Déverrouiller son téléphone en public : les regards indiscrets

Fiche complémentaire de la leçon « Regards indiscrets : où et comment vous déverrouillez votre téléphone » — cours Sécurité en ligne

Un bon code cesse d’être bon au moment où quelqu’un vous voit le taper. C’est l’attaque la plus ancienne qui soit, elle ne demande aucun matériel, et elle se produit là où vous déverrouillez votre téléphone vingt fois par jour sans y penser.

Aucun organisme public français ne lui a donné de nom. En anglais, on parle de shoulder surfing : regarder par-dessus l’épaule de quelqu’un pendant qu’il saisit un code. Les conseils français les plus proches viennent de la Fédération française des télécoms, qui regroupe les opérateurs — « Tenez votre appareil discrètement », « Ne le posez pas à la vue de tous lorsqu’il n’est pas utilisé » — et de Cybermalveillance.gouv.fr, qui prévient qu’« une personne malintentionnée pourrait profiter de votre manque de vigilance pour accéder à vos informations ».

A. Pourquoi c’est important

Les autres fiches de ce groupe portent sur la méthode de déverrouillage à choisir et sur le délai avant que le téléphone se verrouille seul. Celle-ci porte sur la troisième variable, celle à laquelle presque personne ne pense : l’endroit où vous êtes quand vous tapez le code.

Un code observé n’est plus un code. Et l’observation ne coûte rien : ni logiciel, ni compétence, seulement de la proximité et quelques secondes d’attention.

Cela compte plus qu’avant : on déverrouille aujourd’hui son téléphone en public à tout moment, et un téléphone volé par quelqu’un qui a vu le code est une perte très différente. Apple a d’ailleurs créé une fonction pour ce cas précis, la « Protection en cas de vol de l’appareil » : si un voleur connaît votre code, elle doit l’empêcher d’apporter des modifications importantes à votre compte ou à votre appareil.

B. Notions clés

Sept idées sur le moment où vous tapez le code, et sur ce qui vient après.

Shoulder surfing

Observer quelqu’un saisir un code, un mot de passe ou un code secret, de près ou à distance.

Pourquoi c’est important pour vous : il suffit d’être bien placé, et c’est pourquoi cette attaque survit à tous les progrès techniques — il n’y a rien à casser. Note de vocabulaire : aucune source institutionnelle française ne propose d’équivalent. Nous gardons donc le terme anglais, expliqué, sans lui inventer de traduction officielle.

Pourquoi le schéma est le plus exposé

Une forme tracée est grande, lente, et se voit comme un mouvement, pas comme une série de touches.

Pourquoi c’est important pour vous : elle se lit à plusieurs mètres et se retient facilement, parce que c’est une forme et non une suite de chiffres. Dans les menus Android, cette méthode s’appelle « Schéma ».

Chiffres ou code alphanumérique

Six chiffres, ce sont six touches sur un grand pavé. Un code alphanumérique, ce sont davantage de caractères sur un clavier plus petit.

Pourquoi c’est important pour vous : plus long et plus varié, il est réellement plus difficile à saisir d’un coup d’œil. C’est une seconde raison de le préférer, en plus de sa solidité.

Le contexte à risque

Transports en commun, files d’attente, cafés, gares, aéroports, centres commerciaux, bureaux partagés, ascenseurs : partout où quelqu’un se tient près de vous, immobile, derrière ou à côté.

Pourquoi c’est important pour vous : reconnaître la situation, c’est toute la compétence. La plus grande partie de votre journée, le risque est quasi nul ; à deux ou trois moments qui se répètent, il ne l’est pas.

Caméras et reflets

Les caméras de surveillance des magasins et des gares, et les surfaces qui reflètent : vitres, lunettes, portes vitrées.

Pourquoi c’est important pour vous : mieux vaut le savoir, sans en faire une inquiétude. C’est une raison d’incliner l’écran dans une file d’attente, pas de vous sentir observé partout.

Les filtres de confidentialité pour écran

Un film qui réduit l’angle de vision, de sorte que l’écran ne se lit que de face. C’est le nom sous lequel on les trouve dans le commerce.

Pourquoi c’est important pour vous : peu coûteux et efficaces pour qui travaille dans le train ou en open space. Pas indispensables pour tout le monde, utiles pour certains.

Si le téléphone disparaît

C’est la seconde moitié de l’histoire, et en France elle est bien documentée. La marche à suivre réunit plusieurs sources : la Fédération française des télécoms, le ministère de l’Intérieur, justice.fr et la loi.

• Suspendre la ligne en appelant le service client de l’opérateur. La Fédération française des télécoms le dit ainsi : « Suspendre votre ligne en contactant votre service client ».
• Porter plainte au commissariat ou à la gendarmerie. La plainte en ligne du ministère de l’Intérieur est possible pour un vol dont l’auteur est inconnu, avec FranceConnect, mais pas en cas de violences : un vol avec violence se déclare en personne.
• Donner le numéro IMEI, le numéro de série du téléphone. Le policier ou le gendarme le transmet à l’opérateur, qui bloque l’appareil sur les réseaux.
• Changer les mots de passe des comptes ouverts sur le téléphone, depuis un autre appareil.

Avant d’en avoir besoin : notez l’IMEI, qu’on obtient en tapant *#06# sur le clavier du téléphone, et apprenez à localiser, verrouiller ou effacer l’appareil à distance.

Pourquoi c’est important pour vous : pour trois détails qui ne sont pas évidents. D’abord, en France, le blocage est une obligation légale : l’article L. 34-3 du code des postes et des communications électroniques impose aux opérateurs de bloquer les téléphones déclarés volés, et « ces terminaux doivent être bloqués dans un délai de quatre jours ». Le chemin passe par la plainte et l’opérateur ; il n’existe pas de guichet public où bloquer soi-même un IMEI. Ensuite, suspendre la ligne et bloquer l’appareil sont deux choses différentes : la ligne se suspend tout de suite, sur simple appel ; l’appareil est bloqué ensuite, grâce à l’IMEI. Et le Médiateur des communications électroniques rappelle que « la suspension de votre ligne n’entraîne pas l’arrêt de la facturation ». Enfin, l’ordre compte : Google prévient qu’après un effacement à distance, la localisation de l’appareil n’est plus disponible, et Apple demande de ne pas retirer l’appareil de Localiser, même effacé, car cela supprimerait le verrouillage d’activation et permettrait au voleur de revendre l’appareil plus facilement. On localise d’abord, on efface ensuite.

C’est ici que tout se rattache au code. Cybermalveillance.gouv.fr décrit l’« échange frauduleux de votre carte SIM (appelé également SIM swapping en anglais) » : quelqu’un obtient un double de votre carte SIM auprès de l’opérateur et reçoit vos appels et vos SMS, dont les codes de sécurité à usage unique. ABE Infoservice parle de « détournement de ligne de téléphone portable ». Un téléphone entre les mains d’un autre, c’est un problème ; un téléphone dont cette personne a déjà vu le code en est un bien plus sérieux.

C. Un exemple concret : deux stations de métro

Vous déverrouillez votre téléphone dans une rame bondée. La personne derrière vous voit le schéma que vous tracez — un grand L, toujours tracé de la même façon.

Il ne se passe rien pendant le reste du trajet. Deux stations plus loin, on vous arrache le téléphone des mains au moment où les portes se ferment.

• Sans le code observé, le voleur a un appareil verrouillé et chiffré. Il vaut pour la revente, et rien de plus.
• Avec le code, il a votre messagerie, vos messages, l’application de votre banque et, si votre application d’authentification est sur le téléphone, vos deuxièmes facteurs aussi.

Le vol était opportuniste. Ce qui l’a rendu grave, ce sont les deux secondes d’observation qui l’ont précédé.

Ce qui aurait tout changé

• Un code à chiffres ou un code alphanumérique plutôt qu’un schéma : plus difficile à lire d’un coup d’œil, et aucune forme à retenir.
• L’écran incliné vers vous, ou le déverrouillage par empreinte digitale dans cette situation.
• Simplement remarquer qu’une rame bondée est l’un des endroits où il vaut la peine d’être attentif.

Et, après le vol, la marche à suivre : ligne suspendue auprès de l’opérateur, plainte déposée au commissariat ou à la gendarmerie avec l’IMEI, mots de passe changés depuis un autre appareil.

C’est le seul cas où la biométrie est clairement le meilleur choix : une empreinte ou un visage ne révèlent rien à qui regarde.

D. Essayez : repérez les moments (une journée)

Cet exercice est un exercice d’observation, pas de réglage. Donnez-lui une journée.

Étape 1 — Repérez où vous déverrouillez

• Pendant une journée, remarquez où vous tapez votre code : chez vous, au bureau, dans les transports, dans les files d’attente, en réunion.
• Vous cherchez les moments publics qui se répètent, pas un décompte complet.

Étape 2 — Trouvez vos deux habitudes les plus exposées

• Presque tout le monde en trouve une ou deux : le trajet quotidien, ou la file d’attente du même magasin.
• Ce sont ces moments-là qui méritent un changement. Les autres ne demandent aucune attention.

Étape 3 — Choisissez la parade qui vous convient

• Utilisez la biométrie en public, et gardez la saisie du code pour les endroits où vous êtes seul.
• Inclinez l’écran vers vous, ou masquez-le de l’autre main.
• Abandonnez le schéma, si vous en utilisez encore un.
• Pensez à un filtre de confidentialité si vous travaillez souvent dans les transports.
• Profitez-en pour noter l’IMEI ailleurs que dans le téléphone : tapez *#06# et gardez le numéro là où vous pourrez le retrouver sans lui.

Le but n’est pas d’être sur ses gardes toute la journée. C’est de reconnaître les deux ou trois situations qui se répètent, là où un petit ajustement fait disparaître l’exposition.

E. Vidéos, articles et autres ressources

Sources institutionnelles françaises, pages de la profession et pages d’aide des fabricants en français.

Sources françaises

Cybermalveillance.gouv.fr — Protéger ses appareils mobiles
Dix bonnes pratiques, dont « Ne laissez pas votre appareil sans surveillance », et le conseil de conserver le code IMEI, obtenu en tapant *#06#.
https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/appareils-mobiles

Fédération française des télécoms — Perte/Vol de mobile : nos conseils à l’attention des usagers
Les conseils de la profession avant et après : tenir son appareil discrètement, noter l’IMEI, suspendre la ligne, porter plainte. C’est une fédération d’opérateurs, pas un régulateur.
https://www.fftelecoms.org/grand-public/perte-vol-mobile-nos-conseils-usagers/

Ma Sécurité — La plainte en ligne
Pour un vol dont l’auteur est inconnu, sans violence, avec FranceConnect. En cas de violences, la plainte se dépose au commissariat ou à la gendarmerie.
https://www.masecurite.interieur.gouv.fr/fr/demarches-en-ligne/plainte-en-ligne

justice.fr — Vol d’un téléphone portable
Les étapes dans l’ordre : localiser et verrouiller, changer les mots de passe, suspendre la ligne, porter plainte avec l’IMEI, prévenir l’assureur.
https://www.justice.fr/fiche/vol-telephone-portable

Assemblée nationale — Question écrite n° 14477 et réponse du gouvernement (2019)
Le texte de l’article L. 34-3 du code des postes et des communications électroniques : le blocage des téléphones déclarés volés dans un délai de quatre jours.
https://questions.assemblee-nationale.fr/q15/15-14477QE.htm

Médiateur des communications électroniques — Adopter les bons réflexes en cas de vol ou perte de son mobile
Une page ancienne, dont certains noms d’applications ont vieilli, mais la seule à rappeler que suspendre la ligne n’arrête pas la facturation.
https://www.mediation-telecom.org/publications/fiches-pratiques/adopter-les-bons-reflexes-en-cas-de-vol-ou-perte-de-son-mobile

ABE Infoservice — Détournement de ligne de téléphone portable
Comment un escroc prend le contrôle de votre ligne, les signes qui doivent alerter, et pourquoi ne jamais communiquer votre code RIO.
https://www.abe-infoservice.fr/fr/prevention-arnaques/savoir-detecter-une-arnaque/les-differentes-techniques-des-escrocs/detournement-de-ligne-de-telephone-portable

Apple — Protection en cas de vol de l’appareil
La fonction conçue pour le cas où un voleur connaît votre code, avec un délai de sécurité hors des lieux familiers.
https://support.apple.com/fr-fr/120340

Apple — Comment retrouver votre iPhone ou iPad égaré
Localiser, prévenir l’opérateur et les forces de l’ordre, et ne pas retirer l’appareil de Localiser.
https://support.apple.com/fr-fr/101593

Google — Localiser un appareil Android perdu
Faire sonner, signaler comme égaré, ou effacer — en sachant qu’après l’effacement, la localisation n’est plus disponible.
https://support.google.com/android/answer/6160491?hl=fr

France Victimes — 116 006
Écoute et accompagnement des victimes, gratuit, tous les jours.
https://www.justice.fr/je-suis-victime/116006

Références internationales conservées

Aucune. La version anglaise renvoyait à la page de conseils généraux du NCSC britannique, qui ne traite pas du déverrouillage en public. L’analyse du geste — où vous vous placez, comment vous inclinez l’écran — est celle de ce cours ; aucune source publique, française ou étrangère, ne la détaille.

Liens vérifiés le 26 septembre 2026.

F. Le Framework Cyber Welfare : Compétences, Conscience du risque, Comportements sûrs

Cette leçon relève du pilier Comportements sûrs, au niveau FL2 — Initié. Contrairement au reste du cours, il n’y a aucun réglage à changer : seulement une habitude.

Compétences

• Reconnaître les situations où saisir un code est exposé.
• Utiliser la biométrie en public et la saisie du code en privé.
• Masquer l’écran avec naturel, sans en faire une mise en scène.
• Connaître la marche à suivre du mauvais jour : ligne, plainte, IMEI, mots de passe.

Pour les professionnels et les organisations

• Envisager des filtres de confidentialité pour les personnes qui travaillent régulièrement dans les transports ou dans des espaces ouverts.

Conscience du risque

• Comprendre qu’un code observé n’est plus un code.
• Savoir que le schéma est l’option qui se lit le mieux à distance.
• Voir le lien entre observation et vol : le second est bien plus grave après la première.
• Savoir qu’en France le blocage par l’IMEI passe par la plainte et par l’opérateur, qui a quatre jours pour bloquer l’appareil.

Pour les futurs formateurs et ambassadeurs

• Garder le sujet proportionné : deux ou trois moments qui se répètent, pas une méfiance permanente envers les gens autour de soi.

Comportements sûrs

• Être attentif en déverrouillant dans les lieux publics ou bondés.
• Préférer la biométrie quand des gens sont proches.
• Ne pas utiliser de schéma sur un appareil qu’on emporte partout.
• Conserver l’IMEI ailleurs que dans le téléphone lui-même.

Pour les organisations

• Intégrer ce point aux formations de sensibilisation, où il manque presque toujours.

G. Questions à emporter

1. Où déverrouillez-vous le plus souvent votre téléphone en dehors de chez vous ?
2. Quelqu’un derrière vous pourrait-il lire votre code, ou suivre la forme que vous tracez ?
3. Utilisez-vous la biométrie en public, ou tapez-vous le code quelle que soit la personne à côté ?
4. Si l’on vous arrachait votre téléphone maintenant, la personne qui le tiendrait saurait-elle déjà l’ouvrir ?
5. Connaissez-vous votre IMEI, ou savez-vous où le retrouver sans votre téléphone ?

H. Ce que vous pouvez faire maintenant

Les recommandations (R) et les mesures de sécurité (MS) de la base Cyber Welfare qui s’appliquent au moment où vous tapez le code.

La méthode de déverrouillage

• MS3 — Préférez un code au schéma : une forme tracée est ce qui se lit le plus facilement à distance.
• R5 — Code PIN à six chiffres : c’est le minimum pour le code de déverrouillage.
• MS4 — Un code alphanumérique d’au moins 8 caractères, qui est aussi plus difficile à saisir d’un coup d’œil.

Le contexte

• R7 — Verrouillage de l’écran après inactivité : gardez un délai court, pour qu’un téléphone posé sur une table ne reste pas ouvert.
• R10 — Données sensibles sur les Wi-Fi publics : évitez d’utiliser des services sensibles sur les réseaux publics et, plus largement, dans les lieux publics.

Engagement minimum : la biométrie en public, le code tapé en privé. C’est la règle la plus simple, et elle couvre presque tout.

Trois petits ajustements

1. Si vous utilisez un schéma sur un téléphone que vous emportez partout, remplacez-le par un code.
2. Activez la biométrie et servez-vous-en quand des gens sont proches.
3. Repérez vos deux moments les plus exposés — souvent un trajet ou une file d’attente — et soyez attentif à ces moments-là.

Cela ne coûte rien, et ferme la seule brèche qu’aucun réglage ne ferme.

Si l’on vous a volé votre téléphone et que vous avez besoin d’aide : le 116 006 de France Victimes, gratuit, tous les jours.

En résumé

• Un code observé n’est plus un code, et observer ne coûte rien. Aucune source publique française ne nomme cette attaque : on garde le terme anglais, shoulder surfing.
• Le schéma est l’option qui se lit le mieux ; le code alphanumérique, la plus difficile à saisir d’un coup d’œil.
• La biométrie est le bon choix en public, précisément parce qu’elle ne révèle rien.
• Si le téléphone disparaît : ligne suspendue auprès de l’opérateur, plainte avec l’IMEI, blocage de l’appareil dans les quatre jours, mots de passe changés — et la localisation avant l’effacement à distance.
• Le but est de repérer deux ou trois moments qui se répètent, pas d’être sur ses gardes toute la journée.

Autres ressources de ce cours

Le reste du groupe consacré à l’appareil :

• Choisir son code de déverrouillage : la bonne méthode pour votre téléphone
• Délai de verrouillage de l’écran : combien de temps votre téléphone reste ouvert
• Écran de verrouillage du smartphone : la barrière qui protège tout le reste

Découvrez d’autres fiches complémentaires des cours du programme Protégez votre Vie Privée Numérique.