Mon Mac a-t-il été piraté ? Comment le vérifier, et que faire

Piraté, infecté ou victime d’une arnaque ?

Ce qui ressemble à un piratage est généralement l’une de trois choses différentes, et chacune a sa solution :

• Une arnaque : un pop-up dans votre navigateur, ou un e-mail affirmant que votre Mac est piraté ou que vous avez été filmé par votre caméra. Rien n’a changé sur votre Mac. Consultez l’arnaque « Apple Security Alert » ; un e-mail qui réclame un paiement en bitcoins relève de la sextorsion, et la bonne réponse est de le supprimer.
• Malware ou adware : une page d’accueil ou un moteur de recherche modifiés, des publicités là où il n’y en avait pas, des apps que vous n’avez pas installées. Consultez comment supprimer un malware d’un Mac.
• Un compte piraté : des alertes de connexion, des e-mails de réinitialisation de mot de passe que vous n’avez pas demandés, des messages envoyés en votre nom. Quelqu’un a votre mot de passe, mais pas forcément votre Mac. Commencez par l’étape 6 ci-dessous.

Qu’une personne contrôle réellement un Mac est le cas le plus rare. Cela commence généralement par une app d’assistance à distance installée lors d’un faux appel au support technique, ou par quelqu’un qui a eu le Mac entre les mains.

Les signes que quelqu’un a accès à votre Mac

• Le pointeur bouge, des fenêtres s’ouvrent ou du texte est saisi sans que vous fassiez quoi que ce soit.
• Une app de contrôle à distance comme AnyDesk, TeamViewer ou un outil de partage d’écran que vous n’avez pas installé, ou que quelqu’un vous a demandé d’installer au téléphone.
• Un compte utilisateur dans Utilisateurs et groupes que vous n’avez pas créé, ou votre mot de passe qui ne fonctionne soudain plus.
• Le voyant vert de la caméra ou le point orange du micro s’allume alors qu’aucune app que vous avez ouverte ne devrait les utiliser.
• Des réglages qui reviennent en arrière après que vous les avez corrigés, comme le coupe-feu désactivé ou un profil impossible à supprimer.

1. Déconnectez-vous d’internet

Désactivez le Wi-Fi ou débranchez le câble avant de commencer. Le contrôle à distance et les envois de données s’arrêtent, et la personne connectée ne peut ni voir ce que vous vérifiez ni l’annuler. Ne rétablissez la connexion que lorsque vous en avez besoin, par exemple pour changer vos mots de passe à la fin.

2. Désactivez l’accès à distance

Ouvrez Réglages Système › Général › Partage. Désactivez tout ce que vous n’utilisez pas vous-même, en particulier Partage d’écran, Gestion à distance, Session à distance, Partage de fichiers et Évènements Apple distants. Session à distance permet à toute personne qui connaît le mot de passe d’un compte d’exécuter des commandes sur votre Mac via le réseau.

Cherchez ensuite dans Applications des apps de contrôle à distance, comme AnyDesk, TeamViewer, Splashtop, ConnectWise ou RustDesk. Si vous n’en avez pas installé une pour une raison précise, quittez-la et supprimez-la avec ses outils d’assistance ; voir comment désinstaller complètement des apps.

3. Vérifiez les comptes utilisateur

Ouvrez Réglages Système › Utilisateurs et groupes. Chaque compte affiché peut ouvrir une session sur le Mac, et un compte Admin peut tout y modifier. Supprimez les comptes que vous n’avez pas créés, et assurez-vous d’être le seul administrateur. Changez ensuite le mot de passe de votre Mac avec Modifier le mot de passe, au cas où quelqu’un connaîtrait l’ancien.

4. Vérifiez quelles apps peuvent observer ou contrôler le Mac

Ouvrez Réglages Système › Confidentialité et sécurité et passez en revue ces listes. Désactivez, ou supprimez avec le bouton −, toute app que vous ne reconnaissez pas ou que vous n’utilisez plus :

• Accessibilité : l’app peut contrôler votre Mac, cliquer et taper à votre place.
• Enregistrement de l’écran et des sons du système : l’app peut voir tout ce qui s’affiche à l’écran.
• Surveillance de l’entrée : l’app peut lire ce que vous tapez, mots de passe compris.
• Accès complet au disque, Caméra et Micro.

Quand un micro est utilisé, un point orange s’affiche dans la barre des menus ; la caméra a son voyant vert. Ouvrez le Centre de contrôle pour voir quelle app les utilise, ou les a utilisés en dernier.

5. Vérifiez ce qui démarre avec votre Mac

Tout ce qui conserve un accès doit se relancer après un redémarrage. Vérifiez Réglages Système › Général › Ouverture et extensions et les dossiers de launch agents, comme indiqué dans comment supprimer un malware d’un Mac, et supprimez les profils que vous n’avez pas installés sous Général › Gestion des appareils. Lancez ensuite une analyse antimalware.

6. Vérifiez vos comptes, depuis un autre appareil

1. Compte Apple : sur account.apple.com, ou dans Réglages Système sous votre nom, regardez Appareils. Supprimez ceux qui ne vous appartiennent pas, puis changez le mot de passe. Si quelqu’un d’autre le connaît, il peut voir vos photos iCloud, vos messages et vos sauvegardes, et verrouiller vos appareils avec Localiser.
2. Messagerie : vérifiez l’activité de connexion récente et les règles de transfert. Une règle qui transfère votre courrier ailleurs permet à un attaquant de continuer à recevoir vos codes de réinitialisation après que vous avez changé le mot de passe.
3. Changez les mots de passe de votre messagerie, de votre compte Apple, de votre banque et de chaque compte enregistré dans votre navigateur, en commençant par la messagerie, et déconnectez toutes les autres sessions lorsque le site le propose.
4. Activez l’identification à deux facteurs partout, de préférence avec une app d’authentification ou une clé d’identification plutôt que par SMS.

Faites-le depuis un téléphone ou un autre ordinateur de confiance : si le Mac est toujours compromis, les nouveaux mots de passe saisis dessus peuvent eux aussi être volés.

Si vous avez laissé un escroc accéder à votre Mac

Si un inconnu a eu le contrôle à distance, par exemple lors d’un faux appel au support ou d’un faux remboursement, partez du principe qu’il a vu ce qui était à l’écran et qu’il a peut-être installé de quoi revenir. Appelez d’abord votre banque s’il a vu ou touché à votre banque en ligne. Suivez ensuite toutes les étapes ci-dessus, et envisagez d’effacer le Mac : sauvegardez vos documents, puis choisissez Réglages Système › Général › Transférer ou réinitialiser › Effacer contenu et réglages, et réinstallez vos apps depuis le site de leurs développeurs.

Vérifiez votre Mac avec Tidy My Mac

• Security Settings évalue les protections de votre Mac, dont FileVault, le coupe-feu, Gatekeeper et SIP, et explique comment réactiver chacune de celles qui sont désactivées.
• Privacy Access liste au même endroit toutes les apps autorisées à utiliser votre caméra, votre micro, votre écran et vos fichiers, et Sudo Activity affiche les commandes exécutées avec les droits d’administrateur au cours des 30 derniers jours.
• Antivirus recherche les malwares et les chevaux de Troie d’accès à distance, Startup Items affiche tout ce qui démarre avec votre Mac, et le Firewall montre quelles apps se connectent vers l’extérieur, et les bloque.