Comprendre pour se défendre
Ce numéro explique le mécanisme et la défense. Il ne fournit pas de code de capture : un enregistreur de frappe installé à l'insu de quelqu'un est un logiciel malveillant, et l'installer sur un appareil qui n'est pas le vôtre est un délit (voir le cadre légal plus bas). On s'en tient ici à ce qui aide à comprendre et à se protéger.
Ce qu'un attaquant cherche
Un keylogger enregistre les touches frappées au clavier. Tapées au clavier, justement : les identifiants et mots de passe, les numéros de carte, les messages. C'est l'un des plus vieux outils de vol de données, car il contourne le chiffrement : peu importe que le site soit en https, la frappe est captée avant d'être chiffrée, au moment où le doigt touche la touche.
Identifiants
La cible n°1 : accéder ensuite aux comptes, banque, messagerie, VPN d'entreprise.
Surveillance
Lire conversations et documents frappés, parfois sur la durée (conjoint, salarié, concurrent).
Usages encadrés
Il existe des usages licites et déclarés : contrôle parental, supervision d'entreprise transparente, ergonomie — mais toujours avec information et consentement.
Matériel ou logiciel
On distingue deux grandes familles, selon que la capture se fait par un objet physique ou par un programme.
Keylogger physique
Un petit boîtier intercalé entre le clavier et l'ordinateur, ou un faux clavier/cable. Il enregistre les frappes dans sa propre mémoire. Invisible pour l'antivirus — mais il faut un accès physique à la machine, et il se voit à l'œil derrière le PC.
Keylogger logiciel
Un programme qui s'installe sur le système et capte les frappes via le système d'exploitation. Le plus courant, car il se déploie à distance (dans une pièce jointe piégée, un faux installeur) et peut exfiltrer les données par le réseau.
Côté logiciel, la capture s'appuie sur des mécanismes légitimes du système, détournés de leur usage :
| Technique | Principe | Niveau |
|---|---|---|
| Hook d'API | S'abonner aux événements clavier que le système diffuse aux applications | Espace utilisateur |
| Pilote noyau | S'insérer dans la pile d'entrée au plus bas, sous les applications — furtif et puissant | Noyau (privilèges élevés) |
| Form grabbing | Capter le contenu des formulaires au moment de l'envoi, dans le navigateur | Application |
| Capture d'écran / presse-papiers | Compléter la frappe par des images ou le copier-coller (contourne les claviers virtuels) | Application |
Le maillon faible, c'est l'installation. Un keylogger ne « saute » pas sur une machine. Il faut qu'il y entre : pièce jointe ouverte, logiciel piraté, clé USB, accès physique. Bloquer l'installation, c'est bloquer 100 % du problème.
Ce que dit la loi (France)
Installer un enregistreur de frappe sur l'appareil d'autrui sans son accord est illégal, à plusieurs titres :
- Accès et maintien frauduleux dans un système de traitement de données (art. 323-1 et suivants du Code pénal).
- Atteinte au secret des correspondances (art. 226-15).
- Atteinte à la vie privée et collecte déloyale de données (art. 226-1 et suivants ; RGPD).
- Même un employeur ne peut pas surveiller les frappes en secret : la CNIL exige information préalable, proportionnalité et finalité déclarée ; une surveillance occulte est écartée par les tribunaux.
Pour étudier le sujet légalement : uniquement sur votre propre machine, dans un environnement isolé (une machine virtuelle dédiée, hors réseau de production), avec des données factices. L'objectif reste de comprendre les traces et d'apprendre à les détecter — pas de capturer qui que ce soit.
Détecter
Signes côté système
Processus inconnu qui démarre au boot, connexions réseau sortantes régulières et inexpliquées, ralentissements, antivirus/EDR désactivé. Un bon antivirus/EDR à jour reste la première barrière.
Signes côté physique
Regarder derrière le poste : boîtier intercalé sur le câble clavier, adaptateur USB inconnu, clavier qu'on ne reconnaît pas. Inspection visuelle, surtout sur postes en libre accès.
Défense
- Hygiène d'installation : ne pas ouvrir les pièces jointes douteuses, ne pas installer de logiciel piraté, verrouiller les ports USB sur les postes sensibles.
- Système et antivirus à jour : la majorité des keyloggers connus sont détectés s'ils ne sont pas trop récents.
- Double authentification (2FA/MFA) : même un mot de passe volé ne suffit plus à entrer. C'est la parade la plus efficace.
- Gestionnaire de mots de passe : il remplit les champs sans frappe au clavier, et ne connaît pas vos sites de phishing.
- Accès physique contrôlé : contre le matériel, rien ne remplace un local fermé et l'inspection des postes partagés.
Le réflexe à garder. Si une machine est peut-être compromise, on considère tous les mots de passe tapés dessus comme perdus : on les change depuis un autre appareil sain, et on active la double authentification partout.
L'essentiel
- Un keylogger capte la frappe avant le chiffrement : le https n'y change rien.
- Deux familles : matériel (accès physique) et logiciel (hook, pilote, form grabbing).
- L'installer chez autrui est un délit ; l'étudier, seulement sur sa propre machine isolée.
- Défense : hygiène d'installation, système à jour, MFA, gestionnaire de mots de passe, contrôle physique.