Un bug logiciel dans le système de contrôle interne de CrowdStrike a causé une mise à jour logicielle défectueuse qui a planté des ordinateurs dans le monde entier la semaine dernière, a déclaré la société américaine mercredi. Cette panne a perturbé divers secteurs, des services de l’aviation aux services bancaires, et les pertes continuent d’augmenter.
L’étendue des dommages causés par cette mise à jour bâclée est encore en cours d’évaluation. Samedi, Microsoft a annoncé qu’environ 8,5 millions d’appareils Windows avaient été affectés. Le Comité de la sécurité intérieure de la Chambre des représentants des États-Unis a envoyé une lettre au PDG de CrowdStrike, George Kurtz, pour lui demander de témoigner.
Des pertes financières colossales
Le coût financier de cette panne a commencé à se préciser mercredi. L’assureur Parametric a estimé que les entreprises du Fortune 500 aux États-Unis, à l’exception de Microsoft, subiront des pertes de 5,4 milliards de dollars en conséquence. Le ministre malaisien du numérique a également demandé à CrowdStrike et Microsoft d’envisager des compensations pour les entreprises touchées.
La panne s’est produite à cause de Falcon, une plate-forme avancée de CrowdStrike conçue pour protéger les systèmes contre les logiciels malveillants et les pirates informatiques. Cette plate-forme contenait une faille qui a entraîné un bug magistral des ordinateurs utilisant le système d’exploitation Windows de Microsoft et à afficher « l’écran bleu de la mort ».
« En raison d’un bug dans le validateur de contenu, l’une des deux instances de modèle a passé la validation malgré le fait qu’elle contienne des données de contenu problématiques », a déclaré CrowdStrike dans un communiqué, en faisant référence à l’échec d’un mécanisme interne de contrôle de la qualité.
Une réaction molle et critiquée de la part de Microsoft
Il n’y a aucun signe que Microsoft envisage de limiter l’accès de CrowdStrike au système d’exploitation Windows suite à cette panne, selon une source interne chez Microsoft selon Reuters. CrowdStrike n’a pas précisé quelles étaient ces données de contenu ni pourquoi elles étaient problématiques.
Une « instance modèle » est en effet un ensemble d’instructions qui guident le logiciel sur les menaces à rechercher et sur la manière de réagir. CrowdStrike a indiqué avoir ajouté un « nouveau contrôle » à son processus de contrôle de la qualité pour éviter que ce problème ne se reproduise.
CrowdStrike a publié des instructions pour réparer les systèmes affectés la semaine dernière. Cependant, les experts ont averti que remettre les systèmes en ligne prendrait du temps car il fallait éliminer manuellement le code défectueux.
La déclaration de mercredi était conforme à l’évaluation des experts en cybersécurité selon laquelle un dysfonctionnement s’est produit dans le processus de contrôle de la qualité de CrowdStrike. L’incident a également soulevé des préoccupations parmi les experts concernant la préparation de nombreuses organisations à mettre en œuvre des plans d’urgence lorsque survient une panne de système informatique ou de logiciel.
Ce qui est inquiétant c’est la dépendance au produit, qui s’il rencontre une défectuosité à quelque niveau que ce soit, entraîne des pertes financières colossales pour ses utilisateurs.
Et certains utilisateurs risquent de ne pas s’en remettre sur le plus ou moins long terme.