--- id: CP-089 slug: evil-maid-ordinateur-hotel lang: fr title: "Evil Maid : l'ordinateur laissé à l'hôtel" description: Comment une personne seule quelques minutes avec un ordinateur laissé en chambre d'hôtel peut le compromettre, et quoi faire. canonical_url: https://startbrain.io/cyberpedia/fr/articles/evil-maid-ordinateur-hotel/ markdown_url: https://startbrain.io/cyberpedia/fr/articles/evil-maid-ordinateur-hotel.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: "Brain, « Evil Maid : l'ordinateur laissé à l'hôtel », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/evil-maid-ordinateur-hotel/ (CC BY 4.0)" wing: 1 theme: secure_devices reflex: cr-056 schema: G3 updated: "2026-11-03" translations: fr: https://startbrain.io/cyberpedia/fr/articles/evil-maid-ordinateur-hotel/ en: https://startbrain.io/cyberpedia/en/articles/evil-maid-laptop-hotel-attack/ de: https://startbrain.io/cyberpedia/de/articles/evil-maid-laptop-hotel/ es: https://startbrain.io/cyberpedia/es/articles/evil-maid-ordenador-hotel/ sources: - "n": 1 title: Secure the Windows boot process publisher: Microsoft url: https://learn.microsoft.com/en-us/windows/security/operating-system-security/system-security/secure-the-windows-10-boot-process accessed: "2026-11-03" - "n": 2 title: BitLocker countermeasures publisher: Microsoft url: https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/countermeasures accessed: "2026-11-03" - "n": 3 title: "Pre-OS Boot: Bootkit, Sub-technique T1542.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1542/003/ accessed: "2026-11-03" - "n": 4 title: BitLocker Overview publisher: Microsoft url: https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/ accessed: "2026-11-03" - "n": 5 title: "Pre-OS Boot: System Firmware, Sub-technique T1542.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1542/001/ accessed: "2026-11-03" - "n": 6 title: Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1200/ accessed: "2026-11-03" - "n": 7 title: SP 800-147B, BIOS Protection Guidelines for Servers publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/147/b/final published: "2014-08-28" accessed: "2026-11-03" --- # Evil Maid : l'ordinateur laissé à l'hôtel Le nom « Evil Maid » (la femme de chambre malveillante) désigne une situation simple : un ordinateur reste seul dans une chambre d'hôtel, et quelqu'un y accède pendant quelques minutes. L'appareil est éteint ou verrouillé, rien ne semble avoir bougé. Pourtant, une modification faite avant le démarrage de Windows échappe aux protections que le système n'applique qu'une fois lancé [1]. Les logiciels malveillants de démarrage, les « bootkits », peuvent en effet démarrer avant Windows, contourner la sécurité du système et rester cachés [1]. Cette fiche explique le principe, ce que l'on voit à l'écran et les réflexes qui réduisent le risque. Les sources citées ici ne décrivent aucun cas d'hôtel précis : les cas datés plus bas sont des attaques réelles du même type (modification du démarrage ou du micrologiciel, matériel branché), pas des scènes d'hôtel. ## En 30 secondes - Où ça arrive : un ordinateur portable laissé sans surveillance (chambre d'hôtel, salle de réunion, voiture), même éteint ou verrouillé. - Ce que veut l'attaquant : placer un code qui s'exécute avant le système, pour voler des données, des mots de passe ou la clé de chiffrement du disque [1][2]. - Le réflexe : ne pas laisser l'appareil seul, l'éteindre complètement avant de s'éloigner et utiliser un PIN au démarrage si le service informatique le propose [2]. - Si c'est déjà fait : si l'appareil demande une clé de récupération sans raison connue, prévenez le service informatique avant de le réutiliser. ## Questions directes ### Un ordinateur éteint peut-il vraiment être attaqué ? Oui, si son démarrage n'est pas protégé. Un attaquant qui a un accès brut au disque de démarrage peut écraser la zone où se trouve le chargeur et détourner l'exécution vers son propre code [3]. Sur un appareil UEFI, il peut créer ou modifier des fichiers de la partition système EFI pour exécuter du code malveillant au niveau du noyau [3]. ### Que cherche-t-il à obtenir ? Les rootkits, dont font partie les bootkits, viennent souvent avec d'autres logiciels malveillants capables de contourner les connexions locales, d'enregistrer mots de passe et frappes au clavier, de transférer des fichiers privés et de capturer des données cryptographiques [1]. ### Le chiffrement du disque suffit-il ? Il protège les données d'un appareil perdu ou volé, y compris contre un outil d'attaque logiciel ou le déplacement du disque vers une autre machine [4]. Microsoft précise que BitLocker protège par défaut contre l'installation d'un bootkit par une personne présente physiquement : le TPM observe la modification et la clé n'est pas libérée [2]. Le même document note que le mode « TPM seul » est plus pratique mais moins sûr que les options qui demandent un second facteur [2]. ### Qu'est-ce qu'un TPM ? C'est une puce conçue pour fournir des fonctions de sécurité de base, surtout autour des clés de chiffrement. BitLocker y lie ses clés pour vérifier que l'appareil n'a pas été modifié pendant que le système était hors ligne [2]. ## Dans la peau de l'attaquant L'attaquant a peu de temps et un accès physique. Microsoft distingue deux profils. Le premier est l'attaquant d'occasion : il n'emploie ni méthode destructive ni outil d'analyse sophistiqué, et la forme de l'appareil (pas de port externe capable d'accès direct à la mémoire, pas de vis apparente, mémoire soudée) limite ses options [2]. Le second a des compétences et un accès prolongé : il ouvre le boîtier, soude et utilise du matériel ou des logiciels spécialisés [2]. Sur certains systèmes, contourner le mode « TPM seul » peut exiger d'ouvrir le boîtier et de souder, pour un coût raisonnable ; contourner un TPM protégé par un PIN coûte plus cher et oblige à deviner le PIN [2]. Plusieurs voies existent. La première modifie le secteur de démarrage ou la partition EFI pour que du code adverse s'exécute avant le système [3]. La deuxième s'en prend au micrologiciel (BIOS ou UEFI) : des moyens existent pour l'écraser, ce qui peut donner à des attaquants sophistiqués une persistance difficile à détecter [5]. La troisième ajoute du matériel. MITRE note que de nombreuses équipes de test d'intrusion utilisent des accessoires capables d'injecter des frappes au clavier ou de lire la mémoire du noyau par accès direct (DMA), et que les références publiques d'usage par des attaquants réels sont rares [6]. ## Ce que vous voyez à l'écran Rien de précis n'est décrit. Les sources citées ici ne décrivent pas de faux écran en particulier. Elles disent en revanche qu'un rootkit qui démarre avant le système peut se cacher entièrement [1]. L'écran de saisie du PIN BitLocker est lui-même une étape qui précède Windows [4], donc au même endroit où s'exécuterait un code malveillant de démarrage. Un repère existe malgré tout : avec le mode « TPM seul », si BitLocker détecte un changement de configuration du BIOS ou de l'UEFI, des fichiers de démarrage critiques ou de la configuration de démarrage, il passe en mode de récupération et demande le mot de passe de récupération [2]. Un écran de récupération inattendu mérite donc un signalement. Un accessoire inconnu branché sur l'appareil aussi, puisqu'un tel accessoire peut injecter des frappes [6]. ## Sous le capot Au démarrage, le micrologiciel trouve d'abord le chargeur du système. Sans Secure Boot, le PC exécute celui qui se trouve sur le disque et ne peut pas savoir s'il s'agit d'un système de confiance ou d'un rootkit [1]. Avec Secure Boot, le micrologiciel vérifie la signature du chargeur avant de le lancer [1]. Les bootkits remplacent ou modifient ce chargeur. Sur un BIOS classique, ils touchent le Master Boot Record (MBR) ou le Volume Boot Record (VBR) ; sur un UEFI, ils créent ou modifient des fichiers de la partition EFI [3]. Les rootkits de micrologiciel écrasent le BIOS ou un autre micrologiciel matériel pour démarrer avant Windows [1]. Le NIST range la modification non autorisée du BIOS parmi les menaces importantes, en raison de la position privilégiée du BIOS dans l'architecture du PC [7]. Les défenses forment une chaîne. Secure Boot ne lance que des chargeurs de confiance, Trusted Boot vérifie ensuite chaque composant du démarrage, et Measured Boot journalise le démarrage pour qu'un serveur de confiance évalue l'état du PC [1]. BitLocker s'appuie sur la mesure du TPM : un micrologiciel EFI, une application de démarrage ou un chargeur non autorisé ne peut ni s'exécuter ni obtenir la clé [2]. Si l'attaquant modifie la base de configuration du démarrage pour pointer vers un système factice, BitLocker vérifie cryptographiquement que le destinataire de la clé est le bon système [2]. Le PIN de démarrage ajoute un second facteur. BitLocker ne charge les clés en mémoire qu'une fois l'authentification avant démarrage terminée, et le TPM limite les essais répétés pour contrer la force brute [2]. Le PIN aide aussi contre les attaques par ports DMA et par rémanence de la mémoire [2]. ## Autopsies Les sources citées ici ne donnent aucun cas d'hôtel daté. Elles citent des attaques réelles de même nature, avec la date de la référence indiquée sur la page. ### Hacking Team, 2015 : un rootkit dans le BIOS MITRE cite un rootkit UEFI BIOS développé par la société Hacking Team pour maintenir un logiciel d'accès à distance sur certains systèmes visés [5]. La référence associée est un article du 13 juillet 2015 [5]. ### LoJax : un rootkit UEFI observé dans la nature (référence de septembre 2018) LoJax est un rootkit UEFI BIOS déployé pour maintenir un logiciel d'accès à distance sur certains systèmes ciblés [5]. La référence de MITRE est un article d'ESET de septembre 2018 intitulé « LOJAX First UEFI rootkit found in the wild, courtesy of the Sednit group » [5]. ### DarkVishnya : du matériel branché sur place (référence de décembre 2018) DarkVishnya a branché physiquement un Bash Bunny, un Raspberry Pi, des netbooks et des ordinateurs portables bon marché dans l'environnement d'une organisation pour accéder à son réseau local [6]. La référence est une analyse du 6 décembre 2018 sur des banques attaquées par connexion directe au réseau local [6]. ### WhisperGate, janvier 2022 : un chargeur de démarrage détourné WhisperGate écrase le MBR avec un composant de chargeur qui effectue des opérations d'effacement des disques durs et affiche une fausse demande de rançon au démarrage [3]. La plupart des références de MITRE sur ce cas datent de janvier 2022, une de février 2022 [3]. ## Les bons réflexes - Ne laissez pas l'appareil seul. - Éteignez-le complètement ou mettez-le en veille prolongée avant de vous éloigner. En veille simple, programmes et documents restent en mémoire et le PIN n'est pas redemandé au réveil ; à la mise en veille prolongée, le disque est verrouillé [2]. - Si votre organisation le permet, utilisez le chiffrement avec un PIN au démarrage. Le mode « TPM seul » est celui par défaut et vise l'attaquant d'occasion ; contre un attaquant doté de compétences et de temps, Microsoft recommande un TPM avec PIN, la veille désactivée et un arrêt ou une veille prolongée avant de laisser l'appareil [2]. - Gardez Secure Boot actif : le désactiver ne protège pas contre les bootkits [1]. Microsoft recommande aussi d'exiger un mot de passe pour modifier les réglages du BIOS [2]. - Au retour, si l'appareil se comporte autrement (demande de récupération, accessoire inconnu), signalez-le au service informatique avant de le reconnecter. Un bootkit se trouve sous le système et peut rendre la remise en état complète difficile [3]. ## Sources 1. Microsoft, « Secure the Windows boot process ». https://learn.microsoft.com/en-us/windows/security/operating-system-security/system-security/secure-the-windows-10-boot-process (consulté le 3 novembre 2026) 2. Microsoft, « BitLocker countermeasures ». https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/countermeasures (consulté le 3 novembre 2026) 3. MITRE ATT&CK, « Pre-OS Boot: Bootkit, Sub-technique T1542.003 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1542/003/ (consulté le 3 novembre 2026) 4. Microsoft, « BitLocker Overview ». https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/ (consulté le 3 novembre 2026) 5. MITRE ATT&CK, « Pre-OS Boot: System Firmware, Sub-technique T1542.001 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1542/001/ (consulté le 3 novembre 2026) 6. MITRE ATT&CK, « Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1200/ (consulté le 3 novembre 2026) 7. NIST, « SP 800-147B, BIOS Protection Guidelines for Servers », 28 août 2014. https://csrc.nist.gov/pubs/sp/800/147/b/final (consulté le 3 novembre 2026) --- Source originale : Cyberpedia, l'encyclopédie publique de cybersécurité et d'IA publiée par Brain. Version canonique : https://startbrain.io/cyberpedia/fr/articles/evil-maid-ordinateur-hotel/ Vous pouvez reprendre ce texte librement sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), à condition de citer « Brain, Cyberpedia » avec un lien vers l'adresse ci-dessus.