Panne informatique mondiale : combien de temps pourraient durer les conséquences du bug provoqué par CrowdStrike ?

Après le séisme, l'estimation des dégâts. Le bug informatique qui a provoqué des pannes dans des milliers de systèmes informatiques à travers le monde, vendredi 19 juillet, à cause d'un programme défectueux publié par le géant de la cybersécurité CrowdStrike, est en voie de réparation. La plupart des aéroports touchés annoncent être bientôt revenus à la normale, et l'entreprise a publié un communiqué décrivant la cause technique du bug et la marche à suivre pour rétablir les systèmes encore en panne.

Mais même avec ces informations, certaines conséquences pourraient se faire ressentir durant plusieurs jours, voire semaines. "La résolution du problème pourrait prendre un certain temps", a convenu le dirigeant de CrowdStrike, Georges Kurtz, sur la chaîne américaine CNBC. Parmi les causes, les ressources humaines nécessaires pour raccorder toutes les machines au réseau – en particulier pour les moins grandes entreprises, pour lesquelles le retour complet à la normale pourrait prendre plusieurs jours.

"Identifier toutes les machines touchées peut prendre très longtemps"

Sur certaines machines tombées en panne à cause du programme défectueux de Crowdstrike, la correction du bug doit, en effet, être effectuée manuellement, en accédant physiquement à l'appareil touché. "C'est une opération assez compliquée, qui n'est pas forcément facile à appliquer à grande échelle rapidement", expose à franceinfo Baptiste Robert, chercheur en cybersécurité et fondateur de l'entreprise Predicta Lab. "Cela peut donc prendre du temps, surtout si le nombre de personnes possédant les privilèges administrateurs nécessaires [pour effectuer les manipulations nécessaires] est limité au sein de l'entreprise."

Ces facteurs pourraient concerner davantage les PME, qui disposent d'un parc informatique moins important que celui des multinationales, mais aussi d'équipes plus réduites. "La gestion de la situation est plus facile quand on a une équipe organisée et entraînée à la gestion de crise, des procédures claires…", liste Baptiste Robert. "Il y a peu de PME dans cette situation, donc celles qui sont concernées devront apprendre en marchant, comme souvent."

"Identifier toutes les machines touchées jusqu'à la dernière peut prendre très longtemps", détaille également un expert en cybersécurité interrogé par franceinfo, puisque les machines touchées tombent en panne avant même de se connecter au réseau. Cet enjeu concerne là aussi davantage "les petites structures, dont les configurations ne leur permettent pas forcément d'avoir une vue d'ensemble très précise de leur système informatique", note le même expert – "mais si certaines machines sont laissées en panne des jours entiers, c'est qu'elles ne sont pas indispensables."

Si les grandes entreprises disposent de plus de moyens, elles ne sont pas non plus immédiatement tirées d'affaire. "La mise en place des plans de continuité informatique et de reprise ne se fait pas en quelques minutes, cela demande de la réflexion", explique au Figaro Johan Klein, administrateur systèmes et cloud chez Meritis, "car il faut aussi vérifier qu’aucune donnée n’est endommagée ou perdue dans leurs différents services [affectés]."

Ne pas relâcher sa vigilance

Malgré des conséquences chez certaines entreprises spécifiques, la panne informatique survenue vendredi ne devrait donc pas avoir d'effet de long terme à grande échelle. Jennifer McKeown, analyste de l'entreprise Capital Economics, a déclaré à l'AFP ne "pas [attendre] d'impact majeur sur la macroéconomie ou sur les marchés financiers à ce stade".

Une entreprise risque toutefois de pâtir un moment de cette erreur : CrowdStrike elle-même. "Il s'agit de loin de la pire bourde technique jamais vue pour un éditeur de logiciel", a estimé l'expert en cybersécurité Richard Stiennon, interrogé par l'agence AP. La valorisation boursière de CrowdStrike a déjà chuté de 11% vendredi, et cette erreur pourrait inciter ses consommateurs à se détourner de ses produits, voire l'exposer à des poursuites judiciaires, envisage Baptiste Robert.

Face à une telle erreur de la part d'un géant de la cybersécurité, certaines entreprises pourraient également décider de simplifier leurs processus de protection informatique, au risque de s'exposer à davantage de cyberattaques. "Les dirigeants d'entreprises pourraient se dire 'Ce logiciel nous coûte cher et nous a mis dans la panade, autant faire sans'", redoute Baptiste Robert. "Ça fait déjà des années que le monde de la cybersécurité lutte pour faire valider ce type de logiciels de cybersécurité aux comités exécutifs des entreprises", poursuit-il. "Bien sûr, il ne rapporte rien de lui-même, mais il faut se protéger d'attaques qui pourraient coûter encore plus cher".