Un ordinateur qui devient soudainement très lent, une application qui se lance sans raison apparente, des fenêtres inhabituelles qui apparaissent, un antivirus désactivé sans votre intervention, des fichiers qui deviennent inaccessibles, etc. Un comportement inhabituel sur un poste de travail peut avoir de nombreuses explications et ne signifie pas nécessairement qu’un équipement a été compromis. Mais certains signaux doivent attirer l’attention.
Lorsqu’un attaquant parvient à compromettre un poste, il peut chercher à prendre le contrôle de l’équipement, accéder à des informations ou encore tenter de se propager vers d’autres équipements du système d’information. Cybermalveillance.gouv.fr rappelle qu’une intrusion peut notamment résulter de l’exploitation d’une faille de sécurité, d’une mauvaise configuration, d’un logiciel malveillant ou encore d’identifiants récupérés lors d’un hameçonnage.
Alors, quels comportements doivent éveiller les soupçons ? Et surtout, à quel moment faut-il donner l’alerte ?
Qu’entend-on par poste compromis ?
Un poste est compromis lorsqu’un tiers parvient à y obtenir un accès non autorisé ou qu’un élément malveillant permet d’en détourner le fonctionnement. Cela peut concerner un ordinateur, mais plus largement différents équipements connectés au système d’information.
Cybermalveillance.gouv.fr définit l’intrusion dans un système informatique comme « l’accès non autorisé à celui-ci par un tiers ». Dans un environnement professionnel, une intrusion peut notamment concerner un ordinateur, un appareil mobile, un serveur ou le réseau d’une organisation. Une fois l’accès obtenu, un attaquant peut tenter de prendre le contrôle de l’équipement, d’accéder à des informations ou de poursuivre son intrusion vers d’autres équipements du réseau.
C’est pourquoi identifier et signaler rapidement un comportement inhabituel peut contribuer à limiter les conséquences d’un incident.
Quels signes doivent attirer votre attention ?
Il n’existe pas nécessairement un signe unique permettant d’affirmer qu’un poste a été compromis. C’est souvent un changement de comportement de l’équipement ou l’apparition d’une activité inexpliquée qui doit conduire à s’interroger.
1. Un comportement soudainement inhabituel
Votre ordinateur devient particulièrement lent sans raison apparente, certaines applications ne fonctionnent plus normalement ou des fenêtres apparaissent alors que vous n’avez effectué aucune action. Tous les dysfonctionnements informatiques ne sont évidemment pas les signes d’une cyberattaque. Un problème logiciel ou matériel peut également expliquer un comportement inhabituel. En revanche, un changement soudain et inexpliqué mérite d’être signalé, notamment lorsqu’il s’accompagne d’autres anomalies.
Le rôle de l’utilisateur n’est pas de déterminer lui-même si le poste est compromis, mais de faire remonter les éléments inhabituels afin qu’ils puissent être vérifiés.
2. Des programmes ou processus inconnus
L’apparition d’un logiciel que vous ne vous souvenez pas avoir installé, d’une application inhabituelle ou d’un processus inconnu peut également attirer l’attention. Cela ne signifie pas qu’un programme que vous ne reconnaissez pas est nécessairement malveillant. Dans un contexte professionnel, certains logiciels peuvent par exemple être installés ou mis à jour par l’organisation.
En cas de doute, mieux vaut donc signaler l’élément plutôt que tenter de le supprimer soi-même.
3. Des outils de sécurité modifiés ou désactivés
Un antivirus ou un autre outil de protection qui se désactive sans action de votre part doit également attirer votre attention. Les mécanismes de sécurité font partie des protections mises en place pour détecter ou empêcher certaines activités malveillantes. Cybermalveillance.gouv.fr recommande notamment de maintenir à jour l’antivirus ainsi que le système d’exploitation et les logiciels installés sur l’équipement.
Si vous constatez qu’un outil de sécurité a été désactivé ou modifié de manière inexpliquée, ne considérez pas cette situation comme un simple dysfonctionnement sans l’avoir signalée.
4. Des fichiers qui disparaissent, changent ou deviennent inaccessibles
Un autre signal peut concerner directement vos données. Des fichiers ont disparu ? Certains documents ne portent plus leur nom habituel ? Vous ne parvenez soudainement plus à ouvrir plusieurs fichiers ?
Là encore, différentes causes sont possibles. Mais une modification importante et inexpliquée de fichiers doit être prise au sérieux. Le piratage d’un système informatique peut entraîner le vol, mais également la perte des informations présentes sur le système touché.
Dans cette situation, alertez rapidement votre équipe informatique ou votre CSIRT et évitez de multiplier les manipulations sur l’équipement.
5. Une action se produit sans votre intervention
Une action dont vous n’êtes pas à l’origine constitue également un signal important. Il peut s’agir, par exemple, de l’apparition d’un nouveau compte utilisateur, du lancement inexpliqué d’un programme ou d’autres activités inhabituelles constatées sur l’équipement.
Dans ce type de situation, ne cherchez pas nécessairement à comprendre ou à corriger vous-même le problème avant de le signaler.
Faut-il être certain que le poste est compromis avant d’alerter ?
Non. Et c’est probablement le réflexe le plus important à retenir. Vous n’avez pas besoin d’apporter la preuve qu’une cyberattaque est en cours avant de contacter votre équipe informatique ou votre CSIRT.
Votre rôle est avant tout de signaler le comportement inhabituel observé. Les équipes compétentes pourront ensuite vérifier les éléments techniques disponibles et déterminer s’il s’agit effectivement d’un incident de sécurité. Sachant que disposer d’une procédure de gestion des incidents permet justement d’identifier les personnes à contacter et la manière dont un incident doit être traité.
Mieux vaut donc signaler un doute qui s’avère sans conséquence que laisser une compromission potentielle évoluer sans alerter.
Poste suspect : faut-il l’éteindre ou le redémarrer ?
Face à un ordinateur qui se comporte anormalement, le réflexe habituel consiste souvent à le redémarrer. Dans le contexte d’une suspicion de compromission, ce réflexe n’est pas toujours adapté.
Les recommandations publiées sur MonServiceSécurisé préconisent, face à un incident, de déconnecter les équipements concernés d’Internet tout en laissant les équipements suspects allumés et branchés, puis de contacter le service ou le prestataire informatique.
Surtout, suivez avant tout les procédures définies par votre organisation. Si celles-ci prévoient de contacter immédiatement l’équipe informatique ou le CSIRT, appliquez leurs consignes avant d’entreprendre d’autres manipulations. L’objectif est à la fois de limiter les conséquences potentielles de l’incident et de ne pas modifier inutilement des éléments qui pourraient être utiles à son analyse.
Pourquoi éviter de « nettoyer » soi-même son poste ?
Supprimer un programme suspect, effacer des fichiers ou lancer différents outils pour tenter de résoudre soi-même la situation peut sembler être une bonne initiative. Mais dans un environnement professionnel, ces actions peuvent modifier l’état du poste avant que l’incident ait pu être analysé.
La préservation des éléments disponibles est importante pour comprendre ce qui s’est produit. Mieux vaut donc décrire précisément ce que vous avez constaté et suivre les instructions de l’équipe compétente, plutôt que multiplier les actions correctives de votre propre initiative.
Que faut-il indiquer lors du signalement ?
Pour faciliter la prise en charge, essayez de transmettre des informations simples et factuelles.
Vous pouvez notamment préciser :
- Ce que vous avez observé ;
- À quel moment le comportement inhabituel est apparu ;
- Ce que vous étiez en train de faire à ce moment-là ;
- Si vous avez récemment ouvert une pièce jointe, cliqué sur un lien ou installé un programme ;
- Les éventuels messages ou alertes affichés à l’écran ;
- Les actions que vous avez déjà effectuées depuis l’apparition du problème.
Il ne s’agit pas d’établir vous-même un diagnostic technique, mais de transmettre le plus précisément possible les faits observés afin de faciliter l’analyse.
Le bon réflexe : observer, ne pas aggraver et alerter
Ne pas oublier qu’un ordinateur lent ou une application qui dysfonctionne ne signifie pas automatiquement qu’un poste a été compromis. Néanmoins, lorsque quelque chose semble réellement inhabituel, ne cherchez pas à déterminer seul s’il s’agit ou non d’une cyberattaque.
Retenez trois réflexes :
- Observez et relevez ce qui vous paraît inhabituel ;
- Évitez les manipulations inutiles et suivez les procédures prévues par votre organisation ;
- Alertez rapidement votre équipe informatique ou votre CSIRT.
Les ressources de l’Agence nationale de la sécurité des systèmes d’information (ANSSI) consacrées à la gestion des incidents soulignent justement l’importance d’une réaction organisée et rapide ainsi que de l’identification des personnes devant intervenir.
Sources et références
- Cybermalveillance.gouv.fr, Piratage d’un système informatique professionnel, que faire ?, consulté le 15 octobre 2026.
- Cybermalveillance.gouv.fr, Piratage d’un système informatique de particulier, que faire ?, consulté le 15 octobre 2026.
- Agence nationale de la sécurité des systèmes d’information (ANSSI), Gestion de crise, consulté le 15 octobre 2026.
- MonServiceSécurisé, Définir une politique de gestion des incidents de sécurité, consulté le 15 octobre 2026.
Crédit image de couverture : gstudioimagen de Magnific