Enregistreur de frappe (keylogger) : ce que c'est et comment protéger vos mots de passe

L'Office québécois de la langue française définit l'enregistreur de frappe, aussi appelé espion de clavier, comme un logiciel malveillant qui enregistre chacune des touches utilisées sur le clavier. Il peut être installé de façon logicielle, à distance ou non, ou de façon matérielle, à l'aide d'un dispositif comme une clé USB. La personne malveillante récupère ainsi vos mots de passe, vos informations bancaires et vos données de navigation. Le Commissariat à la protection de la vie privée ajoute que certains suivent aussi les mouvements de la souris.

Comment il arrive

• Par l'hameçonnage : le Centre canadien pour la cybersécurité explique que des courriels d'hameçonnage servent parfois à installer un enregistreur de frappe, qui saisit ensuite vos mots de passe et vos phrases de passe pendant que vous les tapez.
• Par un clic sur un lien dans un message ou sur un site Web, selon le Commissariat.
• Dans un cheval de Troie, qui peut permettre au pirate de voir ce que vous tapez en naviguant.
• Comme logiciel espion : le Centre canadien pour la cybersécurité range l'enregistreur de frappe parmi les logiciels espions, avec le voleur d'information.
• Par un appareil branché sur le clavier ou l'ordinateur à votre insu : le Commissariat précise que c'est peu fréquent.
• Par une personne de votre entourage qui a eu accès à votre appareil : l'enregistrement de la frappe au clavier fait partie des fonctions des logiciels traqueurs, note le Commissariat.

Peut-on le détecter?

Rarement à l'œil nu. Certains enregistreurs de frappe provoquent des symptômes semblables à ceux d'un virus : ordinateur plus lent, nouvelles icônes sur le bureau ou dans la zone de notification, activité excessive du disque dur ou du réseau, note le Commissariat. Surveillez surtout vos comptes : connexions que vous ne reconnaissez pas, mot de passe qui ne fonctionne plus, messages envoyés à votre nom. Et inspectez visuellement vos appareils pour vous assurer que chaque fil ou dispositif USB est bien d'origine ou que vous l'avez acheté vous-même, conseille SOS violence conjugale.

Si vous soupçonnez un enregistreur de frappe

1. Mettez votre antivirus à jour et lancez une analyse complète du système. Sur Windows : Sécurité Windows > Protection contre les virus et les menaces > Options d'analyse > Analyse complète; si le doute persiste, Antivirus Microsoft Defender (analyse hors ligne).
2. Le Commissariat mentionne aussi les logiciels anti-enregistreurs de frappe, qui analysent le système expressément pour repérer ce type de logiciel espion.
3. Depuis un appareil sain, changez le mot de passe de vos comptes importants et de tous ceux où vous utilisiez le même.
4. Activez l'authentification multifacteur, puis vérifiez les appareils et les sessions connectés à vos comptes et déconnectez ceux que vous ne reconnaissez pas.
5. Si vous avez tapé des renseignements bancaires ou de carte, communiquez avec votre institution financière au numéro inscrit au verso de votre carte.
6. Si l'infection persiste, réinstallez le système d'exploitation et restaurez seulement des sauvegardes saines, créées avant l'infection.

Sur le cellulaire

• Installez uniquement des applications des boutiques officielles, et lisez les autorisations qu'elles demandent avant de les accepter.
• Sur Android, gardez Analyser les applications avec Play Protect activé (Google Play Store > icône du profil > Play Protect > Paramètres), et activez Améliorer la détection des applications nuisibles si vous installez des applications hors de Google Play.
• Verrouillez votre cellulaire et ne le confiez pas à quelqu'un en qui vous n'avez pas totalement confiance : la plupart des applications de surveillance doivent être installées sur l'appareil déverrouillé.

Ce qui rend un enregistreur de frappe inutile

Un enregistreur de frappe vole ce que vous tapez. Avec l'authentification multifacteur, un mot de passe volé ne suffit plus : il faut un autre facteur que le fraudeur n'a pas. Les clés d'accès vont plus loin : aucun mot de passe n'est tapé ni transmis, puisque la clé se déverrouille par empreinte, visage ou NIP sur votre appareil. Un mot de passe différent pour chaque compte limite aussi les dégâts : le Centre antifraude du Canada rappelle que la réutilisation propage le risque à tous les comptes qui partagent les mêmes identifiants.

Pensez cybersécurité met en garde : un enregistreur de frappe peut voler le mot de passe principal de votre gestionnaire de mots de passe, d'où l'importance d'y activer l'authentification multifactorielle. Évitez aussi d'accéder à vos comptes bancaires à partir d'ordinateurs ou de réseaux publics ou partagés, recommande le Centre canadien pour la cybersécurité.

Un enregistreur de frappe ne se voit pas, mais on peut le rendre inutile : un mot de passe différent par compte et un deuxième facteur qu'il ne peut pas copier.