Une fenêtre s’affiche en bas de l’écran : « Une mise à jour est disponible. Redémarrer maintenant ou plus tard ? ». Neuf fois sur dix, le doigt part tout seul vers « plus tard ». C’est humain : on est au milieu d’une partie, d’un tableur, d’une visioconférence. Sauf que ce petit report anodin est, statistiquement, l’une des causes les plus fréquentes de piratage informatique dans le monde. Pas les hackers de génie des films, pas les attaques mystérieuses : juste des ordinateurs qui n’ont pas été mis à jour à temps.
Une mise à jour, c’est quoi exactement ?
Imaginez votre logiciel comme une maison. Le développeur l’a construite avec les meilleures intentions, mais un jour quelqu’un découvre qu’une fenêtre du sous-sol ne ferme pas correctement. Cette fenêtre, dans le jargon, s’appelle une vulnérabilité. La mise à jour est l’artisan qui vient poser une serrure neuve.
Toutes les mises à jour ne se ressemblent pas. Certaines ajoutent des fonctionnalités ou changent l’apparence de l’interface — celles-là, on peut discuter de leur utilité. D’autres, appelées correctifs de sécurité ou patchs, ne font rien de visible : elles bouchent des trous. C’est précisément parce qu’elles ne changent rien visuellement qu’on les néglige. On ne voit pas ce qu’on a gagné, donc on croit n’avoir rien perdu à attendre.
Le vrai problème : la faille devient publique
Voici le point que beaucoup ignorent, et qui change tout. Quand un éditeur publie un correctif, il annonce en même temps — souvent publiquement, dans une base de données comme CVE — quelle faille il vient de corriger. C’est une pratique vertueuse : elle permet aux administrateurs système du monde entier de savoir ce qu’ils doivent réparer d’urgence.
Mais les attaquants lisent les mêmes annonces. Le jour de la publication d’un correctif, une course démarre : d’un côté les utilisateurs qui installent, de l’autre des personnes qui écrivent un programme d’attaque exploitant la faille désormais documentée. Historiquement, cette fabrication prend parfois quelques jours, parfois quelques heures. Chaque « plus tard » vous place du mauvais côté de cette course. Autrement dit : un logiciel non mis à jour n’est pas simplement « un peu moins protégé », il est activement ciblé, avec un mode d’emploi disponible.
WannaCry : la leçon la plus coûteuse de l’histoire
En mai 2017, une attaque nommée WannaCry paralyse en quelques jours plus de 200 000 ordinateurs dans une centaine de pays. Des hôpitaux britanniques annulent des opérations, des usines Renault s’arrêtent, des gares affichent des écrans rouges réclamant une rançon en bitcoins.
Le détail glaçant : Microsoft avait publié le correctif de la faille exploitée presque deux mois avant l’attaque. Toutes les machines touchées étaient des machines qui n’avaient pas installé une mise à jour disponible. Il n’y avait aucune fatalité technique, aucune défense impossible. Juste un « plus tard » répété à l’échelle mondiale.
Deux ans plus tard, l’histoire recommence avec la faille BlueKeep, jugée si dangereuse que la NSA elle-même publie un communiqué exhortant à mettre à jour. Le scénario est toujours identique : le correctif existe, il attend simplement d’être installé.
Les appareils qu’on oublie complètement
Votre ordinateur et votre téléphone vous rappellent les mises à jour. Le reste, non. Et le reste est immense :
- La box internet et le routeur. C’est la porte d’entrée de tout votre réseau, et son logiciel interne — le firmware — n’est presque jamais vérifié par ses propriétaires.
- Les objets connectés : caméras de surveillance, ampoules, prises intelligentes, aspirateurs robots. Le botnet Mirai a démontré en 2016 qu’une armée de caméras mal protégées pouvait faire tomber une partie de l’internet mondial.
- Les extensions de navigateur, souvent installées puis oubliées pendant des années.
- Les sites web personnels. Un site sous WordPress non mis à jour, avec ses greffons abandonnés, est une cible classique : la plupart des piratages de petits sites viennent d’une extension obsolète, jamais du mot de passe.
« Et si la mise à jour casse tout ? »
Cette crainte est légitime, et il serait malhonnête de la balayer. Oui, il arrive qu’une mise à jour introduise un bug ou supprime une fonction appréciée. Un incident de 2024 chez CrowdStrike a même paralysé des millions de machines Windows dans le monde à cause d’une mise à jour défectueuse — avions cloués au sol, banques à l’arrêt.
Mais il faut comparer les risques à leur juste échelle. Une mise à jour ratée est un incident visible, réversible, et généralement corrigé en quelques heures par un nouveau correctif. Une faille non corrigée est un risque invisible, permanent, et qui peut coûter l’intégralité de vos données. Entre l’ennui probable et la catastrophe possible, le calcul est vite fait.
Une routine simple, sans devenir informaticien
Quelques habitudes suffisent à absorber 90 % du risque :
- Activez les mises à jour automatiques partout où c’est possible : système, navigateur, téléphone. La meilleure décision est celle que vous n’avez plus à prendre.
- Programmez le redémarrage à une heure creuse plutôt que de repousser indéfiniment. Beaucoup de correctifs ne s’appliquent qu’après un redémarrage.
- Fixez un rendez-vous mensuel de dix minutes pour les appareils muets : box, routeur, caméras, imprimante.
- Faites une sauvegarde avant les grosses mises à jour de système. C’est le filet qui rend le risque acceptable.
- Désinstallez ce que vous n’utilisez plus. Un logiciel absent n’a pas de faille. C’est la mise à jour la plus efficace du monde.
- Méfiez-vous du matériel en fin de vie. Quand un fabricant arrête le support d’un téléphone ou d’un système, plus aucun correctif n’arrive : les failles s’accumulent définitivement.
Changer de regard sur la petite fenêtre
La sécurité informatique domestique n’est pas une affaire d’antivirus miraculeux ni de mots de passe alambiqués. Elle repose sur une hygiène ennuyeuse et régulière, exactement comme se laver les mains. Les grandes catastrophes numériques de la dernière décennie n’ont presque jamais exploité de techniques inédites : elles ont exploité du retard.
Alors la prochaine fois que la notification apparaît, essayez de la lire autrement. Ce n’est pas une corvée qui vous interrompt : c’est quelqu’un, quelque part, qui a passé des jours à réparer une serrure de votre maison, et qui vous demande simplement dix minutes pour la poser. Cliquer sur « Redémarrer maintenant » est probablement le geste de cybersécurité le plus rentable de votre vie.