Comment détecter un mouse jiggler sans espionner le clavier

Un mouse jiggler coûte moins cher qu'un déjeuner, se branche en USB et maintient une machine en « actif » tout l'après-midi sans que personne n'y touche. On peut le détecter sans enregistrer une seule frappe : ce qui trahit la simulation, ce n'est pas ce que l'on tape, mais le rythme auquel on le tape.

Si vous supervisez un parc de machines, vous connaissez la scène. Le tableau de bord indique que les huit postes sont actifs. Tous les voyants sont au vert. Et pourtant la file d'attente grossit, les tickets ne baissent pas et le travail reste introuvable. Quelqu'un est « présent » selon le système et absent selon la réalité.

Le problème n'est pas le manque de surveillance. C'est que la surveillance classique mesure ce qu'il y a de plus facile à falsifier : le temps écoulé depuis la dernière saisie. Tout ce qui déplace le curseur ou répète une touche remet ce compteur à zéro. Et ce « tout » s'achète aujourd'hui en ligne pour quelques dollars.

Les trois schémas d'activité simulée

En pratique, presque toute l'évasion d'inactivité prend trois formes, et chacune laisse une empreinte distincte :

L'agitateur de souris (jiggler). Un dispositif physique — ou un tapis avec la souris posée dessus — qui pousse le curseur de quelques pixels de temps à autre. Sa signature : le curseur dérive dans un rayon très réduit, sans un seul clic ni une seule touche, pendant un bon moment.

La touche bloquée. Une pièce, un trombone, un capuchon de stylo posé sur une touche. Le clavier passe en répétition automatique et la machine croit que quelqu'un tape sans arrêt. Sa signature : de la saisie arrive à pratiquement chaque instant mesuré, alors que le curseur est mort et que rien n'est cliqué.

Le curseur qui dérive. Le plus subtil : la souris bouge — parfois beaucoup — mais rien n'est jamais cliqué ni tapé. Un vrai travail produit un clic ou une frappe toutes les quelques minutes ; un mouvement continu sans aucune interaction, non.

Pourquoi l'enregistrement de frappe est la mauvaise réponse

La tentation évidente est d'enregistrer les frappes. En consignant chaque touche, vous savez si la personne tape vraiment. Cela règle le problème technique et en crée trois bien pires.

D'abord le juridique : dans la plupart des cadres de protection des données d'Amérique latine et d'Europe — le RGPD compris — capter le contenu de ce qu'une personne tape est disproportionné au regard de l'objectif de savoir si elle travaille, et c'est précisément la disproportion qui rend illégale une surveillance par ailleurs légitime. Ensuite la sécurité : un journal de frappes finit toujours par contenir des mots de passe et des données clients. Vous venez de créer le fichier le plus dangereux de votre entreprise pour répondre à une question de ressources humaines. Enfin l'humain : le jour où votre équipe l'apprendra — et elle l'apprendra — vous perdez toute la confiance qui rendait la supervision viable.

Remarque : cet article est informatif et ne constitue pas un conseil juridique. Consultez un avocat en droit du travail de votre pays avant de mettre en place une politique de surveillance. Voir aussi notre guide sur la légalité de la surveillance des PC de vos employés et nos principes de surveillance responsable.

L'alternative : mesurer le rythme, pas le contenu

Il existe un signal qui distingue un humain d'un appareil sans jamais regarder quelle touche a été pressée : la densité de saisie.

L'idée est simple. Au lieu de conserver les touches, on compte quelle proportion des instants mesurés a comporté une activité clavier. Un humain qui tape vite — même à bon rythme — laisse des trous : entre les mots, entre les phrases, lorsqu'il réfléchit. Une touche en répétition automatique n'en laisse aucun : elle remplit pour ainsi dire tous les instants.

C'est un nombre entre 0 et 1. Il ne contient aucun texte, aucun mot de passe, rien que vous puissiez lire. Et il suffit à distinguer quelqu'un qui tape d'un objet posé sur une touche.

Il en va de même pour le curseur : la géométrie du mouvement — la distance parcourue, le confinement à un rayon minime, la présence ou non d'un clic — sépare une dérive mécanique d'une main humaine, sans enregistrer sur quoi l'on a cliqué ni ce que l'on a ouvert.

Le vrai problème n'est pas de détecter : c'est de ne pas accuser à tort

N'importe qui peut écrire une règle qui signale un « curseur confiné ». L'ennui, c'est qu'elle signalerait aussi la personne qui lit un contrat de 40 pages, celle qui est en appel la main posée sur la souris, et celle qui regarde une vidéo de formation.

Un faux positif ici n'est pas une mauvaise donnée sur un tableau de bord : c'est une accusation contre un employé. Ce qui compte n'est donc pas le seuil, mais combien de temps le schéma doit se maintenir avant qu'il vaille la peine de s'y intéresser.

Voici comment Argos s'y prend : chaque schéma a sa propre barre de temps, et elles sont délibérément longues. Une touche bloquée exige une saturation quasi totale pendant environ quatre minutes d'affilée. L'agitateur de souris, deux minutes de dérive confinée sans un seul clic. Le curseur qui dérive — le plus faible des trois signaux — exige dix minutes de mouvement continu, et se réinitialise entièrement dès que le curseur s'immobilise un instant, car une personne présente bouge par à-coups, avec des pauses entre les deux.

Un vrai clic, un mouvement ample ou une pause naturelle effacent le compteur sur-le-champ. C'est une conception faite pour laisser passer le doute, non pour l'accumuler.

C'est un signalement pour vérification, pas un verdict

C'est le point le plus important, et celui sur lequel on se trompe le plus en achetant ce type d'outil.

Un schéma d'activité simulée qui se maintient ne prouve pas que quelqu'un triche. Il prouve que la machine a rapporté une activité qui ne se comporte pas comme une activité humaine. Ce peut être un jiggler. Ce peut tout aussi bien être un clavier défectueux, un processus automatisé légitime ou une session distante mal configurée.

Argos le signale pour vérification et l'affiche sur la chronologie de la machine, afin qu'un superviseur l'examine avec son contexte : quelle application était ouverte, ce qui s'est passé avant et après, si c'est la première fois ou le cinquième jour de suite. Cette conversation appartient à une personne, pas à un seuil.

Il faut aussi dire ce qu'il ne détecte pas : un auto-clicker logiciel qui envoie de vrais clics et de vraies frappes au système d'exploitation produit des événements indiscernables de ceux d'un humain à ce niveau d'analyse. Détecter la saisie injectée est un autre problème, et tout fournisseur qui promet de tout attraper d'une seule case à cocher vous vend du vent.

Ce que cela vous apporte concrètement

Les trois schémas couverts, le chiffre affiché sur votre tableau de bord retrouve un sens. « Huit actifs » signifie huit personnes qui travaillent, et non huit compteurs d'inactivité remis à zéro par des appareils à cinq dollars.

Et vous y parvenez sans le moindre journal de frappes, sans lire aucun courriel et sans rien que vous ayez à cacher à votre équipe. Bien au contraire : c'est une politique que vous pouvez annoncer à voix haute — « nous mesurons le rythme d'usage, jamais le contenu » — et qui tient debout toute seule quand on vous interroge.

C'est la différence entre une surveillance que votre équipe tolère et une surveillance qui finit en conflit prud'homal.

Voyez l'activité réelle de votre parc

Argos détecte les trois schémas d'activité simulée, sans enregistrement de frappe, avec des seuils pensés pour ne pas épingler celui qui ne fait que lire. Aux côtés de la chronologie de présence, du mur d'écrans et des alertes configurables, dans une seule console.

Voir la détection de présence dans la démo · Toutes les fonctions de supervision