Windows, macOS ou Linux : qui est le plus vulnérable aux logiciels malveillants et pourquoi ?

Dans la guerre antédiluvienne qui fait rage entre les utilisateurs de Windows, de macOS et, dans une moindre mesure, de Linux, un argument tient souvent le haut du pavé : la sécurité. Mais y a-t-il vraiment un système d'exploitation plus vulnérable qu'un autre ? Doit-on installer un antivirus sur tous les systèmes ?

Beaucoup de facteurs entrent en jeu pour déterminer la sécurité d’un système d’exploitation : ses parts de marché, la présence d’un antivirus gratuit et natif ou encore la fréquence des mises à jour de sécurité. Mais la sécurité intrinsèque d’un OS ne doit pas faire l’objet d’une obsession. L’omniprésence du web dans nos usages informatiques, ainsi que les nouvelles menaces que ce phénomène a amenées, a grandement modifié le paysage de la cybersécurité. Les hackers tendent à ne plus s’appuyer seulement sur les faiblesses du système d’exploitation pour arriver à leur fin.

L’importance de la base utilisateur

Même si on pourrait croire que le mauvais sort ne touche que Windows, la menace d'une attaque plane sur tous les systèmes d'exploitation. Aucun d'entre eux n'est exempt de défauts en matière de sécurité. Certes, il existe des développeurs plus sensibles aux questions de sécurité que d'autres, mais aucun ne peut prévenir toutes les attaques possibles et imaginables. Parfois, les failles ne proviennent pas du code en lui-même, mais des dépendances utilisées.

Toutefois, trouver des failles demande des efforts. Cette tâche chronophage limite les hackers : telle une forteresse, il est complexe de scruter ses murailles pour y trouver une ouverture. Ainsi, beaucoup se focalisent sur le système d'exploitation le plus populaire : Windows. Sur le premier trimestre 2020, Windows représentait 75% du marché des systèmes d'exploitation. Sur cette même période, on rapporte que le système d'exploitation de Microsoft était la cible de 83% des attaques. On relève ainsi que les malfaiteurs préfèrent toujours la plateforme la plus populaire, un choix logique quand on sait qu'il est possible de toucher plus d'appareils par ce biais. C'est d'ailleurs parce que Windows a la tête mise à prix que Microsoft déploie tous les moyens possibles pour protéger ses utilisateurs. Pour répondre aux agresseurs, la firme Redmond a fait le choix d'un Windows Defender de plus en plus performant. À cette solution s'ajoute un déploiement de mises à jour bien plus rapides dans les dernières versions du système d'exploitation.

Qu'importe la plateforme pour les hackers, tant qu'elle est populaire

Aujourd’hui Windows est l’OS le plus populaire, mais qu’en sera-t-il demain ? La certitude est que les hackers iront là où l’argent se trouve. Si une distribution Linux gagne en popularité, il est certain que le nombre de failles découvertes associées se démultipliera. Quant à macOS, Apple a beau cultiver une bonne image sur sa cybersécurité et à sa confidentialité, les menaces persistent et seront toujours plus nombreuses si le Mac devenait l’ordinateur de Monsieur Tout-le-Monde. Bien sûr, les développeurs Apple pourraient serrer la vis et faire de macOS une plateforme plus fermée, à l’instar d’iOS, mais de nombreux exemples (comme la récente affaire Pegasus) ont prouvé qu’un écosystème clos n’était pas vraiment des plus sûrs.

Les virus ne sont pas multiplateformes

Un virus n'est au final qu'un programme, d'où l'appellation malware qui renvoie à software, soit logiciel en anglais. Parce qu'il exploite des failles dans la structure même du système d'exploitation, le code du virus est taillé sur mesure pour accomplir sa tâche. Autrement dit, un malware destiné à Windows ne fonctionnera pas sur macOS et vice-versa.

Il existe des exceptions, mais elles sont rares et les failles qui touchent plusieurs plateformes sont généralement très vite patchées. Les hackers semblent toutefois délaisser les systèmes d'exploitation au profit de portes d'entrée plus simple d'accès, voire avec un butin plus important.

Les menaces d’aujourd’hui vont au-delà du système d’exploitation

À l’ère du web, il y a de quoi faire des heureux du côté des hackers ; interconnexion profonde de nos appareils, le Big Data, la dématérialisation des administrations et institutions bancaire, sans oublier la démocratisation des cryptomonnaies. Pour cause, ces nouveaux trends génèrent de nombreuses opportunités. Les navigateurs et le web supplantent peu à peu les systèmes d’exploitation pour devenir les seuls outils dont l’utilisateur a besoin. Chrome OS en est le parfait exemple ; pour fonctionner dans les tâches du quotidien, le système d’exploitation de Google s’appuie presque uniquement sur son navigateur et les applications de l’entreprise. D’ailleurs, les hackers surveillent de plus en plus Chrome et ses nouvelles versions en vue de trouver des portes dérobées. Ce fait est bien visible dès lors qu’on voit la fréquence à laquelle la firme de Mountain View publie des mises à jour de sécurité, parfois en réponse à des failles « zero day ». Il faut dire qu’avec deux tiers des parts de marché, Chrome devient la nouvelle coqueluche des hackers. 

Beaucoup d’applications intègrent aujourd’hui une dimension connectée, que ce soit par le cloud ou par la dépendance à des services tiers, les rendant vulnérables à des attaques exploitant l’un ou l’autre. Le défunt Flash, utilisé par de nombreux sites et logiciels, n’était d’ailleurs pas étranger aux attaques.

Big Data, big problème

La collecte et la centralisation de données impliquent également les plus grosses fuites de données jamais observées. Le leak du code source de Twitch n’en est que l’exemple le plus récent dans la mémoire collective. Avec des identifiants et mots de passe se comptant par millions, les hackers espèrent toucher le gros lot en commettant le casse virtuel du siècle. Bien que ces données soient parfois encryptées, certaines entreprises laissent mots de passe et autres codes disponibles en clair. C’était ainsi le cas de Twitch. 

Les failles n'existent pas que dans le code

Enfin, on ne peut oublier les failles matérielles qui, même si elles ont grandement perdu en popularité, restent présentes. Les failles Meltdown et Spectre sont de douloureux rappels des menaces que ces attaques représentent. Il y a plusieurs raisons qui font que les failles matérielles sont moins présentes aujourd’hui. Si nous ne devions n’en citer qu’une, il s’agirait très certainement de la perte d’intérêt inhérente à la rétro-ingénierie (nécessaire pour trouver ce type de failles) des composants d’ordinateur. 

Le système d’exploitation ne fait pas tout, les bonnes pratiques sont de mise

Comme nous l’avons mentionné, Microsoft, Apple et les développeurs de distribution Linux ne peuvent vous protéger de toutes les menaces. Cela s’explique en raison des nombreuses failles qui existent indépendamment du travail des éditeurs. Il y a les failles logicielles, matérielles, les risques de fuites de données, mais il existe un dernier risque dont nous n’avons pas abordé : vous.

Depuis la pandémie, les hackers ont compris que le talon d’Achille du système n’était pas un logiciel, un navigateur ou un défaut de sécurité sur un module de l’OS, mais bien l’utilisateur aux rênes de tout ça. De ce fait, de nombreuses techniques de manipulation ont émergé. Sa forme la plus simple n’est qu’un mail frauduleux, généralement accompagné d’un lien ou d’un fichier infecté (que l’on appelle plus communément phishing, ou hameçonnage dans la langue de Molière). Dans ses versions les plus élaborées, l’exploitation de l’utilisateur officie comme maillon faible, communément nommé ingénierie sociale. Il devient ainsi un véritable piratage psychologique, dont le but est d’infiltrer une organisation en faisant croire au membre qu’il en fait partie. Dans la plupart des cas, il reste plus simple d’obtenir l’accès à des données confidentielles en se faisant passer pour un administrateur système, auprès d’un employé en télétravail, que de scruter un système cloud hyper-sécurisé à la recherche d’une petite brèche.

Éviter le phishing reste relativement aidé. Cette méthode se basant souvent sur la peur ou l’appât du gain, il suffit de bien analyser les mails « trop beaux pour être vrais » ou ceux alertant d’un danger imminent. Qu’il s’agisse d’une faute dans le texte ou dans l’adresse même de l’expéditeur, il y a toujours un détail qui trahit la supercherie. Dans le cas de l’ingénierie sociale, ces conseils s’appliquent aussi, mais il faut également être prudent lorsque sont demandés les identifiants, que ce soit par mail ou par téléphone. Bien entendu, il ne faut jamais communiquer d’informations sur son institution en dehors des canaux de communication internes déployés. 

Ultime bonne pratique pour la route : faire ses mises à jour. Oui, ce conseil va de soi, mais il n’est pas vain de le rappeler. Puisque les mises à jour réclament généralement un redémarrage du système d’exploitation ou du navigateur, elles impliquent généralement la perte des fenêtres ouvertes, ainsi qu’un temps de coupure un peu long sur les machines les plus modestes. À une époque où nos appareils sortent de veille quasi instantanément, il n’est pas évident de penser à effectuer un redémarrage. Mais rappelons-nous que ces mises à jour sont pensées pour une raison. Il n’est en rien judicieux de procrastiner et de laisser des failles ouvertes aussi longtemps.

Quel antivirus choisir pour Windows ou macOS?

Certes, une distribution GNU/Linux peut se passer d'un antivirus, mais ce n'est clairement pas le cas pour Windows et macOS. Il existe une multitude de solution de sécurité et voici ci-dessous le podium de notre comparatif antivirus.