Logiciel de surveillance des employeurs (« Bossware » : Hubstaff, Teramind, ActivTrak) installé sur un ordinateur BYOD personnel : détection des enregistreurs de frappe et des captures d'écran¶

Être invité par un employeur ou un client à installer un agent de productivité ou de sécurité des employés sur votre ordinateur personnel et privé (Bring Your Own Device / BYOD), ou découvrir qu'un client de surveillance d'entreprise furtif (Teramind, ActivTrak, Hubstaff, Time Doctor, Veriato / Sapience, InterGuard, Insightful / Workpuls ou Sneek) s'exécute silencieusement en arrière-plan de votre PC Windows ou MacBook personnel, constitue une urgence urgente en matière de confidentialité numérique et de cybersécurité. Alors qu'un employeur dispose généralement d'une large autorité légale pour surveiller l'activité sur un ordinateur portable appartenant à l'entreprise qu'il a acheté et vous a fourni, l'installation d'un agent de surveillance au niveau du noyau ou du certificat racine directement sur le système d'exploitation nu de votre ordinateur personnel personnel permet aux administrateurs informatiques de votre employeur d'accéder en continu 24 heures sur 24 et 7 jours sur 7 à votre vie privée : capture d'écran de vos opérations bancaires en ligne personnelles, enregistrement des frappes lorsque vous tapez votre portail médical personnel ou mots de passe fiscaux à 22h00 un samedi, enregistrement l'audio ambiant de la pièce ou des instantanés périodiques de webcam de votre famille, et l'interception cryptée HTTPS / TLS trafic Web via une autorité de certification racine injectée (MITM Root CA). Si un agent de surveillance non autorisé est utilisé à des fins de harcèlement illégal, de chantage ou de coercition domestique, déconnectez immédiatement l'ordinateur d'Internet et contactez votre représentant local. numéros d'urgence. Pour les urgences liées au travail à distance étroitement liées, consultez nos guides sur sécurité du travail à distance et confidentialité des données en cas d'urgence, bootloops Zscaler ou CrowdStrike Falcon d'entreprise sans confiance, et Partage d'écran accidentel de Zoom et Teams et fuites de micro chauds.

Vous n'avez pas à choisir entre perdre votre emploi à distance et confier à votre employeur les clés principales de vos opérations bancaires personnelles, de vos soins de santé et de votre vie privée familiale. En effectuant un audit médico-légal de 10 minutes sur votre machine personnelle Windows ou macOS pour détecter les agents furtifs cachés (svchost services de masquage, macOS Screen & System Audio Recording autorisations et certificats Root TLS injectés), la rotation de tous les mots de passe personnels saisis alors qu'un enregistreur de frappe ou un proxy TLS était actif et le déplacement de tous les logiciels mandatés par l'employeur dans une ** machine virtuelle isolée matériellement (Hyper-V, VMware Workstation, Parallels, ou UTM)** ou sur un site dédié $250 ordinateur portable de travail uniquement, vous pouvez satisfaire aux exigences de suivi des heures de travail de votre employeur tout en gardant 100 % de votre vie personnelle isolée physiquement et cryptographiquement.

Fais ça maintenant¶

1. ARRÊTEZ de vous connecter à vos services bancaires personnels, à votre messagerie personnelle, aux gestionnaires de mots de passe, aux portails de santé ou aux comptes fiscaux sur cet ordinateur jusqu'à ce que vous ayez terminé l'audit ci-dessous. Si une version furtive de Teramind, Veriato, ou InterGuard (ou un certificat racine MDM) est installé directement sur votre système d'exploitation hôte, il s'exécute comme un SYSTEM ou root démon 24 heures sur 24, même lorsque vous fermez Slack, déconnectez le VPN d'entreprise ou quittez l'application de minuterie visible pour le week-end.
2. Couvrez physiquement l'objectif de votre webcam avec un curseur mécanique ou un ruban adhésif opaque et débranchez ou coupez le son de votre microphone USB chaque fois que vous n'êtes pas en cours d'appel programmé. Plusieurs outils de présence d'équipe à distance (Sneek, Teramind Hidden Agent, Time Doctor, InterGuard) prend en charge la capture périodique d'instantanés silencieux par webcam (every 1 to 5 minutes) et diffusion en direct par microphone ou écran sans éclairer une bannière de notification logicielle.
3. Vérifiez si vous vous connectez à votre travail Microsoft 365 (Teams / Outlook) ou un compte Google Workspace a accidentellement inscrit votre ordinateur personnel dans la gestion des appareils mobiles d'entreprise (Microsoft Intune). Sous Windows, ouvrez Settings -> Accounts -> Access work or school. Si le compte de votre employeur est répertorié avec « Connecté au MDM de [Entreprise] », le fait de cliquer sur « Autoriser mon organisation à gérer mon appareil » lors d'une connexion de routine à Outlook a donné à l'administrateur informatique de votre employeur l'autorisation à distance d'installer un logiciel en arrière-plan silencieux, d'inspecter les applications installées et d'effectuer un effacement d'usine à distance de votre PC personnel.
4. Sur macOS, ouvrez System Settings -> Privacy & Security -> Screen & System Audio Recording ET Accessibility dès maintenant. Dans le cadre des règles obligatoires de transparence, de consentement et de contrôle d'Apple (TCC), aucun logiciel de surveillance des employés sur macOS ne peut capturer votre écran ou enregistrer les frappes globales à moins qu'il ne soit explicitement répertorié et activé dans ces deux volets (ou poussé via un MDM visible Device Management profil).
5. ** Auditez votre magasin de certificats racine de confiance Windows et macOS (certmgr.msc / Keychain Access) pour une autorité de certification racine d'entreprise non standard (CA).** Si votre employeur a installé un certificat Root CA personnalisé à côté Zscaler, Teramind, Netskope, ou FortiClient, leur serveur peut décrypter et lire la charge utile en texte brut de chaque HTTPS site Web que vous visitez, y compris votre banque personnelle et votre dossier médical.
6. N'installez jamais un logiciel de suivi du temps ou de surveillance de l'employeur directement sur votre système d'exploitation hôte personnel ; installez-le dans une machine virtuelle isolée (Windows Hyper-V, VMware, VirtualBox, ou UTM / Parallels) ou sur un appareil physique distinct. Lorsque Hubstaff, Time Doctor, ou ActivTrak s'exécute dans une fenêtre de machine virtuelle, il ne peut que voir, capturer et enregistrer ce qui se passe à l'intérieur de cette fenêtre de bureau virtuel, tandis que les navigateurs personnels, les fichiers et les services bancaires de votre ordinateur hôte restent 100 % invisibles à travers les limites de l'hyperviseur.

Arbre de décision : auditer un ordinateur BYOD personnel et isoler le logiciel de surveillance des employeurs¶

Suivez cet arbre décisionnel pour déterminer quel niveau de surveillance est présent sur votre ordinateur personnel et comment l'isoler en toute sécurité.

flowchart TD
    A["Surveillance d'un employeur suspecté ou mandaté (« Bossware ») sur un ordinateur personnel BYOD"] --> B{"Le logiciel de l'employeur est-il déjà installé sur votre ordinateur personnel ou vous est-il demandé de l'installer maintenant ?"}
    B -->|"IL EST DEMANDÉ DE L'INSTALLER MAINTENANT (Défense pré-installation)"| C{"Quel type de logiciel vous demandent-ils d’installer ?"}
    C -->|"Suivi du temps interactif (Hubstaff, Time Doctor, Toggl, application de bureau Upwork)"| D["NE PAS installer sur un système d'exploitation hôte nu -> Créez une machine virtuelle Windows Hyper-V / VMware / UTM gratuite (ou utilisez un ordinateur portable de travail dédié à 200 $) -> Installez le tracker à l'intérieur de la VM uniquement"]
    C -->|"Surveillance furtive / MDM / Root Cert (Teramind, ActivTrak, Veriato, Intune MDM)"| E["N'installez JAMAIS Stealth Agent ou MDM sur un PC personnel -> Demandez un ordinateur portable fourni par l'entreprise ou une connexion à Azure Virtual Desktop (AVD / Citrix) -> Si vous êtes forcé, exécutez strictement sur un ordinateur portable physique distinct réservé au travail"]
    B -->|"DÉJÀ INSTALLÉ SUR PC PERSONNEL (Audit Forensique et Nettoyage)"| F{"Quel système d'exploitation votre ordinateur personnel utilise-t-il ?"}
    F -->|"Windows 11/10"| G["Exécutez un audit Windows en 4 étapes : 1. Vérifiez « Paramètres -> Accès au travail ou à l'école » pour MDM -> 2. Vérifiez les exécutions automatiques de Services.msc / Sysinternals pour les agents cachés -> 3. Vérifiez certmgr.msc pour l'autorité de certification racine -> 4. Vérifiez les connexions TCP sortantes."]
    F -->|"macOS (Apple Silicon/Intel)"| H["Exécutez un audit macOS en 4 étapes : 1. Cochez « Paramètres système -> Général -> Gestion des appareils » (Profils) -> 2. Cochez « Confidentialité et sécurité -> Enregistrement d'écran et accessibilité » -> 3. Vérifiez /Bibliothèque/LaunchDaemons -> 4. Vérifiez les certificats du trousseau"]
    G --> I{"Avez-vous trouvé un agent de surveillance furtif, une inscription MDM ou un certificat racine injecté ?"}
    H --> I
    I -->|"OUI : Agent furtif/autorité de certification racine/MDM Intune trouvé sur un PC personnel"| J["CONFINEMENT : Déplacez le travail vers une VM ou un deuxième ordinateur portable -> Désinscrivez MDM / Supprimez l'agent et l'autorité de certification racine du PC personnel (ou du système d'exploitation proprement installé) -> Faites pivoter toutes les informations d'identification bancaires personnelles, de courrier électronique et de gestionnaire de mots de passe à partir d'un téléphone propre."]
    I -->|"NON : seul un tracker interactif visible (par exemple, Upwork / Hubstaff) est installé"| K["Révoquer ses autorisations d'enregistrement d'écran/d'accessibilité en dehors des heures de travail -> Quitter le démon en arrière-plan dans le Gestionnaire des tâches / Moniteur d'activité en dehors des heures de travail -> Migrez-le vers une VM"]

Partie 1 : Ce que « Bossware » capture réellement (et comment les agents furtifs se cachent sur votre système)¶

Pour auditer efficacement votre ordinateur personnel, vous devez connaître les capacités techniques exactes et les noms de processus déguisés utilisés par les sept plateformes de surveillance des employés les plus courantes.

+-------------------------------------------------------------------------+
|  THE 5 SURVEILLANCE LAYERS OF ENTERPRISE "BOSSWARE" ON A BYOD HOST OS   |
|                                                                         |
|  [Layer 1: Visual]    -> Continuous Screen Recording (MP4) or periodic  |
|                          JPEG screenshots + OCR text indexing of screen |
|  [Layer 2: Input]     -> Kernel/API Keylogger (captures every password, |
|                          iMessage, & private email) + Clipboard history |
|  [Layer 3: Network]   -> Injected Trusted Root CA Certificate decrypts  |
|                          all HTTPS traffic (banking, medical portals)   |
|  [Layer 4: Hardware]  -> Silent Webcam snapshots, Microphone room audio,|
|                          GPS/Wi-Fi BSSID geolocation, & USB file copies |
|  [Layer 5: Telemetry] -> "Idle Score" (mouse jiggle detection), active  |
|                          window titles, & "Job Search / Attrition" AI   |
+-------------------------------------------------------------------------+

Empreintes techniques des 7 meilleures suites de surveillance des employés¶

Même lorsqu'il est déployé en "Mode furtif/caché" (où le fournisseur masque intentionnellement l'application du menu Démarrer de Windows, du dossier Applications macOS et de la barre d'état système), chaque agent de surveillance doit exécuter un service en arrière-plan, charger un pilote et maintenir une connexion réseau sortante cryptée à son serveur d'ingestion cloud :

Partie 2 : Audit médico-légal étape par étape pour détecter les Bossware cachés sur un PC personnel Windows 11/10¶

Contrôle 1 : Audit Windows « Accès au travail ou à l'école » pour une inscription accidentelle au MDM d'entreprise¶

1. Ouvrez Windows Settings (Win + I) -> Accounts -> Access work or school.
2. Cliquez sur n’importe quelle adresse e-mail professionnelle répertoriée. Si vous voyez un Info bouton (pas seulement Disconnect), votre ordinateur personnel est inscrit à Microsoft Intune / Corporate Mobile Device Management (MDM). Cliquez sur Info et faites défiler jusqu'à Areas managed by [Company Name] et Synced Policies / Installed Apps pour voir chaque politique, certificat et programme d'installation MSI silencieux que votre employeur a transféré sur votre ordinateur personnel. Une fois que vous avez migré votre travail vers une machine virtuelle dans la partie 4, cliquez sur Disconnect ici pour désinscrire votre PC hôte personnel.

Contrôle 2 : À la recherche de services furtifs masqués (scthost.exe, tsvchst.exe) Utilisation de PowerShell et Sysinternals Autoruns¶

1. Ouvrez PowerShell en tant qu'administrateur (Win + X -> Terminal (Admin)) et exécutez cette commande pour répertorier tous les services d'arrière-plan tiers en cours d'exécution qui ne sont pas signés numériquement par Microsoft :

   Get-WmiObject Win32_Service | Where-Object { $_.State -eq 'Running' -and $_.PathName -notmatch 'C:\\Windows\\servicing|svchost\.exe' } | Select-Object Name, DisplayName, PathName | Format-Table -AutoSize
   

2. Examinez attentivement tout service à court de C:\ProgramData\, C:\Windows\SysWOW64\scthost.exe (ActivTrak), tmagent ou tsvchst (Teramind), winikus (Veriato), ou wscservice (InterGarde).
3. Téléchargez gratuitement Sysinternals officiel de Microsoft Autoruns64.exe, exécutez-le en tant qu'administrateur, cliquez sur Options -> Hide Microsoft Entries et inspectez le Services et Drivers onglets pour tout enregistreur de frappe furtif ou pilote de filtre de capture d'écran (tmfilter.sys, vfilter.sys).

Contrôle 3 : Inspectez le magasin de certificats racine de confiance Windows (certmgr.msc) pour le décryptage HTTPS¶

Pour voir ce que vous tapez à l'intérieur HTTPS sites Web (tels que votre banque personnelle, Gmail ou portail de santé), suites de surveillance et proxys Web d'entreprise (Teramind, Zscaler, Netskope, Fortinet) installez un Man-in-the-Middle personnalisé (MITM) Autorité de certification racine sur votre PC :

1. Presse Win + R, tapez certmgr.msc et appuyez sur Entrée.
2. Agrandir Trusted Root Certification Authorities -> Certificates, trier par Issued By, et recherchez tout certificat portant le nom de votre Employeur, Teramind, Zscaler Root CA, Veriato, Netskope, Fortinet, ou Securly.
3. Testez dans votre navigateur personnel Chrome ou Edge : ouvrez https://www.google.com ou sur le site Web de votre banque, cliquez sur l'icône Tune à gauche de l'URL -> Connection is secure -> Certificate is valid. Si le certificat pour google.com ou votre banque personnelle dit Issued By: [Your Employer Name] / Zscaler / Teramind Root CA, votre employeur décrypte et inspecte votre trafic HTTPS personnel.

Partie 3 : Audit médico-légal étape par étape pour détecter les Bossware cachés sur un Mac personnel (macOS)¶

Contrôle 1 : Inspecter Screen & System Audio Recording et Accessibility Autorisations¶

Sur macOS, même un démon de niveau racine ne peut pas enregistrer silencieusement votre écran ou enregistrer les frappes globales sur d'autres applications à moins d'avoir obtenu l'autorisation dans deux volets de confidentialité :

1. Ouvert System Settings -> Privacy & Security -> Screen & System Audio Recording. Si tu vois scthost, Teramind, ActivTrak, Hubstaff, Time Doctor, sfproc, Veriato, ou une aide non reconnue activée ici, cette application dispose de l'autorisation active pour enregistrer l'écran de votre Mac. Désactivez-le immédiatement et cliquez sur le bouton - bouton pour le supprimer.
2. Ouvert Accessibility et Input Monitoring à l'intérieur Privacy & Security. Toute application accordée Input Monitoring ou Accessibility l'autorisation peut lire chaque frappe que vous tapez sur le système d'exploitation. Désactivez et supprimez tout démon ou outil de suivi d'employeur non reconnu des deux listes.

Contrôle 2 : Rechercher macOS Device Management (MDM Profiles) et caché LaunchDaemons¶

1. Ouvert System Settings -> General -> Device Management (ou System Preferences -> Profiles sur les anciens macOS). Sur un MacBook personnel, le Device Management La section doit être complètement vide ou absente. Si vous voyez un Profil de gestion installé par votre employeur (Jamf, Kandji, Mosyle, Microsoft Intune, Rippling, Drata, Vanta), cliquez dessus pour inspecter les certificats racine, les contournements de confidentialité TCC et les agents d'arrière-plan qu'il applique sur votre Mac personnel.
2. Ouvrir le Terminal (Cmd + Space -> Terminal) et exécutez ls -la /Library/LaunchDaemons /Library/LaunchAgents pour répertorier tous les démons d'arrière-plan racine et agents de lancement utilisateur tiers installés sur votre Mac. Recherchez n'importe quel .plist fichier contenant teramind, activtrak, scthost, veriato, hubstaff, timedoctor, workpuls, insightful, ou awarenesstech.
3. Ouvrez également ** Accès au trousseau (Cmd + Space -> Keychain Access) -> System Roots et System porte-clés** et inspectez le Certificates pour toute autorité de certification racine d'entreprise personnalisée installée pour décrypter votre trafic HTTPS personnel Safari et Chrome.

Partie 4 : Isoler le logiciel de l'employeur dans une machine virtuelle (VM) ou matériel dédié¶

Si votre travail à distance ou votre contrat d'indépendant vous oblige à exécuter Hubstaff, Time Doctor, Upwork Desktop App, ActivTrak, Teramind, ou un VPN d'entreprise pendant les heures de travail, ne l'installez jamais sur votre système d'exploitation hôte personnel.

+----------------------------------------------------------------------+
|  HOW VIRTUAL MACHINE (VM) ISOLATION CONTAINERS EMPLOYER BOSSWARE     |
|                                                                      |
|  +----------------------------------------------------------------+  |
|  | YOUR PERSONAL HOST COMPUTER (Windows 11 or macOS)              |  |
|  | * Personal Chrome (Banking, Medical, Personal Email, Taxes)    |  |
|  | * Personal Files, Photos, 1Password Vault, & Webcam            |  |
|  |   [ 100% INVISIBLE TO EMPLOYER ACROSS HYPERVISOR BOUNDARY ]    |  |
|  |   +--------------------------------------------------------+   |  |
|  |   | ISOLATED WORK VIRTUAL MACHINE (Hyper-V / UTM / VMware) |   |  |
|  |   | * Employer Bossware (Hubstaff / Teramind / ActivTrak)  |   |  |
|  |   | * Corporate VPN + Work Browser + Slack + VS Code       |   |  |
|  |   | * Bossware Can ONLY Screenshot & Log Inside This VM    |   |  |
|  |   +--------------------------------------------------------+   |  |
|  +----------------------------------------------------------------+  |
+----------------------------------------------------------------------+

Option 1 : la machine virtuelle isolée gratuite (Hyper-V / VMware Workstation / UTM)¶

En créant une machine virtuelle invitée sur votre ordinateur et en installant tous les logiciels de l'employeur strictement à l'intérieur de la VM :

• Isolement de capture d'écran : Quand Hubstaff ou Teramind prend une capture d'écran à l'intérieur de la VM, il capture uniquement la carte d'affichage virtuelle de la VM, tandis que votre compte bancaire personnel ou votre deuxième moniteur sur le système d'exploitation hôte reste 100 % invisible à travers les limites de l'hyperviseur.
• Isolement du keylogger et du presse-papiers : Désactiver Presse-papiers partagé (Bidirectional Clipboard: Off) et Dossiers partagés dans les paramètres de votre VM afin que les frappes saisies dans le navigateur personnel de votre système d'exploitation hôte n'entrent jamais dans le tampon du clavier USB virtuel de la VM.
• Isolement du réseau et des certificats HTTPS : Tout VPN d'entreprise (Zscaler, Cisco AnyConnect) ou le certificat racine MITM installé à l'intérieur de la VM affecte uniquement le trafic réseau à l'intérieur de la VM, laissant intacte la connexion Internet résidentielle directe de votre ordinateur hôte.
• Arrêt matériel instantané à 17h00 : Lorsque vous avez terminé de travailler à 17h00, cliquez sur Shut Down sur la machine virtuelle afin que le service d'arrière-plan de l'employeur cesse d'exister dans la RAM jusqu'à ce que vous démarriez la VM demain matin.

Option 2 : le dédié $200 to $300 Ordinateur portable de travail reconditionné + commutateur KVM matériel¶

Si un agent d'entreprise vérifie CPUID ou des chaînes du BIOS (VMware, VirtualBox, Hyper-V) et bloque les machines virtuelles, achetez un ** Lenovo ThinkPad T14 ou Dell Latitude propre et remis à neuf ($180 to $250)** dédié 100 % au travail, connectez les deux ordinateurs à vos écrans de bureau et à votre clavier à l'aide d'un $35 Commutateur KVM matériel HDMI ou DisplayPort, et connectez l'ordinateur portable de travail au réseau Wi-Fi invité isolé de votre routeur domestique afin qu'il ne puisse pas analyser vos appareils LAN personnels.

Numéros d'urgence régionaux et protocoles des agences (lois sur la surveillance BYOD et l'écoute électronique)¶

Déployer secrètement des enregistreurs de frappe, une capture par webcam ou une surveillance 24h/24 et 7j/7 en dehors des heures de travail sur les propriétés privées d'un employé (BYOD) ordinateur sans divulgation explicite enfreint les lois sur l'écoute électronique, la protection des données et le travail dans plusieurs juridictions :

• Union européenne et Royaume-Uni (EU/UK GDPR, ECHR Article 8, & UK ICO Employment Practices Code) : Composez le 112 (UE) ou le 999 (Royaume-Uni) en cas d'urgence physique. En vertu des articles 5, 6 et 35 du RGPD et des directives du Office du commissaire à l'information du Royaume-Uni (Monitoring Workers Guidance, 2023), la surveillance secrète des travailleurs n'est presque jamais légalement justifiable, et l'enregistrement continu des frappes, la capture par webcam ou la surveillance en dehors des heures d'ouverture de l'appareil BYOD personnel d'un travailleur à l'intérieur de sa maison privée échoue aux tests de proportionnalité et de minimisation des données du RGPD. Les travailleurs peuvent déposer une plainte réglementaire auprès de UK ICO (ico.org.uk) ou leur autorité nationale de protection des données de l'UE (CNIL, BfDI, AEPD, DPC).
• États-Unis (ECPA, CFAA, et les lois sur les avis de surveillance des employés de l'État) : Appelez le 911 en cas d'urgence physique. La Loi sur la protection des renseignements personnels dans les communications électroniques (ECPA) et Loi sur la fraude et les abus informatiques (CFAA) régissent les interceptions non autorisées, et le Conseil national des relations du travail (NLRB Le mémo 23-02) interdit la surveillance électronique qui refroidit les activités concertées protégées. New York (NY Civil Rights Law § 52-c), Connecticut (Conn. Gen. Stat. § 31-48d), Delaware (19 Del. C. § 705) et Californie (CCPA / CPRA) exigent strictement que les employeurs donnent un préavis écrit avant de s'engager dans une surveillance électronique.
• Canada, Australie et Nouvelle-Zélande : Régis par la Loi sur le travail pour les travailleurs de l'Ontario (exigeant une politique écrite de surveillance électronique pour les employeurs de 25 employés et plus), Québec Law 25, et Nouvelle-Galles du Sud Workplace Surveillance Act 2005 (nécessitant un préavis écrit de 14 jours). Voir numéros d'urgence pour toutes les régions.

Questions fréquemment posées¶

Mon employeur peut-il voir ce que je fais sur mon ordinateur personnel ou mon téléphone simplement parce qu'il est connecté à mon réseau Wi-Fi domestique alors que mon ordinateur portable de travail est également sur le même réseau Wi-Fi domestique ?¶

Non, tant que le logiciel de surveillance et le VPN de votre employeur sont installés uniquement sur l'ordinateur portable de travail fourni par l'entreprise et non sur votre ordinateur personnel ou votre téléphone. Un ordinateur portable d'entreprise connecté à votre réseau Wi-Fi domestique utilise un tunnel VPN crypté vers le bureau de l'entreprise et ne peut pas décrypter ou voir la navigation Web HTTPS, les opérations bancaires ou les applications exécutées sur votre ordinateur portable personnel séparé ou votre iPhone sur le même routeur Wi-Fi domestique (bien que pour une meilleure hygiène du réseau, connectez votre ordinateur portable de travail au réseau Wi-Fi invité de votre routeur domestique).

La connexion à Slack, Gmail ou Microsoft Teams de mon entreprise dans un onglet de navigateur Web permet-elle à mon employeur de voir les autres onglets de mon navigateur ou de prendre des captures d'écran de mon bureau ?¶

Non. Étant donné que les navigateurs Web modernes appliquent un bac à sable de même origine strict, une page Web s'ouvre dans un onglet de navigateur (tel que `app.slack.com` ou `outlook.office.com`) est interdit par le moteur du navigateur de lire les URL, les cookies ou les pixels de l'écran des autres onglets de votre navigateur ou de votre bureau, sauf si vous vous connectez au navigateur Chrome lui-même avec un profil professionnel géré et cliquez sur « Activer la synchronisation » (ce qui permet à l'administrateur Google Workspace de votre employeur de diffuser les extensions Chrome sur ce profil de navigateur). Ouvrez toujours les applications Web professionnelles dans un profil de navigateur distinct non synchronisé sans aucune extension d'entreprise.

Hubstaff, Time Doctor ou ActivTrak peuvent-ils détecter si j'utilise un « Mouse Jiggler » mécanique ou USB ?¶

Oui, les versions modernes d'ActivTrak, Teramind, Time Doctor et Hubstaff utilisent des heuristiques d'entrée d'apprentissage automatique formées pour signaler les jigglers de souris mécaniques et USB. Les suites modernes analysent l'entropie des trajectoires de la souris (signalant des oscillations répétitives d'un pixel, des boucles circulaires à vitesse constante ou des périodes de 45 minutes de mouvement continu de la souris accompagnées de zéro clic de souris, de zéro changement de focus de fenêtre et de zéro saisie au clavier) et envoient une alerte automatisée de suspicion de jiggler de souris au tableau de bord de votre responsable.

Si j'utilise un PC Windows personnel avec deux comptes d'utilisateur (une connexion Windows « Travail » et une connexion Windows « Personnel »), cela empêche-t-il Bossware installé sur la connexion Travail d'espionner ma connexion personnelle ?¶

Non, des comptes d'utilisateur Windows ou macOS distincts sur le même système d'exploitation n'isolent pas les agents de surveillance au niveau du système (`Teramind`, `ActivTrak`, `Veriato`, `InterGuard`, `CrowdStrike`, `Intune MDM`). Parce que ces agents s'installent en tant que `NT AUTHORITY\SYSTEM` services, pilotes de filtre de noyau ou `/Library/LaunchDaemons` avec des certificats racine de confiance à l'échelle de la machine, ils s'exécutent sur l'ensemble du système d'exploitation, quel que soit le compte d'utilisateur local connecté. Seule une machine virtuelle (`Hyper-V / VMware / UTM`), un lecteur crypté séparé Dual-Boot ou un ordinateur portable physique distinct offre une véritable isolation.

Le logiciel de surveillance des employeurs peut-il voir les sites Web que je visite en mode navigation privée Chrome ou en navigation privée dans Safari ?¶

Oui, à 100 pour cent. Le mode Chrome Incognito et la navigation privée Safari empêchent uniquement le navigateur d'enregistrer l'historique et les cookies sur votre disque dur local après avoir fermé la fenêtre ; ils ne font rien pour cacher votre écran, vos frappes au clavier, vos recherches DNS ou votre trafic HTTPS à un agent de surveillance des employés (`Teramind`, `ActivTrak`, `InterGuard`, `Veriato`) ou une autorité de certification racine d'entreprise exécutée sur le même système d'exploitation.

Mon employeur m'a demandé d'installer l'application Microsoft Authenticator ou Okta Verify 2FA sur mon iPhone ou mon téléphone Android personnel. Cette application peut-elle espionner mes photos personnelles, mes textes ou ma navigation sur le Web ?¶

Non. Une application autonome de génération de code d'authentification multifacteur (MFA) (**Microsoft Authenticator**, **Okta Verify**, **Duo Mobile**, **Google Authenticator**) installée à partir de l'App Store d'Apple ou du Google Play Store s'exécute dans un bac à sable d'application mobile strict et n'a aucun accès à vos messages texte personnels, photos, historique de navigation ou autres applications. Évitez seulement d'installer une gestion complète des appareils mobiles (`MDM`) Profil d'inscription d'appareil sur un téléphone personnel s'il demande des autorisations de gestion des appareils racine et de certificat.

Guides associés¶

• Sécurité du travail à distance et confidentialité des données en cas d'urgence
• Échec du kill-switch VPN ou quarantaine de boucle de démarrage Zscaler / CrowdStrike Falcon sans confiance d'entreprise
• Partage d'écran accidentel d'une feuille de salaire confidentielle, d'un gestionnaire de mots de passe ou d'une liste de licenciements sur Zoom ou Teams
• Nomade numérique ou employé à distance travaillant depuis un pays non autorisé : indicateur IP et verrouillage du contrôle des exportations
• Espace de coworking, hôtel ou aéroport USB juice-jacking, surf sur l'épaule et défense DMA par démarrage à froid

Sources et directives officielles¶

• Bureau du commissaire à l'information du Royaume-Uni (ICO) : Pratiques d'emploi et protection des données : conseils aux travailleurs de surveillance (2023) (restrictions strictes sur la surveillance secrète, la capture continue de touches/webcam et exigences de proportionnalité sur les appareils BYOD dans les maisons privées en vertu du RGPD britannique).
• Comité européen de la protection des données (EDPB) / Groupe de travail Article 29 : Avis 2/2017 sur le traitement des données au travail (WP 249) (Interdiction explicite du suivi disproportionné des employés et séparation obligatoire des espaces BYOD privés en vertu du RGPD de l'UE).
• Bureau de protection financière des consommateurs (CFPB) et Conseil national des relations de travail (NLRB) : Circulaire CFPB 2024-06 (Dossiers de référence et scores algorithmiques pour les travailleurs) & Mémo de l'avocat général du NLRB GC 23-02 (Gestion électronique et surveillance algorithmique).
• Electronic Frontier Foundation (EFF) : À l'intérieur de Bossware : analyse technique des logiciels de surveillance des employés, des enregistreurs de frappe et de l'interception des certificats racines TLS.
• NIST (National Institute of Standards and Technology) : NIST SP 800-114 Rév. 1 (Guide de l'utilisateur sur le télétravail et la sécurité BYOD avec votre propre appareil) et NIST SP 800-46 Rév. 2.