Faux support informatique : que faire après avoir donné un accès à distance à votre PC ?

Commencer par reprendre le contrôle, sans céder à la panique

Si une personne présentée comme un support technique a pris la main sur votre PC, l’objectif immédiat n’est pas de deviner tout ce qu’elle a pu faire. Il faut d’abord interrompre son accès, conserver les éléments utiles et séparer quatre sujets : l’ordinateur, vos comptes, votre messagerie et vos moyens de paiement. Cette méthode évite d’effacer trop vite des traces tout en fermant l’accès.

Les faux supports peuvent demander l’installation d’un outil de contrôle à distance, puis présenter des messages système ordinaires comme la preuve d’une panne. Microsoft rappelle aussi que ses messages d’erreur et avertissements authentiques n’affichent pas de numéro à appeler et que l’entreprise ne contacte pas spontanément un particulier pour obtenir des informations personnelles ou financières ou réparer son PC. Une alerte urgente, un appel non sollicité et une demande d’accès à distance sont donc des signaux à traiter avec prudence.

Un écran impressionnant ne prouve pas le diagnostic avancé au téléphone. Si l’interlocuteur s’est appuyé sur un plantage réel, mon guide pour identifier la vraie cause d’un écran bleu Windows permet de revenir à des vérifications techniques plutôt qu’au scénario imposé par l’appelant.

Couper la session et déconnecter le PC du réseau sans effacer les preuves utiles

Si la prise en main est encore active, fermez la session de contrôle lorsque vous le pouvez, puis coupez la connexion réseau du PC : désactivez le Wi-Fi et débranchez le câble Ethernet s’il y en a un. Si la souris échappe à votre contrôle, commencez directement par la déconnexion réseau. L’ordinateur peut rester allumé le temps de noter ce qui est visible, tant que cette conservation ne permet pas à l’accès distant de reprendre.

Photographiez avec un autre appareil l’écran, le numéro appelé, l’heure, les fenêtres ouvertes et les éventuels messages. Conservez les courriels, SMS, factures, reçus, références d’opération et historique d’appel. Notez ce que vous avez communiqué : mot de passe saisi, code temporaire, adresse, données bancaires ou copie de document. Distinguez ce que vous avez vu de ce que l’interlocuteur a affirmé.

• Interrompre l’accès avant de poursuivre la conversation.
• Isoler le PC du réseau sans supprimer immédiatement fichiers et applications.
• Consigner l’heure, le déroulement et les actions que vous avez réellement effectuées.
• Utiliser un autre appareil pour les démarches urgentes liées aux comptes et paiements.

Retirer les outils de prise en main installés et contrôler leur démarrage automatique

Une fois les preuves de base conservées, dressez la liste des applications installées ou ouvertes pendant l’échange. N’essayez pas d’identifier un outil à partir de sa seule icône : comparez plutôt le nom, l’éditeur affiché, la date d’installation et le rôle que l’appelant lui a donné. Microsoft conseille, après une exposition de ce type, de retirer les applications demandées par le faux support.

Désinstallez les outils de prise en main que vous avez installés à sa demande et que vous n’utilisiez pas auparavant. Contrôlez ensuite les applications lancées au démarrage, les icônes de la zone de notification et les extensions ajoutées au navigateur pendant la même période. Le but est d’empêcher une reconnexion automatique, pas de supprimer au hasard chaque programme que vous ne reconnaissez pas.

Si vous hésitez sur un élément, conservez son nom exact et demandez une vérification avant de le retirer. Une suppression désordonnée peut casser un logiciel légitime sans apporter de réponse sur l’exposition. Je préfère établir une chronologie simple : présent avant l’appel, installé pendant l’appel, ou apparu après.

Analyser le PC et expliquer pourquoi un résultat propre n’est pas une garantie absolue

Le faux support peut chercher à voler des informations ou à installer un logiciel malveillant pendant la prise en main. Après avoir retiré les applications demandées, Microsoft recommande notamment une analyse complète, l’application des mises à jour et le changement des mots de passe. Lancez l’analyse avec la protection de sécurité maintenue à jour sur le PC, puis examinez le résultat au lieu de vous contenter de la mention « terminé ».

Un résultat propre est rassurant, mais il ne prouve pas à lui seul qu’aucune donnée n’a été vue, copiée ou transmise pendant la session. Il ne dit pas non plus ce qu’un tiers a pu faire avec un mot de passe saisi ou un code communiqué. L’analyse traite le risque présent sur l’ordinateur ; elle ne remplace pas la sécurisation des comptes.

• Conserver le rapport ou une capture du résultat de l’analyse.
• Installer les mises à jour du système et des applications depuis leurs canaux officiels.
• Observer les alertes, demandes d’accès, nouveaux comptes et comportements inhabituels.
• Faire examiner la machine si une suppression échoue ou si l’accès obtenu reste impossible à reconstituer.

Changer les mots de passe depuis un appareil de confiance et activer la double authentification

Commencez par le compte de messagerie principal : il sert souvent à réinitialiser les autres accès. Depuis un appareil de confiance, choisissez un mot de passe nouveau et unique, puis activez la double authentification lorsqu’elle est proposée. Fermez les sessions que vous ne reconnaissez pas et contrôlez les appareils associés, les méthodes de récupération et les coordonnées de secours.

Poursuivez avec les comptes utilisés ou affichés pendant la session, puis avec tout compte qui réutilisait le même mot de passe. Ne transformez pas un seul mot de passe en variante prévisible. Si vous utilisez un gestionnaire de mots de passe, sécurisez d’abord son compte principal et vérifiez ses connexions récentes avant de modifier les autres identifiants.

Un code de validation communiqué doit être considéré comme utilisé, même s’il a expiré depuis. Vérifiez alors l’action qu’il a autorisée : connexion, ajout d’appareil, changement de récupération ou validation d’une opération. La double authentification protège mieux les prochaines connexions, mais elle ne remplace pas cette vérification.

Vérifier messagerie, redirections, comptes financiers et moyens de paiement concernés

Dans la messagerie, examinez les règles de transfert, filtres, réponses automatiques, délégations et adresses de récupération. Contrôlez aussi les messages envoyés, supprimés et placés dans la corbeille. Une redirection inconnue peut continuer à transmettre des informations même après un changement de mot de passe ; retirez-la, fermez les sessions inconnues et conservez une trace avant la suppression.

Pour les comptes financiers, relevez les bénéficiaires, coordonnées, appareils reconnus et opérations que vous ne comprenez pas. Si un moyen de paiement a été utilisé pendant l’échange, Microsoft recommande de contacter son émetteur pour contester les opérations et protéger le compte. Utilisez le numéro officiel figurant sur votre carte, votre relevé ou le site saisi manuellement, jamais celui fourni par l’appelant.

Expliquez factuellement ce qui s’est passé : prise en main à distance, données montrées, code transmis, paiement demandé et heure approximative. L’émetteur décide des mesures adaptées au compte. De votre côté, continuez à surveiller les notifications et relevés sans répondre aux relances du faux support.

Conserver les éléments factuels et signaler l’arnaque par les canaux officiels

Rassemblez une copie des numéros, adresses, captures, messages, reçus, références de paiement et noms d’applications. Ajoutez une chronologie courte, sans interprétation : heure du premier contact, début et fin de la prise en main, informations fournies, fichiers ouverts, paiement éventuel et actions de sécurisation déjà réalisées. Gardez les originaux et travaillez sur des copies lorsque c’est possible.

Signalez ensuite les faits par les canaux officiels adaptés à votre pays : plateforme publique de signalement, forces de l’ordre ou service compétent selon la nature et l’urgence. Les dispositifs et adresses diffèrent d’un pays à l’autre ; vérifiez l’identité du site officiel avant d’envoyer des pièces. Je préfère ne pas donner une adresse générique qui pourrait être inadaptée à votre situation géographique.

Si une entreprise ou une administration a été imitée, vous pouvez aussi utiliser son canal officiel de signalement, trouvé indépendamment du message reçu. Ne contactez pas l’entité par les coordonnées présentes dans l’alerte suspecte. Le signalement ne remplace ni l’appel à l’émetteur du paiement ni la sécurisation technique.

Décider entre surveillance, nettoyage approfondi et réinitialisation selon l’exposition réelle

La bonne décision dépend de l’exposition réelle. Une session interrompue avant toute installation, sans compte ouvert ni information transmise, n’appelle pas la même réponse qu’un contrôle prolongé avec droits élevés, mots de passe saisis, messagerie consultée ou paiement effectué. Je classe d’abord ce qui est confirmé, plausible et inconnu.

• Surveillance renforcée : adaptée lorsque l’accès a été très limité, que les contrôles sont cohérents et qu’aucun comportement persistant n’est relevé.
• Nettoyage approfondi : pertinent lorsqu’un outil a été installé, qu’une analyse signale un élément ou que des réglages ont été modifiés.
• Réinitialisation ou réinstallation : à envisager lorsque les actions ne peuvent pas être reconstituées, que la confiance dans le système est perdue ou que des signes reviennent après nettoyage.

Avant une remise à zéro, sauvegardez uniquement les documents nécessaires et vérifiez que vous disposez des moyens de réinstaller proprement vos logiciels et de récupérer vos comptes. Après l’opération, continuez la surveillance des comptes : la réinstallation agit sur le PC, pas sur les données déjà communiquées.

Si vous ne pouvez pas déterminer l’étendue de la session, si des données sensibles ont été ouvertes ou si des alertes persistent, arrêtez les essais improvisés. Un diagnostic indépendant doit alors documenter les constats, expliquer ce qu’il peut vérifier et préciser ce qui restera impossible à prouver.