Une photo peut-elle contenir un virus ?

Une photo peut-elle, à elle seule, infecter un appareil ? La question revient sans cesse dès qu’un mail suspect ou une pièce jointe intrigante atterrit dans une boîte de réception. La réponse tient en une nuance essentielle : un fichier image classique ne s’exécute pas comme un programme, mais le contexte dans lequel il circule peut, lui, cacher un piège. Entre fichier déguisé, faille logicielle et stéganographie, les mécanismes réels sont précis et documentés. Cet article détaille où se situe le vrai danger, comment le repérer et quelles habitudes adopter pour ouvrir, partager et stocker des images JPEG, PNG ou HEIC sans prendre de risque inutile.

Une photo peut-elle contenir un virus : ce que cela veut dire vraiment

Techniquement, une photo au format JPEG, PNG, BMP ou TIFF est un fichier de données. Elle contient des informations sur les pixels, la couleur, la compression et parfois des métadonnées EXIF, mais aucune instruction destinée à être exécutée par le processeur. Contrairement à un fichier .exe ou à une macro intégrée dans un document Office, une image « ne fait rien » toute seule : elle est lue, décodée puis affichée par une visionneuse d’images ou une application dédiée.

Cette distinction change tout dans l’analyse du risque. Dire qu’« une photo contient un virus » relève souvent d’un raccourci, alors que la réalité technique est plus fine : soit le fichier n’est pas réellement une image malgré son apparence, soit le logiciel qui l’ouvre présente une vulnérabilité exploitable, soit l’image sert de simple support de transport pour des données cachées qui ne s’activeront que si un autre programme malveillant est déjà présent sur l’appareil.

Le mythe du « virus dans les pixels »

L’idée d’un virus qui se propagerait directement via les pixels d’une image a été popularisée en 2002 avec Perrun, un concept expérimental présenté comme un « virus dans une image ». Il n’a jamais constitué une menace réelle diffusée à grande échelle, car son fonctionnement dépendait d’un cheval de Troie déjà installé sur la machine, chargé d’intercepter l’ouverture des images, d’extraire un code caché et de l’exécuter, avant de laisser l’image s’afficher normalement. Sans ce complice logiciel, l’image seule restait totalement inoffensive.

Ce cas fondateur illustre une règle qui reste valable aujourd’hui : une image ne devient dangereuse que si un autre élément logiciel intervient pour interpréter son contenu de façon anormale. Les scénarios d’attaque les plus courants confirment ce principe, qu’il s’agisse d’un fichier déguisé, d’un exploit logiciel ou de la stéganographie.

Les scénarios d’attaque les plus courants : fichier déguisé, exploit, stéganographie

Trois mécanismes distincts expliquent l’essentiel des cas où une « photo » a servi de vecteur d’attaque. Chacun a ses spécificités, son degré de dangerosité et ses signaux d’alerte propres.

La double extension : le piège le plus fréquent

Le scénario le plus répandu ne concerne pas une véritable image, mais un fichier exécutable déguisé grâce à une double extension. Des noms comme photo-vacances.jpg.exe, paysage.png.scr ou IMG_2024.jpg.com illustrent cette technique. Sur Windows, l’affichage des extensions de fichiers est masqué par défaut dans de nombreuses configurations, ce qui fait apparaître photo-vacances.jpg.exe comme un simple photo-vacances.jpg. L’utilisateur pense double-cliquer sur une image, alors qu’il lance en réalité un exécutable ou un script capable de déployer un malware, voire un ransomware.

L’exploit logiciel : quand la faille est dans la visionneuse

Deuxième scénario : une image véritablement conforme à son format, mais spécialement conçue pour exploiter une vulnérabilité dans le logiciel qui l’ouvre. En 2004, une faille dans Windows a permis, via une image JPEG malveillante, d’exécuter du code arbitraire par un mécanisme de débordement de mémoire. En avril 2007, des éditeurs d’antivirus ont signalé des failles similaires dans Paint Shop Pro et Photoshop, avec un risque d’infection via une image au format PNG déclenché par un bug logiciel, sans nécessiter de cheval de Troie préalable. Dans ces cas, des données de l’image sortent de leur zone mémoire prévue et sont interprétées comme du code exécutable par l’application vulnérable.

La stéganographie : cacher sans forcément infecter

La stéganographie consiste à dissimuler des données, parfois des instructions malveillantes, dans les données mêmes d’une image, sans différence visuelle perceptible à l’œil nu. Un cas documenté concerne une variante du malware bancaire ZeusVM, qui utilisait une image JPEG apparemment anodine contenant une liste de sites bancaires à cibler, extraite ensuite par le malware déjà présent sur la machine infectée. Point essentiel : dans ce type de scénario, l’image ne déclenche pas l’infection à elle seule. Un malware doit déjà être installé pour télécharger l’image et en extraire le contenu caché. Les attaquants utilisent surtout la stéganographie pour établir une communication discrète avec des logiciels malveillants déjà présents, pour des communications secrètes ou du cyberespionnage, plutôt que comme porte d’entrée initiale.

Reste une question pratique : comment savoir, concrètement, si un fichier reçu ou téléchargé appartient à l’un de ces scénarios à risque plutôt qu’à une simple image inoffensive.

Comment savoir si un fichier contient un virus

Face à un fichier suspect, quelques vérifications simples permettent de lever le doute avant même de l’ouvrir. Aucune méthode n’est infaillible à 100 %, mais leur combinaison réduit fortement le risque.

Vérifier l’extension et le type réel du fichier

La première étape consiste à activer l’affichage des extensions de fichiers sous Windows, souvent désactivé par défaut. Cette simple manipulation révèle immédiatement les doubles extensions suspectes. Il faut ensuite se méfier de toute icône qui ne correspond pas au type de fichier annoncé, et vérifier le type MIME réel plutôt que de se fier au nom affiché. Des outils système ou des propriétés de fichier permettent de confirmer si un document est réellement une image JPEG, PNG ou HEIC, ou s’il s’agit d’un exécutable renommé.

Passer par un antivirus et des outils multi-moteurs

Un antivirus à jour reste la ligne de défense de base. Les services d’analyse multi-moteurs, qui soumettent un fichier à plusieurs dizaines de moteurs antivirus simultanément, offrent une vision plus large qu’un seul logiciel installé localement. Cette approche est particulièrement utile pour les fichiers reçus par mail ou téléchargés depuis des sources peu connues.

Ouvrir en environnement isolé et surveiller les comportements

Pour les fichiers dont l’origine reste incertaine, ouvrir le document dans une sandbox, c’est-à-dire un environnement isolé du système principal, permet d’observer son comportement sans risque pour l’appareil. Un fichier légitime s’ouvre, s’affiche, et rien de plus. Un fichier piégé peut tenter de créer des connexions réseau inattendues, de modifier des fichiers système ou de lancer d’autres processus. Ces signaux, visibles via le gestionnaire des tâches ou un pare-feu correctement configuré, constituent des indices concrets d’infection en cours.

Les limites des scanners de sécurité

Il faut rester lucide sur les limites de ces outils. Lors d’une campagne d’attaque utilisant des fichiers SVG piégés, aucun antivirus ne détectait initialement ces menaces ; ce n’est que par la suite que les antivirus modernes ont intégré leur détection. Cette temporalité rappelle qu’un scan négatif ne garantit jamais une innocuité absolue, en particulier face à des menaces récentes ou peu répandues. Ce constat vaut aussi pour d’autres formats de fichiers couramment échangés, comme les pièces jointes PDF, dont le niveau de risque diffère sensiblement de celui d’une simple image.

Pièces jointes PDF : le risque est-il le même que pour une photo

Contrairement à une image JPEG ou PNG, un fichier PDF n’est pas un simple conteneur de données statiques. Le format autorise l’intégration de scripts, de formulaires interactifs, de liens automatiques et d’éléments embarqués, ce qui élargit considérablement la surface d’attaque possible.

Pourquoi le PDF est structurellement plus exposé

Un PDF peut contenir du JavaScript exécuté à l’ouverture, des formulaires qui envoient des données à un serveur distant, ou exploiter des vulnérabilités du lecteur PDF lui-même, de façon comparable aux exploits touchant les visionneuses d’images mais avec davantage de fonctionnalités actives disponibles. Cette richesse fonctionnelle, utile pour des usages légitimes comme les formulaires administratifs, devient un vecteur d’attaque quand le fichier est conçu pour du phishing ou pour déclencher un exploit visant une faille non corrigée du lecteur.

Les contextes qui augmentent le danger

Le risque varie fortement selon le contexte d’obtention du fichier :

• PDF reçu en pièce jointe d’un mail non sollicité, surtout avec un objet urgent ou alarmant typique du phishing ;
• PDF téléchargé depuis un site non officiel ou un lien raccourci masquant la destination réelle ;
• PDF demandant l’activation de macros ou de contenu actif à l’ouverture, un signal d’alerte classique ;
• PDF partagé via une messagerie par un contact dont le compte pourrait être compromis.

Dans ces situations, la prudence recommande de vérifier l’expéditeur, d’éviter d’activer tout contenu actif proposé par le lecteur, et de privilégier une ouverture dans un lecteur PDF à jour, voire dans un navigateur qui isole davantage l’exécution. Ce niveau de vigilance, plus élevé que pour une simple image, doit aussi guider la façon de préparer et de sécuriser ses propres photos avant de les envoyer ou de les publier.

Comment sécuriser une photo avant de l’envoyer ou de la publier

Au-delà de la détection des menaces reçues, sécuriser ses propres images avant diffusion limite les risques pour soi-même et pour les destinataires.

Nettoyer les métadonnées sensibles

Les métadonnées EXIF intégrées à une photo JPEG ou HEIC peuvent contenir la géolocalisation précise du lieu de prise de vue, le modèle d’appareil ou de smartphone utilisé, ainsi que la date et l’heure exactes. Publier une image sans nettoyer ces données revient parfois à révéler involontairement son domicile ou ses habitudes de déplacement. La plupart des systèmes d’exploitation récents, sur Android comme sur iOS, proposent désormais une option de suppression des métadonnées avant partage, généralement accessible depuis les paramètres de partage natifs.

Réencoder l’image pour neutraliser les contenus anormaux

Réexporter une image via un logiciel de traitement d’image, en la reconvertissant dans son propre format, a pour effet de reconstruire entièrement les données de pixels. Cette opération élimine potentiellement des contenus cachés par stéganographie ou des structures de fichier anormales qui ne correspondraient pas à un JPEG, PNG ou HEIC standard. Ce n’est pas une garantie absolue contre un exploit visant une faille précise, mais cela neutralise une partie des techniques de dissimulation de données.

Choisir des formats et applications fiables

Le format SVG constitue un cas particulier à traiter avec prudence. Contrairement aux JPEG, GIF ou PNG classiques, un fichier SVG peut contenir du code actif, y compris du contenu malveillant, car ce format vectoriel repose sur une structure de type texte proche du langage web. Un utilisateur normal ne peut pas distinguer visuellement un SVG piégé d’un fichier inoffensif sans analyse technique poussée. Une campagne documentée a exploité ce format pour afficher de fausses pages imitant des sites officiels, entraînant un téléchargement automatique de malware ; plus de 500 images infectées auraient été repérées, dans une campagne ciblant initialement le gouvernement colombien. Ce précédent invite à se méfier particulièrement des fichiers SVG reçus de sources non vérifiées, et à privilégier les formats d’image classiques pour les échanges courants.

Mettre à jour les logiciels de visualisation

Les failles de type débordement de mémoire, comme celles identifiées en 2004 et en 2007, ont toutes été corrigées par des mises à jour logicielles. Maintenir à jour son système d’exploitation, sa visionneuse d’images et ses applications de retouche photo reste la protection la plus directe contre l’exploitation de vulnérabilités connues.

Ces bonnes pratiques individuelles gagnent en efficacité lorsqu’elles s’intègrent dans une routine quotidienne cohérente, applicable à chaque fichier reçu ou envoyé.

Checklist anti-infection au quotidien : ouvrir, stocker, partager sans se faire piéger

Adopter quelques réflexes systématiques réduit considérablement l’exposition aux risques, sans nécessiter de compétences techniques poussées.

Avant l’ouverture

• Activer l’affichage des extensions de fichiers sous Windows pour repérer immédiatement les doubles extensions suspectes ;
• Vérifier la provenance du fichier : expéditeur connu, site officiel, source vérifiée ;
• Se méfier des archives compressées inconnues jointes à un mail, souvent utilisées pour dissimuler des exécutables ;
• Désactiver l’exécution automatique des supports amovibles et des fichiers téléchargés.

Pendant le stockage et l’usage courant

• Maintenir l’antivirus et le système d’exploitation à jour en permanence ;
• Scanner régulièrement l’ensemble de l’appareil, pas uniquement les fichiers téléchargés récemment ;
• Mettre en place des sauvegardes régulières et déconnectées pour se protéger contre un ransomware, y compris en cas d’infection avérée.
  • 
    iStorage datAshur Personal2 8 GB - Clé USB sécurisée - Protégé par mot de passe - Portable - Cryptage matériel de qualité militaire

    Clé USB cryptée par code PIN et facile à utiliser - Solution parfaite pour protéger vos actifs numériques. Il suffit d'entrer un code PIN de 7 à 15 chiffres pour s'authentifier et l'utiliser comme une clé USB normale. Lorsque le disque est déconnecté, toutes les données sont chiffrées à l'aide d'un cryptage matériel AES-XTS 256 bits (aucun logiciel requis). Sans le code PIN, il n'y a pas moyen d'entrer ! Toutes les données transférées sur le disque sont cryptées en temps réel et sont protégées contre tout accès non autorisé, même en cas de perte ou de vol de l'appareil ! Le datAshur Personal2 vous aide à garantir la conformité aux réglementations en matière de données telles que RGPD, CCPA, HIPAA. Le datAshur Personal2 fonctionnera sur n'importe quel appareil doté d'un port USB, aucun logiciel n'est requis. Compatible avec : MS Windows, macOS, Linux, Chrome, Android, clients légers, clients zéro, systèmes embarqués, Citrix et VMware Transférez vos fichiers en quelques secondes Vitesses de transfert de données USB 3.2 rétrocompatibles ultra-rapides. Vitesses de lecture jusqu'à 169 Mo/s Vitesses d'écriture jusqu'à 135 Mo/s.
    74,10 €
  • 
    Kingston Ironkey Locker+ 50 G2 Clé USB cryptée 32 Go | FIPS 197 | Protection AES-XTS | Sécurité Multi-Mots de Passe | USB 3.2 Gen 1 | IKLP50G2/32 Go

    Chiffrement matériel XTS-AES 256 bits Certifié FIPS 197 Option de mot de passe multiple (administrateur et utilisateur) avec modes complexes/mots de passe Jusqu'à 145 Mo/s de lecture, 115 Mo/s d'écriture
    59,92 €

    47,71 €

    -20%
  • 
    SanDisk Ultra Flair 128 Go Flash Drive (Clé USB, des vitesses allant jusqu'à 150 Mo/s, USB 3.0, Protection par mot de passe, Un boîtier en métal élégant et resistant) Argent/Noir

    Des performances USB 3.0 et des vitesses élevées atteignant 150 Mo/s. Transférez un film entier en moins de 30 secondes. Transférez sur la clé jusqu'à 15 fois plus vite qu'avec une clé USB 2.0 standard. Un boîtier en métal élégant et resistant. Une protection par mot de passe simple d'emploi pour vos fichiers personnels, garantie de 5 ans.
    34,99 €

    23,99 €

    -31%

En cas de doute persistant

Face à un fichier dont l’origine ou le comportement paraît anormal, la prudence recommande de ne pas l’ouvrir directement, de le soumettre à une analyse multi-moteurs, et si possible de le tester dans un environnement isolé avant toute ouverture sur l’appareil principal. Ces habitudes simples, appliquées systématiquement, couvrent l’essentiel des scénarios de risque évoqués tout au long de cet article, qu’il s’agisse d’une image, d’un PDF ou de tout autre fichier reçu par mail ou messagerie.

FAQ

Est-il dangereux d’ouvrir une pièce jointe en PDF ?

Cela dépend du contexte. Un PDF peut contenir des scripts actifs, des formulaires ou exploiter une faille du lecteur, ce qui le rend potentiellement plus risqué qu’une simple image. La prudence s’impose surtout avec des expéditeurs inconnus ou des demandes d’activation de contenu actif.

Comment savoir si c’est un virus ou pas ?

Vérifiez l’extension réelle du fichier avec l’affichage des extensions activé, méfiez-vous des doubles extensions, et faites analyser le fichier par un antivirus à jour ou un outil multi-moteurs avant toute ouverture.

Comment puis-je sécuriser une photo ?

Supprimez les métadonnées EXIF sensibles avant partage, réexportez l’image via un logiciel fiable, évitez les formats atypiques comme le SVG issus de sources douteuses, et maintenez vos applications de visualisation à jour.

Comment savoir si un fichier contient un virus ?

Combinez plusieurs vérifications : type de fichier réel, analyse antivirus, test en environnement isolé, et surveillance de tout comportement anormal après ouverture, comme des connexions réseau inattendues.

Une image JPEG, PNG ou HEIC classique reste, par nature, un fichier de données inoffensif. Le danger véritable vient du déguisement, de la faille logicielle ou du malware déjà présent sur l’appareil. Adopter les bons réflexes de vérification suffit, dans l’immense majorité des cas, à ouvrir et partager ses photos sans crainte.