La lenteur, les publicités et les alertes rouges ne prouvent presque jamais une infection. Voici les signaux qui en prouvent une, la façon de les vérifier, et la méthode de nettoyage sur ordinateur comme sur téléphone.
Un appareil lent, couvert de publicités ou qui affiche des alertes rouges n’est presque jamais infecté : ce sont les symptômes d’un navigateur mal réglé, d’un stockage saturé ou d’une page piégée. Les vrais signaux sont ailleurs : un programme qui se relance au démarrage sans y avoir été mis, un moteur de recherche changé de force, une autorisation d’accessibilité accordée à une application inconnue, une connexion réussie depuis un pays où vous n’êtes jamais allé. Le nettoyage se fait dans un ordre précis, et la première étape n’est jamais une analyse antivirus.
Une fenêtre apparaît en bas à droite de l’écran, avec un bouclier rouge : « 3 menaces détectées, votre protection a expiré ». Elle ressemble à une notification du système. Elle n’en est pas une : c’est un site web auquel vous avez accordé, un jour, le droit d’envoyer des notifications. Le clic mène à une page qui vend un logiciel de nettoyage, ou à un numéro de téléphone.
Ce scénario représente une grande part des demandes d’assistance pour « virus » chez les particuliers. Aucune infection, un réglage de navigateur. À l’inverse, une machine réellement compromise fonctionne souvent très bien : rien ne rame, rien ne clignote, parce que l’intérêt de l’attaquant est que vous ne remarquiez rien.
Le tri commence donc avant toute analyse, par une question de méthode : quel symptôme précis observez-vous, et que prouve-t-il exactement ?
C’est la confusion la plus coûteuse, parce qu’elle envoie nettoyer une machine saine pendant que le vrai accès reste ouvert.
Vos contacts reçoivent des messages envoyés depuis votre adresse. Vos amis signalent des publications étranges sur votre profil. Une commande part de votre compte marchand. Tout cela se produit sans qu’aucun programme ne tourne chez vous : quelqu’un s’est connecté à votre compte, depuis n’importe où, avec un mot de passe obtenu dans une fuite ou sur une fausse page de connexion. Réinstaller votre ordinateur n’y changera rien.
Le test qui tranche est simple. Ouvrez, depuis un autre appareil, l’historique des connexions du service concerné : la plupart des messageries et des réseaux sociaux listent les sessions actives avec date, appareil et pays approximatif. Une session inconnue signe un compte compromis. Dans ce cas, la marche à suivre est celle décrite pour un mot de passe volé, et pour un profil social, celle de la reprise d’un compte piraté.
Les deux problèmes se rejoignent dans un cas : un logiciel voleur de mots de passe installé sur la machine explique à la fois l’infection et les connexions étrangères. Le signe distinctif est alors le nombre : plusieurs comptes sans rapport entre eux tombent en même temps.
| Ce que vous observez | Cause la plus probable | Vérification en une minute |
|---|---|---|
| Alertes « virus détecté » en bas de l’écran | Autorisation de notification accordée à un site web | Réglages du navigateur, section notifications : retirer tous les sites de la liste |
| Publicités agressives dans le navigateur | Extension installée avec un logiciel gratuit, ou site sans bloqueur | Page des extensions : désactiver tout ce qui n’a pas été choisi |
| Ordinateur devenu lent | Disque saturé, mémoire insuffisante, indexation ou mise à jour en cours | Gestionnaire de tâches, onglet des performances, pendant deux minutes |
| Ventilateur bruyant, machine chaude | Mise à jour, sauvegarde, onglet de navigateur lourd | Trier les processus par usage du processeur |
| Téléphone lent, batterie qui tient moins | Vieillissement de la batterie, stockage plein, application de fond | Écran de santé de la batterie et statistiques d’usage |
| Processus au nom incompréhensible | Composant normal du système | Rechercher le nom exact avant toute action |
Ces six lignes couvrent la majorité des inquiétudes. Pour les deux causes de lenteur, les démarches complètes existent à part : le diagnostic d’un ordinateur lent et celui d’un téléphone qui rame traitent les vraies causes, qui sont matérielles et logicielles avant d’être malveillantes.
À l’inverse, sept observations justifient de tout arrêter et de vérifier sérieusement.
Un seul de ces signes suffit à passer à la phase de nettoyage. Aucun ne se règle en cliquant sur « analyser » et en attendant.
Un code malveillant qui veut durer doit se relancer après un redémarrage. Il ne peut le faire que par un nombre limité de mécanismes, et c’est cette liste, courte, qu’il faut parcourir. Le fichier lui-même change de nom et d’emplacement, le mécanisme de relance, lui, se voit.
| Mécanisme | Où regarder sur Windows | Où regarder sur macOS |
|---|---|---|
| Lancement au démarrage | Onglet « Démarrage » du gestionnaire de tâches | Éléments d’ouverture et agents de session dans les réglages système |
| Tâche répétée en arrière-plan | Planificateur de tâches | Agents et démons de lancement |
| Extension de navigateur | Page des extensions de chaque navigateur installé | Idem, pour chaque navigateur, profil par profil |
| Détournement de la résolution de noms | Serveurs DNS de la carte réseau et fichier hosts | Serveurs DNS de l’interface active et fichier hosts |
| Interception du trafic | Paramètres de serveur mandataire et magasin de certificats racine | Réglages de proxy du réseau et certificats du trousseau système |
| Compte d’accès | Comptes locaux et membres du groupe des administrateurs | Liste des utilisateurs et case « administrateur » |
Deux lignes de ce tableau sont régulièrement oubliées. Les serveurs de noms modifiés permettent de rediriger silencieusement un nom de domaine légitime vers un serveur contrôlé par l’attaquant : le principe est expliqué dans le fonctionnement du DNS. Un certificat racine ajouté au magasin du système permet, lui, de fabriquer des certificats acceptés par votre navigateur pour n’importe quel site. Aucun antivirus ne considère ces deux modifications comme malveillantes en soi, puisque des logiciels légitimes les utilisent aussi.
L’étape 6 se fait obligatoirement depuis un autre appareil. Changer un mot de passe sur une machine encore équipée d’un enregistreur de frappe revient à livrer le nouveau secret en même temps que l’ancien.
Les logiciels malveillants mobiles n’ont pas besoin de faille : ils demandent, et on accorde. Trois autorisations donnent à elles seules un pouvoir considérable.
Les services d’accessibilité. Conçus pour les personnes en situation de handicap, ils permettent à une application de lire ce qui est affiché et de simuler des appuis. Une application qui en dispose peut lire un code reçu, remplir un formulaire de virement et valider à votre place. C’est le mécanisme central des chevaux de Troie bancaires.
L’accès aux notifications. Il donne le contenu de tous les messages affichés, donc les codes à usage unique envoyés par SMS, sans jamais toucher à l’application de messagerie.
Le statut d’administrateur d’appareil. Il empêche la désinstallation par la voie normale et donne des pouvoirs de verrouillage et d’effacement.
Le cloisonnement des applications rend l’infection classique très rare. Les cas réels relèvent de deux catégories : les logiciels espions commerciaux, qui supposent un accès physique et la connaissance du code, et les attaques ciblées de haut niveau, qui visent des journalistes, des avocats ou des responsables politiques, pas le grand public.
Ce qui produit des symptômes inquiétants, en revanche, se trouve ailleurs. Les abonnements de calendrier ajoutés depuis une page web remplissent l’agenda de rendez-vous publicitaires et de fausses alertes : ils se retirent dans la liste des calendriers. Les profils de configuration, utilisés légitimement par les entreprises et les établissements scolaires, peuvent imposer un serveur mandataire ou un certificat : leur présence se vérifie dans les réglages généraux, section gestion de l’appareil, et un profil que vous ne reconnaissez pas se supprime.
Un nettoyage réussi échoue souvent à l’étape suivante, quand on restaure ce qui contenait le problème. Trois règles évitent ce retour.
Choisissez une sauvegarde antérieure à la date du premier symptôme, pas la plus récente. Le décalage entre l’installation d’un code malveillant et sa découverte se compte en semaines. Restaurez vos données, pas vos applications ni vos réglages système : une image complète réintroduit exactement ce que vous venez de retirer. Enfin, refaites entrer les logiciels un par un, depuis leur source officielle, ce qui est aussi l’occasion de ne pas réinstaller ce qui a causé le problème.
Reste la partie comptes. Après une infection avérée sur une machine où vous vous connectiez à des services, considérez que tous les mots de passe enregistrés dans le navigateur sont connus de l’attaquant. Changez-les, activez un second facteur là où c’est possible, et vérifiez qu’aucune règle de transfert automatique n’a été ajoutée dans votre messagerie : c’est la porte dérobée la plus discrète, parce qu’elle survit à tous les changements de mot de passe.
Devant un symptôme, demandez-vous ce qu’il prouve, et pas seulement ce qu’il suggère. Une alerte affichée prouve qu’une page ou une application a le droit d’afficher, rien de plus. Une lenteur prouve qu’une ressource est saturée. Ce qui prouve une compromission, c’est un mécanisme qui se relance tout seul, un droit accordé que vous n’avez pas donné, ou une session ouverte que vous ne reconnaissez pas. Tant que vous n’avez trouvé aucun des trois, vous n’avez pas d’infection : vous avez un réglage à corriger.
Pas totalement, et l’inverse est vrai aussi. Un moteur détecte les familles connues et les comportements typiques, pas un accès obtenu avec vos propres identifiants ni un outil d’administration légitime détourné. Si les symptômes persistent après une analyse propre, cherchez la persistance plutôt qu’un fichier : programmes lancés au démarrage, tâches planifiées, extensions, serveur mandataire configuré, serveurs de noms modifiés. C’est là que se voit ce qu’un moteur ne signale pas.
Non, mais c’est la seule réponse certaine quand la persistance résiste ou quand des droits d’administration ont été obtenus. Une réinstallation propre coûte une demi-journée et lève tous les doutes, à condition de ne pas restaurer une image système antérieure qui contient déjà le problème. Restaurez vos documents, pas vos programmes ni vos réglages. Recréez les comptes, ne réimportez pas un profil complet.
C’est presque toujours le vieillissement de la batterie, une application de fond mal réglée ou une synchronisation en cours. Un logiciel espion moderne cherche justement à ne pas se voir et consomme peu. Commencez par le diagnostic d’une autonomie qui s’effondre, qui isole l’application responsable en quelques minutes. Passez à l’hypothèse de l’espion seulement si quelqu’un a eu un accès physique prolongé à l’appareil et connaît votre code.
Considérez la machine comme compromise et le compte bancaire comme exposé. Déconnectez le réseau, appelez votre banque par le numéro figurant au dos de votre carte, faites opposition si un paiement ou un virement a été évoqué, puis changez vos mots de passe depuis un autre appareil. Conservez les traces (numéro appelé, nom du logiciel de prise en main, montants) et signalez les faits sur Cybermalveillance.gouv.fr avant de déposer plainte.
Les liens ci-dessus renvoient vers les textes et les organismes cités. Les dates de consultation sont celles de la dernière relecture, le 13 septembre 2026.
Dans ce thème
Dans la rubrique
Mots de passe, arnaques, fuites de données et réflexes qui changent vraiment quelque chose.