La double authentification protège-t-elle vraiment ?

Elle empêche que le seul mot de passe capturé suffise, ce qui est déjà l'essentiel. Elle ne rend pas le compte inviolable : un code à usage unique tapé au clavier est capturé comme le reste, et n'a de valeur que quelques instants. Une clé physique ou une validation dans une application dédiée ne passent pas par le clavier et ne sont donc pas exposées de cette façon.

Copier-coller mon mot de passe évite-t-il la capture ?

Pas de façon fiable : le presse-papiers est lui aussi accessible à un programme installé sur la machine. Le raisonnement utile n'est pas de contourner la capture sur un appareil compromis, mais de ne pas saisir d'information sensible sur un appareil dont vous ne répondez pas.

Enregistreur de frappe (keylogger)

En clair

Un dispositif qui note tout ce que vous tapez au clavier. Y compris ce que vous effacez avant de l'envoyer, et ce que vous saisissez sur des sites parfaitement authentiques.

Ce que cherche l'attaquant : voler des identifiants.

Définition

Un enregistreur de frappe est un dispositif — programme, ou petit matériel intercalé sur le port du clavier — qui capte les touches saisies sur un appareil et les transmet à un tiers. Sa particularité est de fonctionner en amont de tout site : le caractère légitime de la page où vous tapez n'y change rien.

Comment ça fonctionne

La version logicielle s'installe comme les autres logiciels malveillants et se place entre le clavier et le système : elle voit la frappe avant l'application qui la reçoit. La version matérielle est un boîtier discret branché entre le clavier et l'unité centrale, ce qui la réserve aux appareils physiquement accessibles à d'autres — poste partagé, machine en libre accès, bureau ouvert. Dans les deux cas, ce qui distingue ce procédé des autres est le périmètre : sont capturés le mot de passe correct saisi sur le vrai site, la phrase commencée puis effacée, le message jamais envoyé, le code recopié depuis un carnet. Les protections qui reposent sur l'idée d'un site frauduleux à éviter n'ont ici aucune prise, puisqu'il n'y a pas de faux site.

Sur quoi cette attaque s'appuie

La confiance

Comprendre ces ressorts vaut mieux que retenir cent fiches : c'est ce qui permet de reconnaître une arnaque que personne n'a encore décrite.

Signaux d'alerte

Petit boîtier ou adaptateur inhabituel entre le câble du clavier et l'ordinateur
Connexions à vos comptes depuis des lieux ou des appareils que vous ne reconnaissez pas
Comptes compromis alors que vous n'avez cliqué sur aucun lien et réutilisé aucun mot de passe
Sur un poste partagé, session déjà ouverte ou logiciel inconnu au démarrage
Décalage ou saccade à la saisie, inconstant et peu concluant à lui seul

Comment vérifier

Sur un poste fixe dont l'accès physique n'est pas garanti, regardez ce qui est branché derrière la machine — c'est la seule vérification franchement concluante de cette fiche. Côté logiciel, examinez les programmes lancés au démarrage et les autorisations d'accessibilité, qui sont le mécanisme habituellement détourné. Sur un ordinateur que vous ne maîtrisez pas, considérez la question comme indécidable et n'y saisissez rien de sensible.

Que faire

Ne saisissez pas de mot de passe important sur un ordinateur partagé ou public. Activez la double authentification : elle est ce qui limite le mieux les dégâts ici, puisqu'un mot de passe capturé ne suffit alors plus. Un gestionnaire de mots de passe qui remplit les champs sans passer par le clavier réduit également la surface exposée.

Si c'est déjà arrivé

Depuis un autre appareil, changez les mots de passe des comptes utilisés sur la machine suspecte, en commençant par la messagerie principale, et fermez les sessions ouvertes. Si un enregistreur matériel est trouvé, ne le retirez pas avant d'avoir photographié le montage : c'est un élément à joindre à la plainte. Sur un poste professionnel, prévenez le service informatique avant toute manipulation. Signalez les faits sur cybermalveillance.gouv.fr.

Questions fréquentes

La double authentification protège-t-elle vraiment ?: Elle empêche que le seul mot de passe capturé suffise, ce qui est déjà l'essentiel. Elle ne rend pas le compte inviolable : un code à usage unique tapé au clavier est capturé comme le reste, et n'a de valeur que quelques instants. Une clé physique ou une validation dans une application dédiée ne passent pas par le clavier et ne sont donc pas exposées de cette façon.
Copier-coller mon mot de passe évite-t-il la capture ?: Pas de façon fiable : le presse-papiers est lui aussi accessible à un programme installé sur la machine. Le raisonnement utile n'est pas de contourner la capture sur un appareil compromis, mais de ne pas saisir d'information sensible sur un appareil dont vous ne répondez pas.

Sources officielles

Cybermalveillance.gouv.fr — Assistance et signalement

Aussi appelée : keylogger, enregistreur de touches, capture de frappe.

Cette fiche fait partie de la famille Logiciels malveillants. Mise à jour : 2026-09-03.