Comment supprimer un logiciel espion sans alerter la personne qui l’a installé

Cherchez comment supprimer un logiciel espion et les conseils sont unanimes : supprimez l’application, changez vos mots de passe, réinitialisez le téléphone. C’est simple, et pour un certain type d’intrusion, c’est la bonne réponse.

Pour le type le plus courant, c’est la pire première décision possible.

Tout dépend de qui l’a installé. Si un criminel inconnu est derrière, supprimez-le aujourd’hui. Si c’est un ou une partenaire, un ex, un membre de votre famille ou un employeur — ce qui correspond à la majorité des cas réels —, le supprimer a deux conséquences que vous ne souhaitez peut-être pas. Cela leur apprend que vous avez découvert le logiciel, à un moment que vous n’avez pas choisi. Et cela détruit les preuves.

Déterminez dans quelle situation vous êtes

Quelqu’un de votre entourage est peut-être impliqué si cette personne a eu physiquement accès au téléphone, si elle connaît votre code de déverrouillage, si elle a configuré l’appareil ou paie l’abonnement, ou si elle a su des choses qu’elle n’avait aucun moyen ordinaire de savoir. Passez à la marche à suivre prudente ci-dessous.

Il s’agit probablement d’un attaquant inconnu si le téléphone a été compromis par une application malveillante que vous avez installée vous-même, par un lien d’hameçonnage ou par un jailbreak public, et que personne dans votre entourage n’a pu plausiblement y avoir accès. Passez directement à la partie sur la suppression directe. Dans ce cas, la rapidité joue en votre faveur.

Si vous avez un doute, considérez que vous êtes dans le premier cas. La voie prudente vous coûte quelques jours. La voie rapide, si vous la choisissez à tort, est irréversible.

La marche à suivre prudente

1. Ne changez encore rien

Ni l’application, ni les mots de passe, ni les réglages. Ne confrontez personne. Partez du principe, pour l’instant, que ce que vous faites sur le téléphone est visible, y compris la lecture de cet article.

2. Demandez conseil, depuis un autre appareil

Utilisez un téléphone ou un ordinateur auquel l’autre personne n’a jamais eu accès. Le téléphone d’un ami, un ordinateur professionnel, un poste dans une bibliothèque.

Les associations spécialisées dans les violences conjugales traitent ce genre de situation chaque semaine et vous aideront à planifier l’ordre des étapes en fonction de votre situation réelle. La Coalition Against Stalkerware tient un annuaire ; aux États-Unis, le projet Safety Net du NNEDV et, au Royaume-Uni, Refuge proposent tous deux des services dédiés aux violences liées aux technologies. Ces appels sont gratuits et confidentiels.

3. Conservez des preuves avant de supprimer

C’est l’étape qui disparaît dès que vous touchez « Désinstaller », et celle qui compte si un avocat, un policier ou un juge aux affaires familiales intervient un jour.

Des captures d’écran des écrans de réglages valent mieux que rien. Un rapport d’analyse forensique issu d’une analyse externe vaut nettement mieux : il montre ce qui était installé, à quoi le logiciel avait accès et depuis quand, sous une forme qu’une personne non technicienne peut lire. C’est le cas où un outil payant se justifie, et il vaut mieux s’en occuper avant la suppression qu’après. Haris Shield produit exactement ce type de rapport.

4. Sécurisez vos comptes, depuis un autre appareil, dans cet ordre

L’accès aux comptes est souvent le véritable canal, et il survit à l’effacement du téléphone.

1. L’e-mail d’abord. C’est lui qui permet de réinitialiser tout le reste. Changez le mot de passe, activez l’authentification à deux facteurs et vérifiez l’adresse e-mail et le numéro de téléphone de récupération. Une adresse de récupération appartenant à l’autre personne lui rend directement l’accès au compte, quelle que soit la solidité du nouveau mot de passe.
2. L’identifiant Apple ou le compte Google. Même traitement, et passez en revue la liste des appareils connectés pour retirer ceux que vous ne reconnaissez pas. Gardez à l’esprit que ces retraits peuvent être remarqués.
3. Les messageries. Vérifiez les appareils associés : WhatsApp, Signal et Telegram permettent tous trois à un autre appareil de rester connecté indéfiniment. Vérifiez aussi qu’aucune règle de transfert n’a été discrètement ajoutée à votre messagerie électronique.
4. La banque et les achats en ligne, où une carte enregistrée révèle aussi les endroits où vous êtes allé.

Faites tout cela depuis un appareil que l’autre personne n’a jamais touché.

5. Planifiez la suppression, ne l’improvisez pas

Choisissez délibérément, en étant accompagné, entre trois options :

• Nettoyer le téléphone, en acceptant que l’autre personne puisse s’en apercevoir.
• Remplacer le téléphone, configuré de zéro, avec un nouvel identifiant Apple ou un nouveau compte Google, sans rien restaurer.
• Ne rien toucher pour l’instant et utiliser un second téléphone, privé, pour tout ce qui est sensible. Parfois, le téléphone le plus sûr est celui qui continue à avoir exactement la même apparence qu’avant.

La troisième option est celle dont personne ne parle, et dans certaines situations, c’est la bonne.

La suppression directe, quand personne de votre entourage n’est impliqué

Sur Android

1. Révoquez les autorisations avant de désinstaller. D’abord l’administration de l’appareil, dans Paramètres, Sécurité, Applis d’administration de l’appareil : une application disposant de droits d’administration peut refuser d’être désinstallée tant que vous ne les lui avez pas retirés. Ensuite les services d’accessibilité, puis l’accès aux notifications.
2. Désinstallez l’application, dans Paramètres, Applications.
3. Réactivez Play Protect et lancez une analyse.
4. Mettez à jour Android et les mises à jour du système Google Play.
5. Changez votre mot de passe Google et déconnectez les appareils que vous ne connaissez pas.

Sur iPhone

1. Supprimez les profils de configuration que vous ne reconnaissez pas, dans Réglages, Général, VPN et gestion de l’appareil.
2. Mettez iOS à jour. La plupart des intrusions sur iPhone reposent sur des failles qu’Apple a déjà corrigées, si bien que cette seule étape en élimine un grand nombre.
3. Changez le mot de passe de votre identifiant Apple et passez en revue la liste des appareils.
4. Si le téléphone a été jailbreaké, la mise à jour d’iOS supprime le jailbreak, et une réinitialisation aux réglages d’usine est la solution la plus sûre.
5. Envisagez le mode Isolement si vous avez de vraies raisons de penser que vous avez été délibérément ciblé.

Le piège de la sauvegarde

C’est là que beaucoup de gens défont leur propre travail.

Une réinitialisation aux paramètres d’usine efface le téléphone. Ensuite, vous restaurez votre sauvegarde, sans quoi vous perdriez vos photos et vos messages, et si cette sauvegarde a été faite alors que le téléphone était compromis, vous risquez de réinstaller le problème dès le premier jour sur votre téléphone tout propre.

Comment l’éviter :

• Configurez le téléphone comme un nouvel appareil, sans sauvegarde, si vous pouvez vous y résoudre.
• Si vous devez restaurer, utilisez une sauvegarde antérieure à la compromission, si vous pouvez la dater. C’est l’analyse forensique de l’étape 3 qui vous indique approximativement à quel moment les choses ont changé.
• Restaurez les données de façon sélective : récupérez les photos et les contacts dans la sauvegarde plutôt que de restaurer en bloc les applications et les réglages.
• Après la restauration, revérifiez les écrans de réglages. Les profils de configuration et les autorisations peuvent revenir avec une restauration des réglages.

Et notez ce qu’une réinitialisation ne règle pas : elle ne change rien face à quelqu’un qui connaît le mot de passe de votre compte. Si l’accès passe par le compte, effacer le téléphone ne sert absolument à rien.

Une réinitialisation aux paramètres d’usine suffit-elle toujours ?

Pour un logiciel de traque commercial (stalkerware) sur un appareil normal, oui. Pour tout ce qui s’appuie sur un rootage ou un jailbreak, généralement oui, puisque la réinitialisation supprime le système modifié. Pour les logiciels espions de niveau étatique, en général oui en ce qui concerne la persistance, car la plupart des implants mercenaires ne survivent pas à une réinitialisation et certains ne survivent même pas à un redémarrage — ce qui explique aussi qu’ils soient réinstallés, en silence, par le même chemin qu’auparavant.

C’est là le véritable enjeu. La suppression règle l’infection. Elle ne ferme pas la porte d’entrée. Si cette porte était l’accès physique à un téléphone déverrouillé, et que cet accès existe toujours, vous vous retrouverez au même point.

Fermer la porte d’entrée

• Un code de déverrouillage que personne d’autre ne connaît. Vérifiez qu’aucune empreinte digitale ni aucun visage supplémentaire n’a été enregistré.
• Les mises à jour dès leur sortie, celles du système d’exploitation comme celles des boutiques d’applications.
• L’authentification à deux facteurs, en commençant par l’e-mail.
• Ni jailbreak ni rootage, ni par vous ni par quelqu’un d’autre.
• Les listes d’appareils de vos comptes vérifiées tous les deux ou trois mois.
• Les fonctions de partage réexaminées. Un partage de position configuré à une période plus heureuse puis oublié est en soi une forme de surveillance.

En bref

Si quelqu’un que vous connaissez est peut-être derrière : d’abord les conseils, ensuite les preuves, puis les comptes, la suppression en dernier, et jamais de confrontation avant d’être prêt.

S’il s’agit d’un attaquant inconnu : sur Android, retirez les droits d’administration avant de désinstaller, mettez à jour le système d’exploitation, changez vos mots de passe depuis un autre appareil et faites attention à la sauvegarde que vous restaurez.

Dans les deux cas, la suppression met fin à l’infection, mais ne ferme pas la porte. Si vous ne changez rien à la façon dont la personne est entrée, la même chose se reproduira.

Sources

• Coalition Against Stalkerware, informations pour les victimes : stopstalkerware.org/information-for-survivors
• NNEDV Safety Net, sécurité numérique : techsafety.org
• Apple, À propos du mode Isolement : support.apple.com/en-us/105120
• Google, Play Protect : support.google.com/googleplay/answer/2812853

À lire aussi : logiciels de traque : les signes, et ce qu’il ne faut pas faire, comment détecter un logiciel espion sur Android.