Un « conseiller Microsoft », un « technicien de votre box » ou un « service antifraude » vous a appelé, vous a fait installer un logiciel pour « voir votre écran », puis a pris la main sur votre ordinateur pendant quelques minutes. Vous avez raccroché, désinstallé le logiciel en question, et l'ordinateur semble se comporter normalement.

La question qui revient alors, légitime et saine : « comment être sûr qu'il ne reste rien ? ». C'est exactement la bonne question. Car désinstaller l'outil que vous avez vu à l'écran ne suffit presque jamais : ce n'est que la partie visible. Voici, calmement et sans jargon, la liste de ce qu'il faut vérifier et retirer, les pièges classiques (un outil peut rester actif sans apparaître nulle part), et les réflexes à avoir ensuite pour vos mots de passe et votre banque.

Sommaire

• Pourquoi désinstaller l'outil ne suffit pas
• Faire l'inventaire des outils de prise en main
• Le piège : un outil peut rester actif sans apparaître nulle part
• Ce qui reste même après avoir retiré l'outil
• Les bons réflexes tout de suite, dans l'ordre
• Faire vérifier le PC : pourquoi, et quand
• Questions fréquentes
• Nous pouvons vous aider
• En résumé

1. Pourquoi désinstaller l'outil ne suffit pas

Quand l'escroc vous a fait installer un outil pour prendre la main, vous en avez vu un. Mais une prise en main laisse plusieurs traces, et certaines survivent à la désinstallation :

• l'outil d'accès distant a pu laisser des fichiers et une porte d'entrée même après désinstallation ;
• l'escroc a pu installer un deuxième outil, discret, pour pouvoir revenir ;
• il a pu ajouter une règle dans le pare-feu de Windows, créer un compte, poser un mot de passe sur votre session, ou installer un faux certificat de sécurité ;
• surtout, pendant qu'il voyait votre écran, il a pu lire tout ce qui était enregistré : mots de passe du navigateur, messagerie ouverte, documents.

Autrement dit, le vrai sujet n'est pas « l'outil est-il désinstallé ? » mais « que s'est-il passé pendant qu'il avait la main, et qu'est-ce qui pourrait lui permettre de revenir ? ».

2. Faire l'inventaire des outils de prise en main

Première étape : savoir lesquels ont servi. Les escrocs utilisent presque toujours un de ces logiciels. Leur nom est utile à connaître, car c'est ce que vous chercherez dans la liste des programmes installés (dans Windows : Paramètres → Applications → Applications installées) :

Outil courant	À quoi il ressemble
AnyDesk	Logo rouge. Très utilisé par les escrocs.
TeamViewer	Logo bleu. Légitime, mais souvent détourné.
UltraViewer	Logo bleu clair. Fréquent dans les arnaques francophones.
ScreenConnect / ConnectWise Control	Souvent présenté comme un simple « outil d'assistance ». Piège majeur, voir plus bas.
RustDesk, HopToDesk	Outils plus récents, mêmes usages.
Assistance rapide (Quick Assist)	Outil intégré à Windows, rien à désinstaller : il sert souvent de première étape.

👉 Une astuce simple pour dater l'épisode : triez vos applications par date d'installation. Un outil de prise en main apparu le jour de l'appel est le bon suspect. À l'inverse, un AnyDesk installé il y a deux ans n'a probablement rien à voir : c'est la date qui tranche, pas le nom.

Désinstallez chaque outil repéré via Paramètres → Applications. Mais ne vous arrêtez pas là : lisez la suite, car deux d'entre eux ne jouent pas franc jeu.

3. Le piège : un outil peut rester actif sans apparaître nulle part

C'est le point le plus important de cet article, et celui que presque personne ne connaît.

ScreenConnect, l'invisible

ScreenConnect (parfois appelé ConnectWise Control) peut s'installer dans une version dite « ClickOnce » qui n'apparaît pas dans la liste des programmes installés. Vous avez beau chercher, vous ne le trouvez pas, et pourtant il a laissé derrière lui un service de Windows qui démarre tout seul à chaque allumage et qui peut rappeler le serveur de l'escroc. Supprimer le fichier que vous aviez téléchargé ne retire pas ce service.

C'est une mécanique conçue pour qu'un utilisateur le croie parti alors qu'il est toujours là. Vérifier et retirer ce service se fait dans les coulisses de Windows (services système, base de registre) : ce n'est pas une manipulation grand public, et c'est précisément le genre de reste que nous allons chercher systématiquement lors d'une vérification en atelier.

Les résidus après désinstallation

Même désinstallés « proprement », plusieurs outils laissent des dossiers et des fichiers :

• UltraViewer laisse un dossier dans Program Files (x86) avec ses journaux de connexion ;
• AnyDesk, en version portable, laisse un fichier qui liste les connexions entrantes (y compris l'identifiant de l'escroc et l'heure exacte) ;
• HopToDesk garde un journal avec l'adresse de la personne qui s'est connectée.

Bonne nouvelle : ces fichiers sont des preuves. Avant de tout effacer, ils permettent de reconstituer ce qui s'est passé et quand, ce qui est utile pour votre plainte. Mauvaise nouvelle : tant qu'ils sont là, le ménage n'est pas terminé.

Le faux antivirus « installé pour vous protéger »

Grand classique : pendant la prise en main, l'escroc installe un antivirus d'essai (souvent pour « vous protéger ») ou vous fait désinstaller le vôtre. Les deux sont des pièges :

• l'antivirus qu'il installe laisse, même après désinstallation, des tâches programmées, des dossiers et parfois des zones que Windows cesse de surveiller : autant d'angles morts ;
• désinstaller votre vrai antivirus retire votre protection au pire moment, et lui apprend lequel vous utilisiez.

Pour mémoire : Windows prend parfaitement en charge les antivirus tiers. Le discours « Windows ne supporte plus votre antivirus » est un mensonge d'escroc.

4. Ce qui reste même après avoir retiré l'outil

Retirer les logiciels ne referme pas toutes les portes. Pendant la prise en main, l'escroc a pu poser des éléments qui, eux, restent en place tout seuls :

Ce qui a pu être posé	Pourquoi c'est un problème
Une règle dans le pare-feu	Elle laisse passer un programme de l'escroc, même après désinstallation de l'outil visible.
Un faux certificat de sécurité	Il permet de lire vos pages sécurisées (banque comprise) sans faire disparaître le cadenas.
Un nouveau compte sur l'ordinateur	Une porte d'entrée discrète pour revenir.
Un mot de passe posé sur votre session	L'escroc contrôle l'accès à votre ordinateur.
Une tâche programmée	Elle peut relancer un programme malveillant à intervalles réguliers.

Ces éléments ne se voient pas en ouvrant simplement l'ordinateur : il faut aller les chercher dans des réglages avancés de Windows. C'est la raison pour laquelle « le PC a l'air normal » ne veut rien dire après une prise en main. L'absence de symptôme n'est pas une preuve que tout est propre.

5. Les bons réflexes tout de suite, dans l'ordre

Que le nettoyage soit fait par vous ou par un professionnel, ces gestes ne doivent pas attendre. Ils protègent vos comptes, indépendamment de l'état du PC.

1. Coupez Internet sur le PC : débranchez le câble réseau ou désactivez le Wi-Fi. Si possible, ne l'éteignez pas : les traces restent plus faciles à analyser.
2. Ne tapez plus aucun mot de passe sur cet ordinateur, et ne consultez plus votre banque dessus, même « juste pour vérifier ».
3. Prenez un autre appareil sain (téléphone, tablette, autre ordinateur) pour tout ce qui suit.
4. Changez vos mots de passe depuis cet appareil sain, dans cet ordre : la messagerie d'abord (elle permet de réinitialiser tous les autres), puis la banque et les sites où votre carte est enregistrée, puis les comptes administratifs (impôts, Ameli, CAF), puis les réseaux sociaux.
   • Si vos mots de passe étaient enregistrés dans le navigateur, considérez-les tous comme volés.
   • Pour chaque compte, utilisez quand elle existe l'option « Se déconnecter de tous les appareils » : elle coupe un accès que l'escroc aurait gardé.
5. Activez la double authentification partout où c'est possible.
6. Appelez votre banque si vous vous êtes connecté à votre compte pendant ou après l'appel, ou si vous avez communiqué des informations de carte. Utilisez le numéro au dos de votre carte, jamais un numéro donné par l'appelant. Faites opposition si besoin, et demandez à vérifier les bénéficiaires et plafonds de virement.
7. Surveillez vos comptes les jours suivants.

6. Faire vérifier le PC : pourquoi, et quand

Vous pouvez faire seul le plus simple : désinstaller les outils repérés, lancer une analyse complète avec Windows Defender puis avec Malwarebytes, et vérifier qu'aucun programme inconnu ne tourne.

Mais une vérification complète après une prise en main consiste à passer en revue, un par un, tous les endroits décrits plus haut : service caché de ScreenConnect, règles de pare-feu ajoutées, faux certificat, comptes créés, tâches programmées, mot de passe posé sur la session, résidus des outils et de l'antivirus installé. Puis à redémarrer l'ordinateur pour confirmer que rien ne revient. C'est ce dernier point, le contrôle après redémarrage, qui distingue un nettoyage fiable d'un nettoyage « qui a l'air bon ».

Faites plutôt vérifier le PC par un professionnel si :

• un paiement a eu lieu, ou vous vous êtes connecté à votre banque pendant l'épisode ;
• la prise en main a duré plus de quelques minutes (les victimes sous-estiment presque toujours la durée réelle) ;
• l'escroc vous a fait coller une commande dans une fenêtre, ou désinstaller votre antivirus ;
• l'ordinateur sert à une activité professionnelle ;
• tout simplement, vous n'êtes pas tranquille.

Dans ces cas, une réinstallation propre de Windows, après sauvegarde de vos documents, reste l'option la plus sûre : elle repart d'une page blanche et ne laisse aucune chance aux restes.

Questions fréquentes

J'ai désinstallé AnyDesk tout de suite après l'appel. Je suis tranquille ?
C'est un bon réflexe, mais insuffisant à lui seul. L'escroc a pu, pendant qu'il avait la main, lire vos mots de passe enregistrés, installer un second outil plus discret ou poser un faux certificat. Changez vos mots de passe depuis un autre appareil, et faites vérifier le PC si un doute subsiste.

L'ordinateur fonctionne normalement. Pourquoi s'inquiéter ?
Parce que les restes les plus dangereux (service caché, faux certificat, compte ajouté) sont conçus pour ne rien changer en apparence. « Il marche bien » n'est pas une preuve que le PC est propre.

Combien de temps l'escroc a-t-il vraiment eu la main ?
Souvent bien plus longtemps que ce dont on se souvient : une prise en main annoncée « trente minutes » dure fréquemment plus d'une heure, parfois avec un redémarrage au milieu. Les journaux de l'ordinateur donnent la durée exacte, utile pour la plainte.

Mon antivirus n'a rien trouvé. C'est donc bon ?
Pas forcément. Un outil de prise en main est un vrai logiciel légitime : l'antivirus ne le signale pas. Et certains restes (faux certificat, règle de pare-feu, service caché) ne sont pas des « virus » au sens classique.

Faut-il jeter l'ordinateur ?
Non. Un nettoyage complet et vérifié suffit dans la plupart des cas, et une réinstallation de Windows règle les situations les plus lourdes. Vos photos et documents peuvent être sauvegardés avant.

7. Nous pouvons vous aider

Nous sommes à Hyères, 18 avenue Olbius Riquier.

04 94 27 65 95  /  contact@bsc-securite.fr  /  atelier au 18 avenue Olbius Riquier, 83400 Hyères.

Selon votre situation :

• Vous avez laissé un faux conseiller prendre la main sur votre PC et vous voulez être sûr qu'il ne reste rien ? Appelez-nous. Nous passons en revue tous les restes possibles (service caché de ScreenConnect, faux certificat, règles de pare-feu, comptes ajoutés, résidus des outils), nous vérifions après redémarrage que rien ne revient, et nous vous indiquons précisément quels comptes sécuriser. Vous repartez avec un compte rendu utile pour votre banque et votre plainte.
• Vous préférez être accompagné chez vous, ou vous aidez un parent âgé qui a été ciblé ? BSC Assistance intervient à domicile chez les particuliers, agréé service à la personne, pour changer les mots de passe pas à pas, activer la double authentification et remettre vos réglages de sécurité en ordre.
• Une réinstallation complète de Windows est préférable ? BSC Informatique s'en charge en atelier, avec sauvegarde de vos documents avant l'opération.
• Des fichiers ont disparu ou ont été chiffrés après le passage du faux technicien ? BSC DataRecovery est spécialisé dans la récupération de données.

En résumé

• Après une prise en main par un faux support, désinstaller l'outil que vous avez vu ne suffit pas : c'est la partie visible.
• Faites l'inventaire des outils d'accès distant (AnyDesk, TeamViewer, UltraViewer, ScreenConnect, RustDesk...) en triant par date d'installation.
• Méfiez-vous des pièges : ScreenConnect peut rester actif sans apparaître dans la liste des programmes, et plusieurs outils laissent des résidus après désinstallation.
• D'autres portes restent ouvertes seules : règle de pare-feu, faux certificat, compte ajouté, tâche programmée. Elles ne se voient pas à l'usage.
• Changez vos mots de passe depuis un autre appareil, prévenez votre banque, activez la double authentification.
• En cas de paiement, de connexion bancaire, de longue prise en main ou de simple doute : faites vérifier le PC, avec un contrôle après redémarrage.

Sources : interventions en atelier et sur postes clients BSC Sécurité (2026, victimes d'arnaque au faux support avec prise en main AnyDesk, ScreenConnect « ClickOnce », UltraViewer, HopToDesk) ; Malwarebytes Labs, « Tech support scams look different now » (septembre 2026) ; cybermalveillance.gouv.fr, fiche « Arnaques au faux support technique ».

Pour aller plus loin : comprendre l'arnaque au faux support technique · faux CAPTCHA : la vérification anti-robot qui vous fait infecter votre PC · sécuriser son PC après une arnaque : 8 réflexes · vos données ont fuité chez un commerçant · fraude bancaire : se faire rembourser par sa banque

Un faux technicien a pris la main sur votre PC ?

Vérification complète après une prise en main à distance, à l'atelier.
On vous explique tout, simplement, sans jargon.

Tél. 04 94 27 65 95