Comment Savoir Si Votre Ordinateur a Été Piraté (2026)

Votre souris a bougé. Vous ne l’avez pas touchée. C’est le seul signe qui signifie vraiment que quelqu’un est sur votre machine en ce moment — et c’est aussi le plus rare. La plupart du temps, les signes sont plus discrets.

Si vous êtes ici parce que quelque chose vous semble bizarre et que vous voulez en avoir le cœur net, le plus rapide est d’ouvrir une invite de commandes et de taper netstat -ano. Cette seule commande montre chaque connexion réseau active de votre ordinateur. Pas besoin de tout comprendre — faites défiler et cherchez les connexions ESTABLISHED vers des adresses IP que vous ne reconnaissez pas, surtout sur des ports autres que 80 ou 443. Les ports 4444 et 5555 sont les ports par défaut de Metasploit. Le port 8080 est couramment abusé par les RATs. Si vous voyez du trafic vers un endroit bizarre à 2h du matin quand vous ne faites rien, ce n’est pas Windows Update.

netstat et ce qu’il vous dit vraiment

J’ai reçu un appel d’un gars convaincu que son ex-copine avait installé quelque chose sur son portable. Il ne voulait pas dire comment il le savait, il répétait juste « j’ai l’impression que quelqu’un me surveille. » On a ouvert netstat -ano et effectivement, il y avait une connexion ESTABLISHED vers une adresse IP résidentielle sur le port 5900 — c’est VNC. Un outil de bureau à distance tournait, et ce n’était pas un qu’il avait installé. Le PID était 7384. On est allé dans le Gestionnaire des tâches, trouvé le PID 7384 — il se faisait appeler « WinUpdate64.exe » dans son dossier AppData\Local\Temp. Le vrai Windows Update ne met pas d’exécutables dans les répertoires Temp et n’utilise pas VNC.

Cette connexion était active depuis des semaines. Il ne l’aurait jamais trouvée sans netstat parce que le programme utilisait peut-être 0,2% du CPU et aucune fenêtre visible.

Pour l’exécuter : ouvrez cmd en tant qu’administrateur, tapez netstat -ano | findstr ESTABLISHED pour filtrer le bruit. Vous obtiendrez une liste comme :

TCP    192.168.1.5:49832    185.143.xx.xx:443    ESTABLISHED    1284
TCP    192.168.1.5:50111    44.238.xx.xx:8080    ESTABLISHED    7384

Le dernier nombre est le PID. Croisez-le dans le Gestionnaire des tâches — onglet Détails, triez par PID. Si le nom du processus semble faux ou que le fichier se trouve dans un endroit bizarre, c’est votre réponse. Vous pouvez aussi coller les adresses IP suspectes dans VirusTotal — il les vérifie contre plus de 90 fournisseurs de sécurité et rapports communautaires.

La plupart des gens qui lisent des guides sur « est-ce que j’ai été piraté » se font dire de vérifier si leur ordinateur est lent. Un ordinateur lent n’est pas un ordinateur piraté. C’est un ordinateur avec trop de bazar, un disque dur mourant, ou Chrome avec 47 onglets. J’estime qu’environ 3 personnes sur 10 qui nous appellent vraiment inquiètes d’avoir été piratées l’ont réellement été. Les autres ont un malware qui n’est pas vraiment du « piratage » ou rien du tout.

Ce qui pointe vraiment vers un accès non autorisé

Un pirate sur votre machine est différent d’un virus sur votre machine. Les virus veulent votre CPU ou vos clics. Une personne qui s’est introduite veut vos fichiers, vos mots de passe ou votre webcam. Les signes sont différents.

La lumière de votre webcam s’allume et vous n’êtes pas en visioconférence. Tout le monde en parle et je serai bref — si la lumière clignote et rien d’évident ne tourne, ouvrez le Gestionnaire des tâches, triez par GPU et cherchez ce qui accède à la caméra. La plupart des apps légitimes (Zoom, Teams, Discord) apparaissent dans la barre système. Si le processus qui accède à votre caméra est quelque chose dont vous n’avez jamais entendu parler, tuez-le et scannez la machine.

Mots de passe changés sur des comptes que vous n’avez pas touchés. Pas juste « mot de passe oublié » mais vous ne pouvez littéralement plus vous connecter à Gmail, et quand vous vérifiez l’email de récupération il a été changé pour quelque chose que vous ne reconnaissez pas. Cela signifie parfois qu’un keylogger a capturé vos identifiants. Vérifiez l’Observateur d’événements — eventvwr.msc, puis Journaux Windows > Sécurité, filtrez par ID d’événement 4624 (événements de connexion). Si vous voyez des types de connexion que vous ne reconnaissez pas à 4h du matin, c’est un problème.

De nouveaux comptes utilisateur existent sur votre ordinateur. Ouvrez cmd, tapez net user. S’il y a un compte que vous n’avez pas créé — surtout quelque chose de générique comme « admin2 » ou « support » — quelqu’un ou quelque chose l’a ajouté. Le malware ne crée généralement pas de comptes utilisateur. Les personnes oui.

Votre antivirus est désactivé et vous ne pouvez pas le réactiver. Plein de choses peuvent désactiver Defender temporairement — un booster de jeux, un logiciel VPN, une mauvaise mise à jour. Mais si vous allez dans Sécurité Windows et que le bouton de protection en temps réel est grisé, ou qu’il se désactive tout seul cinq minutes après que vous l’ayez activé, quelque chose lutte activement contre vous pour le contrôle de ce paramètre.

Observateur d’événements — Personne ne le vérifie mais vous devriez

L’Observateur d’événements est la boîte noire de votre PC et personne ne le lit. C’est pas grave, vous n’avez pas besoin de tout lire. Voici la seule chose qui vaut la peine d’être vérifiée :

Ouvrez eventvwr.msc, naviguez vers Journaux Windows > Sécurité. Cliquez sur « Filtrer le journal actuel » à droite, et tapez 4625 dans le champ ID d’événement. Cela montre les tentatives de connexion échouées. Sur un ordinateur domestique normal, vous devriez en voir presque aucune. Si vous voyez des centaines d’événements 4625 de la même source en quelques heures, quelque chose tente de forcer l’accès à votre machine. Les rapports de l’IC3 du FBI suivent ça au niveau national — la fraude par accès distant est l’une de leurs catégories de plaintes à la croissance la plus rapide.

Regardez aussi l’ID d’événement 4720 — c’est « compte utilisateur créé ». Si vous n’avez pas créé de nouveau compte et que cet événement existe, bon.

J’ai eu une cliente l’année dernière dont le portable se réveillait du mode veille à des heures aléatoires pendant la nuit. L’écran était allumé quand elle descendait le matin. Il s’est avéré que quelqu’un avait configuré une tâche planifiée — visible dans le Planificateur de tâches — qui réveillait la machine à 3h du matin, exécutait un script PowerShell qui exfiltrait son dossier Documents vers un point de stockage cloud, puis remettait la machine en veille. L’Observateur d’événements avait toute la chronologie. La tâche planifiée avait été créée trois semaines avant qu’elle ne remarque quoi que ce soit. Elle l’a découvert parce que sa bande passante montante avait explosé et son FAI lui avait envoyé un avertissement d’utilisation.

Quand ce n’est pas vraiment un piratage

Je veux être honnête sur cette partie parce que beaucoup de guides la sautent.

Les pubs dans votre navigateur ne sont pas du piratage. C’est un adware ou un pirate de navigateur et même si c’est agaçant, personne n’est « dans votre ordinateur ». Votre FAI ou une arnaque de support technique vous disant « votre ordinateur a été compromis » est presque toujours faux. La lenteur après une mise à jour Windows, c’est juste Windows qui fait du Windows.

Si chacune de ces vérifications revient propre — netstat ne montre rien de bizarre, l’Observateur d’événements semble normal, les processus du Gestionnaire des tâches sont tous légitimes, pas de comptes utilisateur inconnus — votre ordinateur n’est probablement pas piraté. Parfois un ordinateur agit bizarrement parce qu’un pilote a planté ou qu’une mise à jour a mal tourné. Je passe une bonne partie de ma semaine à dire aux gens que leur machine va bien quand ils étaient sûrs du contraire.

Si les vérifications ne sont pas propres, ou si vous avez trouvé quelque chose dans netstat ou l’Observateur d’événements dont vous n’êtes pas sûr, l’étape suivante est de lancer une analyse de malware depuis le Mode sans échec — notre guide de suppression de malware vous guide pas à pas. L’important est que vous savez maintenant si vous avez affaire à une vraie intrusion ou une fausse alerte, et cette distinction compte parce que la réponse est complètement différente.

Pour tout ce qui implique un RAT ou un accès distant actif — quelqu’un est littéralement sur votre machine — déconnectez-vous d’internet d’abord. Débranchez le câble ethernet ou désactivez le WiFi. Faites-le avant tout le reste. Ensuite vous pourrez réfléchir aux prochaines étapes sans que celui qui est là vous regarde le faire.