Faille Secure Boot : vos PC Windows menacés au firmware

Imaginez un cambrioleur qui possède un double officiel de votre serrure, fabriqué par le même serrurier qui vous a vendu la vôtre. C'est exactement ce que des chercheurs en cybersécurité viennent de découvrir sur vos ordinateurs Windows. Onze anciens fichiers de démarrage, officiellement signés par Microsoft, peuvent être utilisés par des pirates pour contourner Secure Boot — le mécanisme censé garantir que votre PC ne démarre que sur des logiciels de confiance. Résultat : la quasi-totalité des PC modernes sous Windows est potentiellement exposée, y compris les postes de votre entreprise.

Secure Boot et UEFI : c'est quoi exactement ?

Avant d'aller plus loin, posons les bases. L'UEFI (prononcer « you-fi ») est le logiciel intégré directement dans la carte mère de votre ordinateur. C'est lui qui se réveille en premier quand vous appuyez sur le bouton de démarrage, bien avant Windows. Secure Boot, lui, est une fonction de sécurité firmware Windows intégrée à l'UEFI : il vérifie que chaque composant qui se lance au démarrage est bien « signé » numériquement par un éditeur de confiance, comme Microsoft. L'objectif est d'empêcher les logiciels malveillants de s'installer dans les couches les plus profondes du système, là où ni votre antivirus ni Windows lui-même ne peuvent facilement les détecter. C'est une ligne de défense essentielle — et c'est précisément celle qui vient d'être fragilisée.

Le problème : de vieilles clés que personne n'a révoquées

Les chercheurs ont identifié 11 fichiers UEFI anciens, signés par Microsoft à une époque révolue, qui n'auraient plus jamais dû être utilisables. Problème : ils ne figurent pas sur la liste noire officielle de Microsoft, appelée DBX (la base de données des signatures révoquées). Concrètement, un attaquant qui met la main sur l'un de ces fichiers peut s'en servir comme d'un passe-partout pour démarrer n'importe quel code malveillant sur votre machine, même avec Secure Boot activé. Ce type d'attaque, que les spécialistes appellent un « bootkit UEFI », est particulièrement redoutable pour une PME : le malware se loge si profondément dans le système qu'il survit à la réinstallation de Windows, voire au remplacement du disque dur. Il est quasi invisible, persistant, et peut espionner votre activité, chiffrer vos données ou ouvrir une porte dérobée à des pirates pendant des mois sans déclencher la moindre alarme.

Pourquoi votre PME est une cible crédible

On pourrait croire que ce genre d'attaque sophistiquée ne vise que les grandes entreprises ou les infrastructures critiques. C'est faux. Les PME françaises sont aujourd'hui des cibles privilégiées pour deux raisons simples : elles ont des données de valeur (fichiers clients, comptabilité, brevets, accès bancaires) et elles disposent de moins de ressources pour se défendre. Un attaquant qui exploite une faille Secure Boot sur un poste de comptable ou de dirigeant peut accéder à l'intégralité des informations sensibles de l'entreprise, sans qu'aucun outil de sécurité classique ne le détecte. Le coût médian d'une cyberattaque pour une PME en France dépasse désormais 50 000 euros — sans compter l'impact sur la réputation et la continuité d'activité. Ignorer la sécurité firmware Windows n'est plus une option.

Ce que vous pouvez faire dès maintenant

1. Mettez à jour le firmware UEFI de tous vos postes. Rendez-vous sur le site du fabricant de vos ordinateurs (Dell, HP, Lenovo, Asus, etc.), recherchez votre modèle et téléchargez la dernière mise à jour UEFI disponible. Cette opération prend moins de 15 minutes par poste et corrige souvent plusieurs vulnérabilités d'un coup. Si vous avez un prestataire informatique, demandez-lui explicitement de vérifier et mettre à jour les firmwares de votre parc.

2. Vérifiez que Secure Boot est bien activé. Dans les paramètres UEFI de chaque PC (accessibles en appuyant sur F2, F12 ou Suppr au démarrage selon les marques), confirmez que Secure Boot est en statut « Enabled ». Un poste avec Secure Boot désactivé est encore plus vulnérable.

3. Demandez à votre prestataire de vérifier la base DBX. La liste noire des signatures révoquées (DBX) doit être à jour sur chaque machine. Microsoft publie des mises à jour de cette base via Windows Update : assurez-vous que vos postes reçoivent bien toutes les mises à jour Windows, sans exception ni report.

4. Inventoriez votre parc informatique. Vous ne pouvez pas protéger ce que vous ne connaissez pas. Dressez la liste de tous vos postes (modèle, fabricant, date d'achat) pour identifier ceux qui n'ont pas reçu de mise à jour UEFI récente ou dont le matériel est trop ancien pour être correctement supporté.

5. Sensibilisez vos équipes et votre prestataire. Partagez cet article avec votre responsable informatique ou votre prestataire externe. Posez-leur directement la question : « Nos firmwares sont-ils à jour et notre politique de démarrage sécurisé est-elle vérifiée ? » Une PME bien informée est déjà une PME mieux protégée. La sécurité UEFI PME n'est plus un sujet réservé aux experts — c'est une responsabilité de dirigeant.