Un Mac n’attrape pas de virus ? Ah ouais ?

“De toute façon, sur Mac, y a pas de virus”. Avouez, vous l’avez déjà dite cette phrase. Et nous aussi, on l’a dite.

Pas de honte à avoir. Il y a 20 ans, elle était presque vraie. Et ça tombe bien : c’est justement l’anniversaire qu’on fête ce mois-ci. Depuis 2006, on s’occupe du parc Apple des entreprises parisiennes et au-delà, et cette croyance a exactement le même âge que nous. Sauf qu’elle, elle a plutôt mal vieilli.

Voici pourquoi, et surtout ce que ça change concrètement pour vous.

D’où vient l’idée (et pourquoi elle n’était pas bête)

En 2006, un parc de 12 Mac dans une agence, ça n’intéressait personne. Les attaquants allaient là où était le monde : sur Windows, ultra-majoritaire à l’époque. Écrire un virus pour une machine sur trente, ça n’en valait pas la peine. OK, il y avait quelques virus qui circulaient, mais rien qui ne pouvait vraiment nous affoler (vous vous souvenez du virus “I Love you” sur Windows, dans les années 2000 ? Good times.)

Ajoutez à ça une réputation méritée : macOS repose sur des fondations Unix solides, cloisonne les applications et « it just works » quand on sort la machine du carton. Rien de tout ça n’est faux, d’ailleurs : le Mac reste, aujourd’hui encore, un très bon choix côté sécurité.

Le souci, c’est que tout le raisonnement tenait sur une donnée qui a changé depuis : la rareté.

Les attaquants ont changé de cible

Aujourd’hui, près d’un poste de travail sur cinq en France est un Mac (et avec la sortie du MacBook Neo ce chiffre va encore grimper). La rareté qui vous protégeait a disparu. Mais surtout :

Les attaquants ont arrêté de viser la machine. Ils visent la personne devant l’écran.

Un faux mail, un faux portail Microsoft ou Google, un SMS piégé : le phishing ne s’intéresse jamais au système d’exploitation que vous utilisez. Il vise un humain. Qu’il soit sur un MacBook flambant neuf ou sur un vieux PC (on en parlait en détail dans notre édition sur la responsabilité RGPD du dirigeant.)

Pire : une fois vos identifiants récupérés, l’attaquant n’a même plus besoin de virus. Il ouvre votre session iCloud ou votre Google Workspace comme vous le feriez, et se sert.

macOS a désormais ses propres menaces

Il n’y a pas que le facteur humain. Contrairement à 2006, macOS a aujourd’hui des malwares bien à lui. Pas de quoi paniquer, mais de quoi arrêter de faire l’autruche.

Les plus répandus, ce sont les stealers, des logiciels qui volent mots de passe, cookies de session et portefeuilles de cryptomonnaies… AMOS (pour Atomic macOS Stealer) se loue clé en main à des attaquants qui n’ont aucune compétence technique particulière. Ajoutez à cela les adwares qui polluent les navigateurs, et des malwares parfois signés pour passer les contrôles d’Apple sans faire sonner l’alarme. Le « ça n’existe pas sur Mac » a pris un sacré coup de vieux.

Rien de tout ça ne relève de la science-fiction. Ces menaces se propagent par une fausse mise à jour, un logiciel piraté, un lien de téléchargement trafiqué… le genre de clic que tout le monde fait un jour ou l’autre.

Ce qui vous protège vraiment

Voilà le cœur du sujet :

La sécurité repose sur une posture, pas sur un système d’exploitation.

Aucune marque ne vous protège toute seule. Ce qui vous protège, c’est ce que vous mettez en place pour éviter l’incident. Et ça tient en 4 choses :

• Un parc tenu, via un MDM (l’outil qui gère vos Mac à distance) : inventaire, mises à jour forcées, politiques de sécurité appliqués partout, et on ne laisse pas Bébé de Mac dans un coin.
• La double authentification (la MFA) sur les accès sensibles : même un mot de passe volé ne suffit plus à entrer.
• Une supervision qui repère le poste non chiffré ou la sauvegarde en échec avant que ça tourne mal.
• Et surtout : des collaborateurs sensibilisés, parce que le maillon visé, c’est eux, pas la machine.

Rien d’exotique. Juste le B.A.-BA. Et c’est exactement ce qui sépare un vrai partenaire Apple d’un dépanneur généraliste.

20 ans plus tard

Alors, « un Mac n’attrape pas de virus » ?

La phrase a bien vieilli sur un point : le Mac reste un excellent choix, et vous avez (eu) raison de le faire. Mais il faut désormais le protéger comme ce qu’il est devenu, un poste de travail comme les autres. C’est d’ailleurs ce socle de sécurité que votre assureur cyber commencera bientôt à vous demander de prouver (on a prévu de vous en parler dans l’édition de la semaine prochaine : Faut-il souscrire une assurance cyber ?). Stay tuned.

Reste une question : votre parc Mac, lui, est-il vraiment protégé ? On fait le point ensemble, sans engagement : un audit de votre parc Apple vous dit où vous en êtes, ce qui manque, et dans quel ordre s’y mettre.

Nous, on fête nos 20 ans ce mois-ci. Ce « pas de virus sur Mac » aussi. Et s’il y a bien une chose qu’on aimerait lui offrir pour l’occasion, c’est une retraite bien méritée. On s’en parle ?

➔ Programmer un audit (Offert. Sans engagement)