Un PDF peut-il contenir un virus ?

Oui, un PDF peut contenir un virus ou un autre contenu malveillant. Un PDF peut renfermer du JavaScript, des fichiers intégrés, des liens vers des pages d'hameçonnage et du code conçu pour exploiter des failles des lecteurs PDF. Ouvrir un PDF dans le lecteur d'un navigateur à jour comme Chrome, Edge ou Firefox présente peu de risques, car ces lecteurs sont isolés dans un bac à sable et n'exécutent pas la plupart des scripts PDF. Les lecteurs de bureau anciens ou non mis à jour présentent plus de risques.

Un fichier PDF peut-il contenir un virus ?

Un PDF ressemble à une page figée, mais le format peut contenir bien plus que du texte et des images. Cette capacité supplémentaire est ce qu'exploitent les attaquants. Voici les principales façons dont un PDF peut être nuisible :

• JavaScript intégré. Le format PDF prend en charge des scripts pour des tâches comme les calculs de formulaires. Un fichier malveillant peut s'en servir pour tenter de lancer des actions à l'ouverture.
• Fichiers intégrés ou joints. Un PDF peut transporter d'autres fichiers, y compris des programmes ou des documents contenant des macros. Le PDF lui-même n'est que l'enveloppe.
• Liens vers des sites d'hameçonnage. L'astuce la plus courante est aussi la plus simple : un PDF qui ressemble à une facture ou à un document partagé, avec un bouton qui mène à une fausse page de connexion.
• Exploitation de failles du lecteur. Certains fichiers sont conçus pour déclencher un bug dans un lecteur PDF particulier, de sorte que l'ouverture du fichier exécute du code sur votre ordinateur. Cela ne fonctionne que contre des lecteurs qui n'ont pas reçu les correctifs.

Le risque dépend donc beaucoup de deux choses : quel logiciel ouvre le fichier, et sur quoi vous cliquez une fois qu'il est ouvert.

Peut-on attraper un virus en ouvrant un PDF ?

C'est possible, mais bien moins probable qu'avant si vos logiciels sont à jour. Les navigateurs modernes ouvrent les PDF dans leurs propres lecteurs intégrés. Ces lecteurs s'exécutent dans le bac à sable du navigateur, qui limite ce qu'un fichier peut atteindre sur votre ordinateur, et ils ignorent la plupart des actions JavaScript qu'un PDF malveillant pourrait contenir.

Les lecteurs de bureau varient davantage. Un lecteur entièrement à jour est raisonnablement sûr. Un lecteur qui n'a pas été mis à jour depuis des années peut avoir des failles connues que les attaquants peuvent encore exploiter. Il en va de même pour un ancien téléphone ou une ancienne tablette qui ne reçoit plus de mises à jour.

En pratique, la plupart des attaques par PDF n'ont pas besoin d'exploit technique. Elles comptent sur le fait que vous cliquiez sur un lien, saisissiez un mot de passe ou ouvriez un fichier vers lequel le PDF pointe. Ouvrir le document est rarement l'étape qui fait les dégâts. Ce que vous faites ensuite, souvent.

Comment savoir si un PDF est malveillant

Il n'existe pas de signe unique, mais certains schémas sont assez courants pour être traités comme des alertes :

• Vous ne l'attendiez pas, ou il vient de quelqu'un que vous ne connaissez pas.
• Le message est urgent : une facture impayée, un compte verrouillé, un colis dont vous ne vous souvenez pas.
• Le PDF est presque vide, à part un gros bouton qui vous demande de cliquer pour voir le vrai document.
• Votre lecteur affiche une invite vous demandant d'autoriser des scripts, d'activer la modification ou d'ouvrir un fichier joint.
• Un lien mène à une page de connexion qui demande votre adresse e-mail ou le mot de passe de votre banque.
• Le nom du fichier se termine par quelque chose comme « .pdf.exe », ou le « PDF » se révèle être dans un ZIP avec d'autres fichiers.

Si le message d'un expéditeur connu vous paraît étrange, vérifiez auprès de lui par un autre moyen avant d'ouvrir quoi que ce soit. Les comptes se font pirater, et l'adresse d'un vrai contact ne garantit pas une pièce jointe sûre.

Comment ouvrir un PDF en toute sécurité

Quelques habitudes couvrent l'essentiel du risque :

1. Gardez à jour votre navigateur, votre lecteur PDF et votre système d'exploitation. Les correctifs referment les failles dont dépendent les exploits de lecteurs.
2. Ouvrez les PDF inattendus dans le lecteur de votre navigateur plutôt que dans un lecteur de bureau, surtout si vous ne connaissez pas l'expéditeur.
3. N'acceptez pas les invites qui demandent d'activer des scripts, la modification ou des macros, et n'ouvrez pas les fichiers intégrés dans un PDF.
4. Ne saisissez jamais de mot de passe sur une page vers laquelle un PDF vous envoie. Rendez-vous directement sur le site en tapant son adresse.
5. Analysez le fichier avec votre antivirus avant de l'ouvrir. Sous Windows, Sécurité Windows (Microsoft Defender) est intégré : faites un clic droit sur le fichier et choisissez l'option d'analyse.
6. Dans le doute, supprimez-le et demandez à l'expéditeur de confirmer.

Les outils PDF en ligne sont-ils sûrs ?

C'est une question distincte de celle des virus, et elle concerne la confidentialité. De nombreux outils PDF en ligne envoient votre fichier à un serveur, le traitent là-bas et vous le renvoient. C'est généralement acceptable pour un menu ou une brochure. C'est moins confortable pour un relevé bancaire, un contrat ou un scan de pièce d'identité.

Les outils PDF de ConvertorLab traitent les fichiers dans votre navigateur : le fichier ne quitte jamais votre appareil. C'est un choix raisonnable pour des documents sensibles. Si vous voulez partager un document sans transmettre quoi que ce soit de caché à l'intérieur, convertir les pages en images avec PDF en JPG ne conserve que ce qui est visible sur chaque page. Pour les fichiers que vous envoyez à d'autres, Protéger PDF ajoute un mot de passe avec le chiffrement AES-256.

Le traitement dans le navigateur ne rend pas un fichier dangereux inoffensif. Il signifie simplement que vous ne confiez pas vos documents à un tiers. Le guide sur la confidentialité des fichiers dans le navigateur explique comment fonctionne le traitement local.

Que faire si vous avez ouvert un PDF suspect

Pas de panique. Ouvrir un PDF dans un navigateur à jour cause rarement des dégâts à lui seul. Suivez ces étapes :

1. Fermez le fichier, et ne cliquez plus sur rien dedans.
2. Si vous avez saisi un mot de passe sur une page vers laquelle il renvoyait, changez-le immédiatement, en commençant par votre compte e-mail. Activez la validation en deux étapes si elle ne l'est pas déjà.
3. Lancez une analyse complète avec votre antivirus.
4. Vérifiez que votre navigateur et votre lecteur PDF sont à jour, et installez les mises à jour système en attente.
5. S'il s'agissait d'un appareil professionnel, prévenez votre équipe informatique. Elle a peut-être vu le même e-mail ailleurs.

Pour d'autres habitudes quotidiennes de manipulation des documents, consultez le guide du circuit de fichiers sûr.

Questions fréquentes