Le shoulder surfing au bureau : écrans, bureaux partagés et verrouillage

MacWindowsMis à jour 2026-10-31

Le shoulder surfing, c'est regarder l'écran de quelqu'un ou le regarder taper, souvent son mot de passe. Au bureau, les parades sont simples : faites attention à qui peut voir votre écran, masquez les aperçus de notifications quand le Mac est verrouillé, ne communiquez jamais votre mot de passe, et verrouillez votre Mac ou votre PC chaque fois que vous quittez votre bureau.

Réponse rapide

Placez-vous, si possible, de façon que votre écran ne donne pas sur un passage, et pensez à un filtre de confidentialité. Sur Mac, réglez les aperçus de notifications sur « Si déverrouillé ». Verrouillez l'écran à chaque départ : Contrôle + Commande + Q sur Mac, Touche Windows + L sur Windows. Si quelqu'un a vu votre mot de passe, changez-le.

Qu'est-ce que le shoulder surfing ?

L'expression anglaise désigne le fait de regarder par-dessus l'épaule de quelqu'un. Le NCSC, l'agence britannique de cybersécurité, cite le shoulder surfing, qu'il décrit comme le fait d'observer quelqu'un taper son mot de passe, parmi les façons dont les mots de passe sont découverts.

Deux choses sont à distinguer. Regarder un écran, ce n'est pas entrer dans un appareil. L'article 323-1 du Code pénal parle d'accéder ou de se maintenir dans un système de traitement automatisé de données, et ne mentionne pas le fait de regarder un écran. Utiliser un appareil sans y être autorisé est une autre question, traitée dans un collègue a fouillé dans votre ordinateur : que faire ?.

HP a interrogé 1 500 employés de bureau au Canada, au Royaume-Uni et aux États-Unis, ainsi que 3 000 personnes du grand public. Son dossier de presse, daté du 25 septembre 2019, indique que 4 employés sur 5 regardent l'écran de leurs collègues. Ce sont des personnes qui disent regarder des écrans, pas qui ont utilisé l'ordinateur de quelqu'un, et l'enquête ne porte pas sur la France. Pour les chiffres sur l'accès aux appareils, voir les chiffres sur la curiosité entre collègues.

Comment empêcher qu'on lise votre écran ?

Commencez par l'endroit où vous êtes assis et par ce que votre écran affiche quand vous ne le regardez pas. Le NCSC conseille, quand vous utilisez votre appareil, de faire attention à qui peut voir votre écran et d'envisager un filtre de confidentialité. Il note que sur un écran tactile, il est particulièrement facile pour quelqu'un à côté de voir ce que vous tapez, même un mot de passe.

Orientez votre écran loin des passages et des espaces partagés quand votre bureau le permet.
Demandez à l'informatique s'il est possible d'avoir un filtre de confidentialité pour votre ordinateur portable ou votre moniteur.
Sur un Mac, choisissez le menu Pomme > Réglages Système, cliquez sur Notifications dans la barre latérale, puis réglez « Afficher les aperçus » sur « Si déverrouillé ». Apple indique que ce réglage affiche les aperçus uniquement lorsque vous êtes connecté à votre compte utilisateur.
Fermez ou réduisez ce qui est sensible avant que quelqu'un vienne regarder autre chose sur votre écran.

Comment garder votre mot de passe pour vous au bureau ?

Que personne ne le voie, ne l'entende ou ne le trouve. Cybermalveillance.gouv.fr conseille de ne jamais communiquer vos mots de passe à un tiers. Il précise qu'aucune société ou organisation sérieuse ne vous demandera de lui communiquer votre mot de passe par messagerie ou par téléphone, même pour une « maintenance » ou un « dépannage informatique ».

Tapez votre mot de passe à l'abri des regards. Sur un Mac équipé de Touch ID, notre guide pour configurer Touch ID sur Mac explique comment ajouter vos empreintes et choisir ce qu'elles déverrouillent.
Ne notez pas vos mots de passe sur un pense-bête laissé à proximité de votre équipement. C'est un conseil de Cybermalveillance.gouv.fr, qui déconseille aussi de les inscrire dans votre messagerie ou dans un fichier non protégé.
Utilisez un mot de passe différent pour chaque service. Cybermalveillance.gouv.fr explique qu'à défaut, tous les services qui utilisent le même mot de passe compromis seraient piratables.

Si vous pensez que quelqu'un vous a vu le taper, changez-le. Sur un Mac, choisissez le menu Pomme > Réglages Système, cliquez sur « Utilisateurs et groupes », cliquez sur le bouton d'informations à côté de votre nom d'utilisateur, puis sur Modifier. Pour un compte professionnel, demandez à l'informatique comment le changer. Pour savoir si un mot de passe a fuité ailleurs, voir vérifier si votre mot de passe a fuité.

Comment verrouiller sur un bureau partagé ?

Verrouillez chaque fois que vous vous levez, même pour une minute : Contrôle + Commande + Q sur un Mac, Touche Windows + L sur Windows. La CNIL recommande de son côté aux organisations de prévoir un mécanisme de verrouillage automatique de session quand le poste n'est pas utilisé pendant un temps donné. Le NCSC conseille de ne pas laisser un appareil sans surveillance dans un endroit non sécurisé, et de le ranger sous clé si possible, ou de le garder sur vous.

Le verrouillage automatique et les coins actifs sont dans how to lock your Mac screen (en anglais), et le fait de laisser un ordinateur au bureau pour la nuit dans leaving your laptop at work or in a library (en anglais).

Et les clés USB sur un poste partagé ?

Méfiez-vous des supports qui ne sont pas les vôtres. Dans sa fiche sur la sécurité des postes de travail, la CNIL demande aux organisations de sensibiliser les utilisateurs aux risques des supports amovibles, comme les clés USB et les disques durs externes, en particulier s'ils viennent de l'extérieur, et de limiter leur connexion à l'indispensable. Si un poste partagé a une clé ou un câble que vous ne reconnaissez pas, demandez à l'informatique avant de l'utiliser.

Et si cela se répète ?

Parlez-en. Quelqu'un qui lit régulièrement votre écran, c'est un sujet pour votre responsable ou les RH, et tout ce qui laisse penser qu'il a utilisé votre appareil concerne aussi l'informatique. Notez ce qui s'est passé et quand. Notre guide signaler un collègue qui a fouillé votre ordinateur ou votre téléphone explique les démarches, des RH à la CNIL.

Le rôle de Failshot

Votre mot de passe est la première couche. Failshot est la deuxième : une photo de la personne qui déverrouille votre Mac pendant que vous n'êtes pas à votre bureau.

Quand Failshot est activé, il prend en photo la personne qui déverrouille votre Mac, puis, avec Pro, enregistre une vidéo de 5 secondes, et sa fenêtre lui indique que le déverrouillage a été photographié. Avec Pro, activez les alertes, et Failshot vous envoie un e-mail pour un déverrouillage que vous ne confirmez pas comme le vôtre, avec la photo et l'heure. Pour le désactiver, ou le quitter depuis son menu, il faut Touch ID ou votre code PIN Failshot et votre réponse, jamais le mot de passe de votre Mac.

Failshot est fait pour un Mac qui vous appartient ou que vous êtes autorisé à gérer, avec macOS 14 ou une version ultérieure. Il se télécharge gratuitement sur failshot.app. Utilisation gratuite. Pro ajoute la vidéo, les alertes par e-mail et le coffre-fort chiffré, et vous pouvez essayer Pro gratuitement pendant 7 jours. L'essai se fait sur failshot.app, pour le Mac. L'application est en anglais, et les versions pour iPhone, Android et Windows arrivent bientôt.

Autres questions

Le shoulder surfing est-il illégal ?

L'article 323-1 du Code pénal vise le fait d'accéder ou de se maintenir frauduleusement dans un système de traitement automatisé de données. Il ne parle pas du fait de regarder un écran. Les textes sont présentés dans accéder à l'ordinateur de quelqu'un sans autorisation, est-ce illégal en France ?.

Un filtre de confidentialité est-il utile ?

Le NCSC conseille d'envisager un filtre de confidentialité, tout en faisant attention à qui peut voir votre écran. Un filtre ne remplace pas le verrouillage quand vous quittez votre bureau.

Et si mon écran affichait des données personnelles d'autres personnes ?

Prévenez l'informatique, ou la personne chargée de la protection des données dans votre entreprise, en disant ce qui était affiché et qui a pu le voir. Savoir si c'est une violation de données dépend des détails, que notre guide un collègue qui lit vos fichiers, est-ce une violation de données ? explique.

Puis-je utiliser Failshot sur mon Mac professionnel ?

Seulement avec l'accord de votre employeur. C'est son appareil, et il est responsable, au titre de la protection des données, de toute surveillance sur cet appareil. Pour Failshot, cela veut aussi dire qu'il a accepté nos Conditions pour les organisations et informé toutes les personnes qui utilisent l'ordinateur avant l'activation de Failshot.

Faut-il masquer les notifications au bureau ?

Sur Mac, le réglage « Si déverrouillé » garde le texte des messages hors de l'écran verrouillé. Apple indique que l'option « Jamais » n'affiche jamais les aperçus. Choisissez selon le nombre de personnes qui passent devant votre bureau.