Fonctionnement
Un keylogger s'intercale entre le clavier et le système d'exploitation ou l'application. Il enregistre chaque frappe avant que le texte n'atteigne sa destination. Le journal contient donc tout ce que la personne saisit : identifiants, messages, brouillons, recherches.
- 1
Frappe
L'utilisateur appuie sur une touche et le clavier envoie le signal à l'ordinateur.
- 2
Interception
Un logiciel capte les événements clavier dans le système ou dans une application. Un dispositif matériel se place entre le clavier et l'ordinateur, ou dans le clavier lui-même.
- 3
Enregistrement
Chaque frappe est consignée avant que le texte n'atteigne l'application.
- 4
Exploitation
Un outil criminel stocke le flux ou l'envoie à l'attaquant. Une surveillance professionnelle enregistre chaque entrée avec l'application, le compte utilisateur et l'horodatage.
Types de keyloggers
Les keyloggers se distinguent par l'endroit où ils interceptent la saisie et par leur conception.
| Type | Fonctionnement |
|---|---|
| Logiciel | Programme qui enregistre les événements clavier. Terme générique pour la plupart des outils, du simple script au produit commercial. |
| Au niveau du noyau | Pilote installé au cœur du système, près du matériel clavier. Difficile à détecter, typique des attaques sophistiquées. |
| Basé sur une API | Utilise les interfaces clavier que le système fournit aux applications. Courant dans les malwares de masse comme dans les agents de surveillance. |
| Form-grabbing | Capte le texte d'un formulaire web dans le navigateur à l'envoi, avant que le site ne le chiffre. Courant dans la fraude bancaire. |
| Matériel | Dispositif entre le clavier et l'ordinateur, ou clavier modifié. Exige un accès physique, et les logiciels de sécurité ne le voient pas. |
Le keylogger comme malware
Entre des mains criminelles, un keylogger est un logiciel espion. Sa cible principale, ce sont les identifiants : mots de passe de la messagerie d'entreprise, de la banque en ligne, du VPN et des consoles d'administration. Un mot de passe volé ouvre tout ce à quoi l'utilisateur légitime a accès, sans déclencher la moindre alerte. C'est un outil classique d'accès initial, des chevaux de Troie bancaires aux campagnes d'espionnage. Le journal contient aussi des brouillons de messages et le contenu de documents.
Le contrôle des canaux le détecte rarement. Le texte est capté avant tout envoi : aucun fichier ne bouge, aucun trafic inhabituel n'apparaît. La défense combine plusieurs couches :
- L'authentification multifacteur, qui réduit la valeur des mots de passe volés
- La protection des terminaux et des correctifs à jour
- Le contrôle des logiciels installés
- L'inspection physique des postes pour repérer les keyloggers matériels
Surveillance des frappes en entreprise
Les organisations appliquent la même technique à leurs propres postes, dans le cadre de la surveillance de l'activité des utilisateurs. L'objectif est la preuve à la source : ce qui a été tapé dans un document avant qu'il ne quitte la machine, ce qui a été saisi dans un chat, quelles requêtes ont été lancées sur la base de données. L'interception sur le canal montre qu'un fichier est sorti. Le texte saisi montre souvent comment l'incident a été préparé.
Le mécanisme ressemble à celui d'un malware. La finalité, la transparence et les garde-fous diffèrent :
| Critère | Keylogger criminel | Surveillance professionnelle |
|---|---|---|
| Finalité | Voler mots de passe et données | Preuves et enquêtes de sécurité |
| Appareils | Tout appareil à la portée de l'attaquant | Appareils de l'entreprise |
| Transparence | Caché à l'utilisateur | Salariés informés à l'avance |
| Accès aux journaux | L'attaquant | Personnes habilitées uniquement |
| Conservation | Sans limite | Durée fixée à l'avance |
| Mots de passe | Cible principale | Catégorie distincte et contrôlée |
Dans le profil de l’agent
Dans Anexet, le keylogger est un simple commutateur du profil de l’agent, à côté de la surveillance de l’activité du poste et du contrôle du presse-papiers.
Légalité au travail
La légalité de la surveillance des frappes au travail dépend du pays et de la méthode. La plupart des régimes posent trois questions : la finalité est-elle légitime, comme la sécurité plutôt qu'une surveillance générale ? La mesure est-elle proportionnée ? Les salariés ont-ils été informés ? Une surveillance continue et cachée de la saisie est presque partout considérée comme une atteinte grave.
En pratique, un usage défendable repose sur une politique écrite, une finalité de sécurité définie, un accès restreint aux journaux et des durées de conservation fixées.
Pour aller plus loin : Malware : top 7 des programmes dangereux en 2025.
| Juridiction | Règle clé |
|---|---|
| Union européenne | Selon le RGPD, les journaux de frappes sont des données personnelles. Le traitement exige une base légale, une limitation de la finalité, la minimisation et la transparence. Une surveillance cachée est en général disproportionnée. |
| Allemagne | Les dispositifs techniques aptes à surveiller les salariés relèvent de la codécision du comité d'entreprise (Betriebsrat). Les tribunaux n'admettent l'enregistrement ouvert des frappes que dans des cas étroits. |
| Italie | L'article 4 du Statuto dei Lavoratori n'autorise la surveillance à distance que pour des besoins d'organisation, de production, de sécurité ou de protection des biens, en général avec un accord syndical ou l'autorisation de l'inspection du travail. |
| États-Unis | La surveillance des appareils de l'employeur est largement permise. Une information préalable est attendue, et les lois des États sur le consentement à l'enregistrement des communications peuvent limiter la collecte. |
Comment Anexet traite ce sujet
Anexet enregistre les frappes dans son module Activity. L'agent du poste consigne le texte saisi avec l'application, le compte utilisateur et l'horodatage : le journal devient un texte consultable dans la console, et non un flux opaque.
Anexet se déploie on-premise : les journaux restent dans l'infrastructure de l'organisation. C'est important, car le texte saisi est une donnée personnelle sensible, et le lieu de stockage compte autant que ce qui est collecté.
Ce qui est capturé
les frappes dans toute application active, des clients de messagerie et navigateurs aux messageries instantanées. Le texte saisi dans les champs de mot de passe est marqué comme un attribut distinct et consultable.
Recherche et corrélation
les entrées se recherchent par texte, application et période, et s'examinent avec les communications interceptées et les transferts de fichiers.
Piste d'audit
chaque entrée porte l'utilisateur, l'application et l'horodatage : qui a tapé quoi, et où.
La capture des frappes chez Anexet
En savoir plus