Fin de vie de Windows 7 : quels risques de sécurité et ce que vous devez faire maintenant

Windows 7 est en fin de vie et n’est plus supporté par Microsoft. Cela signifie que les entreprises et les utilisateurs grand public dont les PC fonctionnent sous Windows 7 – qui a été introduit en 2009 – ne recevront plus d’assistance technique, de correctifs logiciels et de mises à jour de sécurité de la part de Microsoft, à moins qu’ils ne veuillent payer un supplément.

Microsoft a exhorté ceux qui utilisent encore Windows 7 à passer à Windows 10 pour continuer à bénéficier de l’assistance technique. Mais malgré ces avertissements qui se sont échelonnés sur plusieurs années, on estime que 200 millions d’utilisateurs de PC utilisent encore Windows 7.

En bref, si une nouvelle vulnérabilité de sécurité ou un bug logiciel est découvert dans Windows 7, Microsoft n’est plus obligé de publier un correctif pour résoudre le problème sur le système d’exploitation. Et c’est une situation qui pourrait mettre en danger les individus et les organisations qui dépendent encore de Windows 7 face aux cyberattaques, aux piratages et aux logiciels malveillants.

Avertissement des autorités

Le risque potentiel est tel que le Centre national de cybersécurité du Royaume-Uni (National Cyber Security Centre – NCSC) – la branche cybernétique du service de renseignement du GCHQ – a émis un avertissement concernant l’utilisation des PC sous Windows 7, disant aux utilisateurs qu’ils ne devraient pas utiliser les appareils Windows 7 lorsqu’ils accèdent à des données personnelles.

“Le NCSC encourage à mettre à niveau les appareils fonctionnant actuellement sous Windows 7, ce qui leur permet de continuer à recevoir des mises à jour logicielles qui les aident à protéger leurs appareils” a déclaré un porte-parole du NCSC à ZDNet.

“Nous demandons instamment à ceux qui utilisent le logiciel après la date limite de remplacer les appareils non pris en charge dès que possible, de déplacer les données sensibles vers un appareil pris en charge et de ne pas les utiliser pour des tâches telles que l’accès à des comptes bancaires et autres comptes sensibles. Ils devraient aussi envisager d’accéder à leurs e-mails depuis un autre appareil.”

Le risque WannaCry

Les personnes qui n’ont pas passé à Windows 10 seront inévitablement confrontées à des risques de sécurité si elles restent sous Windows 7, mais pour les organisations qui continuent à utiliser Windows 7, les risques potentiels sont beaucoup plus importants.

Les entreprises détiennent des données sur de nombreuses personnes et il n’est pas exclu que des attaquants exploitent les nouvelles vulnérabilités découvertes dans Windows 7 pour infiltrer les réseaux par le biais d’attaques de phishing ou de logiciels malveillants et accéder à ces données.

L’attaque mondiale de WannaCry de mai 2017 a démontré aux pirates informatiques à quel point les machines vulnérables qui n’ont pas reçu de mises à jour de sécurité peuvent être vulnérables.

Ajouté à celui de BlueKeep

Puis l’année dernière, les chercheurs ont détaillé la faille BlueKeep, une vulnérabilité de Windows qui pourrait avoir un impact similaire. Par conséquent, en continuant à utiliser un système d’exploitation non pris en charge, les entreprises se mettent inutilement en danger en raison d’attaques majeures qui exploitent toute nouvelle vulnérabilité de Windows 7.

“En mai, nous avons pris connaissance de la vulnérabilité BlueKeep qui, si elle est exploitée, pourrait permettre à un attaquant distant non authentifié de se connecter à un serveur Windows via le protocole RDP (Remote Desktop Protocol) et d’exécuter du code sur le serveur distant. Windows 7 et XP sont toujours sous le risque de cet exploit” a déclaré Sivan Nir, chef de l’équipe de renseignement sur les menaces chez Skybox Security.

“Bien que certaines vulnérabilités aient des alternatives de mitigation, comme l’application d’une signature basée sur IPS, ce ne sera pas le cas pour la majorité des vulnérabilités. Les utilisateurs de Windows XP sont actuellement des cibles faciles. A présent, les utilisateurs de Windows 7 vont les rejoindre” a-t-elle ajouté.

Bien faire le tour du réseau

Et même pour les organisations qui ont poussé à la mise à niveau de leur environnement PC de Windows 7 à Windows 10, il existe un risque que quelques périphériques Windows 7 se cachent sur le réseau. Ce pourrait être une bonne idée pour les organisations qui ont mis à niveau leur architecture de vérifier que rien ne manque.

Le fait est que “si vous ne pouvez pas le mesurer, vous ne pouvez pas le gérer”. En d’autres termes, si vous ne vérifiez pas régulièrement votre propre réseau pour voir ce qui s’y trouve, vous ne pourrez jamais dire avec certitude ce qui n’y est pas” explique Paul Ducklin, chercheur principal en sécurité chez Sophos.

Des appareils allant des ordinateurs portables que les utilisateurs ont apportés de chez eux aux appareils d’affichage pourraient fonctionner sous Windows 7 et pourraient ne pas avoir été pris en compte lors des premiers examens du réseau.

Quid de la question du coût ?

Les entreprises doivent s’assurer qu’elles savent réellement ce qui se trouve sur leurs réseaux – car avec la non-prise en charge de Windows 7, les pirates chercheront tout périphérique non pris en charge et non patché dont ils peuvent tirer parti comme point d’entrée dans le réseau.

“Si vous ne faites pas l’inventaire de votre réseau en le scannant et en le mesurant pour voir combien de Windows 7 vous avez réellement, les chances sont fortes que les pirates le feront à votre place” dit Paul Ducklin.

Bien que Windows 7 arrive en fin de vie, certaines organisations résistent encore à la mise à niveau, invoquant souvent le fait que le changement sera complexe ou coûteux. Cependant, en choisissant d’utiliser une version non supportée de Windows 7, il se peut que ce ne soit qu’une question de temps avant qu’une organisation ne se retrouve victime de cyberattaquants cherchant à cibler le système d’exploitation vieux de dix ans.

“En fin de compte, ces organisations ont besoin de se mettre à niveau et le plus tôt sera le mieux. Les cyberattaques ne vont pas disparaître du jour au lendemain ; les équipes de sécurité devraient s’efforcer de protéger les réseaux de leurs organisations. Si elles ne mettent pas à jour rapidement, alors le pire scénario pourrait être une autre attaque de type WannaCry” explique Sivan Nir.

“Même si les entreprises sont réticentes à acheter des versions plus récentes de Windows, il est dangereux de se priver de mises à jour de sécurité, et le risque de dommages financiers et de réputation est énorme. Pour ceux qui n’ont pas de plan clair pour s’éloigner de Windows 7, il est temps d’en créer un”.

Pour aller plus loin

Comment gérer la fin de Windows 7, le dossier