fais ; mais sans la clé des attaquants, il n'y a souvent rien à déchiffrer, et il vaut mieux l'entendre tout de suite que d'y croire trois semaines.

Quand se faire aider

Il y a un moment où continuer seul fait perdre du temps : quand vous ne savez pas dire par où c'est entré, quand le mot de passe change à nouveau après que vous l'avez changé, ou quand la machine sert à votre activité professionnelle.

Le premier avis ne coûte rien : quinze minutes au téléphone, pendant lesquelles je vous dis si vous avez été piraté ou non, ce qu'il faut faire d'abord, et ce que coûterait la suite. C'est le seul but de ce quart d'heure.

Pour la suite : assistance à distance dès 19 € pour trente minutes, nettoyage d'un virus, d'un logiciel espion ou d'une intrusion dès 39 €, intervention à domicile au Mans et en Sarthe dès 49 €. Un rançongiciel se chiffre au devis : comptez une demi-journée. Une tentative de récupération de données commence à 79 €, et si rien n'est récupéré, elle n'est pas facturée.

Je suis référencé comme prestataire sur cybermalveillance.gouv.fr, le dispositif national d'assistance aux victimes. Si vous voulez savoir à quoi ressemble une intervention avant d'appeler, le déroulé est décrit ici, étape par étape.