# Panne informatique mondiale de juillet 2024

La panne informatique mondiale du 19 juillet 2024 est causée par la mise à jour de Falcon Sensor, un logiciel développé par la société de cybersécurité américaine CrowdStrike. Cette mise à jour défectueuse provoque partout à travers le monde le plantage d'environ 8,5 millions d'ordinateurs et serveurs utilisant le système d'exploitation Microsoft Windows, causant d'importantes perturbations, essentiellement au sein des entreprises. Le cloud de Microsoft est aussi partiellement tombé en panne ce jour-là, mais un peu avant et donc sans rapport avec la mise à jour défectueuse.
Divers secteurs économiques sont affectés tels que les aéroports, les banques, les hôtels, les hôpitaux, la grande distribution, les marchés financiers, la restauration, des services de diffusion gouvernementaux comme les numéros d'appels d'urgence et des sites internet. L'erreur est découverte et corrigée le jour même par Microsoft et CrowdStrike, mais la panne logicielle a eu des répercussions toute la journée, affectant l'organisation des vols des lignes régulières, les paiements électroniques, les services d'urgences, etc.

## Contexte

CrowdStrike produit une suite de logiciels de sécurité (en) pour les entreprises, conçus pour protéger les ordinateurs contre les cyberattaques. Le produit Falcon Sensor installe des services qui ont accès au cœur du système d'exploitation sous Cloud afin d'analyser les flux d'informations et de prévenir les menaces (EDR). Des mises à jour sont régulièrement distribuées par CrowdStrike à ses clients et à leurs ordinateurs pour tenir compte de l'évolution des cyberattaques$^,$.

### Précédents

George Kurtz, directeur de CrowdStrike lors de l'incident, était auparavant directeur technique de McAfee en 2010 lorsque l'éditeur de logiciel a aussi connu une panne majeure.
Des incidents apparentés ont été constatés entre avril 2024 et juin 2024 après des mises à jour de Falcon Sensor sur les distributions Linux de Red Hat, Debian et Rocky où le module est installé au niveau du noyau. Les problèmes auraient révélé l'insuffisance du test de compatibilité pour ces systèmes d’exploitation en amont des mises à jour, bien que l'entreprise ait déclaré prendre en charge certains de ces systèmes$^,$.

## Contexte de la panne

Dans un système d'exploitation, les privilèges sont organisés en niveaux basés sur des anneaux de protection (ou communément nommés « rings » en anglais). L'anneau 0 représente l'espace noyau où les privilèges et les performances sont à leur maximum. Dans son architecture, Microsoft a simplifié les autres niveaux de privilèges de Windows depuis plusieurs années en conservant qu'un seul autre niveau : l'anneau 3, qui correspond à l'espace utilisateur. Ainsi, avec les usages, les pilotes informatiques dans l'espace noyau sont devenus beaucoup plus rares, excepté dans le domaine de la cybersécurité.
En effet, les antivirus et autres logiciels de sécurité surveillent généralement un certain nombre de processus et utilisent souvent un pilote en espace noyau pour obtenir les privilèges nécessaires à cette surveillance. Ce principe s'applique également aux solutions EDR, dont les services de CrowdStrike. La proximité du pilote avec le noyau lui confère des privilèges et des performances accrues, mais en cas de défaillance, c'est le noyau lui-même qui risque d'être affecté, entraînant potentiellement des instabilités du système.
Le 19 juillet, avant la mise à jour défectueuse, la plateforme cloud Azure de Microsoft subit un incident interne qui affecte certaines entreprises et bloque l'accès à leurs applications de stockage et à Microsoft 365 dans le centre des États-Unis. Les deux incidents ne sont pas directement liés et les problèmes engendrés s'additionnent pour les clients des entreprises touchées.
À 4 h 9 (UTC) les machines virtuelles Windows sur Azure commencent à redémarrer et à planter, et à 6 h 48 Google Compute Engine (en) signale également le problème. À 7 h 15, Google identifie que la mise à jour de CrowdStrike est en cause.
L'incident provoque l'apparition de l'écran bleu de la mort sur les machines physiques et virtuelles fonctionnant sous Windows, ce qui empêche l'accès aux applications qui s'y trouvent. En fonction des systèmes touchés, il y a eu un BSOD avec le QR code, ou un écran bleu de récupération indiquant que Windows n'a pas pu démarrer correctement. Le logiciel Falcon Sensor de CrowdStrike, qui possède un pilote en espace noyau, est un agent responsable des fonctionnalités de surveillance. La cybersécurité étant une problématique quotidienne et évolutive, il est alimenté régulièrement par des mises à jour de définitions. Ces fichiers affinent les capacités de détection des logiciels malveillants de l’agent par leurs empreintes numériques. L'entreprise américaine de cybersécurité CrowdStrike déclare, dans les heures qui suivent, qu'elle est à l'origine des dysfonctionnements et qu’il ne s’agit pas d’une cyberattaque. Une mise à jour auprès de ses clients de sa plateforme de cybersécurité CrowdStrike Falcon Sensor est identifiée comme étant la cause du problème$^,$$^,$$^,$. Cette mise à jour peut s'assimiler à celles des signatures virales pour un antivirus$^,$. L'entreprise pousse rapidement un correctif.

## Cause

Dans la journée, des experts spéculent sur la cause de la panne en affirmant que l'agent de détection CrowdStrike récupère le dernier fichier de définition avec un problème de version, et cela entraîne un plantage de ce dernier et le noyau de Windows avec lui$^,$.

### Cloud Microsoft

La panne de la plateforme cloud Azure de Microsoft est due à une configuration réseau défectueuse. Le cloud Microsoft n'utilise pas CrowdStrike, les utilisateurs peuvent l'installer sur leurs machines virtuelles.
Le produit cloud Microsoft 365 a été affecté car il tourne en partie sur la plateforme Azure. Les compagnies aériennes américaines ont été beaucoup plus touchées que les autres compagnies dans le monde. Ces compagnies l’utilisent pour gérer les plannings des vols et les réservations.

## Menaces émergentes

Le Centre national de cybersécurité britannique (en) observe un accroissement des tentatives d'hameçonnage en lien avec l'évènement, tandis que des logiciels malveillants déguisés en mise à jour de CrowdStrike sont signalés$^,$$^,$.

## Conséquences

La panne touche uniquement les ordinateurs, serveurs et machines virtuelles sous Microsoft Windows équipés du logiciel Falcon Sensor et entraîne d'importantes perturbations à travers le monde.

### À l'échelle internationale

À l'échelle internationale, la panne a affecté 8,5 millions de systèmes, soit moins de 1 % des ordinateurs Windows, mais de nombreux ordinateurs affectés assuraient des services essentiels à leur secteur$^,$. D'après Slate, c'est un léger aperçu de ce qui aurait pu se passer avec le passage informatique à l'an 2000.
L’entreprise Cirium, spécialisée en analyse des données de l’aviation, estime que 6 855 vols ont dû être annulés le 19 juillet, soit environ 6,2 % de ceux prévus ce jour-là.

### À l'échelle de l'Europe

Les experts juridiques$^,$ doivent déterminer si la faute constitue directement ou indirectement une infraction au RGPD.

### Par pays
#### Allemagne

Beaucoup d'entités allemandes sont paralysées par des problèmes, notamment l'aéroport de Berlin, qui immobilise ses vols jusqu'à 8 h 0 UTC.

#### Argentine

Flybondi n'est pas affecté, contrairement a Aerolíneas Argentinas, Iberia, Level, et JetSmart.

#### Australie

Plusieurs sociétés de médias australiennes sont touchées par ces problèmes : ABC, SBS, Seven Network et Nine Network. Les compagnies aériennes concernées sont Qantas, Virgin Australia et Jetstar$^,$. Un porte-parole de l'aéroport de Sydney déclare que la panne a un impact sur certaines opérations aériennes et que l'aéroport pourrait souffrir de retards tout au long de la soirée. L'aéroport de Melbourne est également concerné.

#### Belgique

En Belgique, les billets électroniques de la Société nationale des chemins de fer belges sont affectés ainsi que deux hôpitaux belges dont les patients sont temporairement transférés vers d'autres hôpitaux. Les autorités belges n'ont pas désiré préciser de quels hôpitaux il s'agissait.
Le festival Tomorrowland 2024, qui commence le 19 juillet, signale des problèmes concernant la recharge de bracelets électroniques de festivaliers.

#### Canada

Des hôpitaux canadiens sont touchés, notamment à Toronto. Elle affecte aussi la Société Radio-Canada.

#### Chili

LATAM Chile n'est pas affectée.

#### Espagne

Tout le réseau Aena est affecté.

#### États-Unis
##### Compagnies aériennes

Un contrôle d'approche est émis par United, Delta et American Airlines. Les vols aériens continuent, mais aucun nouveau vol ne décolle. Delta Airlines accuse une perte estimée à 500 millions de dollars, avec 6 000 vols annulés, touchant 1,3 million de clients.
Southwest Airlines at Alaska Airlines, qui n'utilisent pas CrowdStrike, sont peu impactées.

##### Urgences

L'Alaska est touché par des problèmes dans les centres d'appels d'urgence 911 ainsi que dans les centres d'appels non urgents.

#### France

En France, les vols d'Air France sont retardés. Les aéroports Charles de Gaulle et Orly sont touchés ainsi que les systèmes informatiques des Jeux olympiques d'été de 2024. Des chaînes de télévision sont affectées, notamment TF1, TFX, LCI et le groupe Canal+. La Bourse de Paris chute de 0,68 % après les premiers rapports de la panne le matin. Bouygues Telecom annonce l'indisponibilité de ses services clients en raison de la panne. Canal+ indique des problèmes sur la diffusion de ses chaînes, confirmés par Orange.
L'ANSSI écarte le matin même de l'évènement la possibilité d'une cyberattaque comme cause du bootloop, selon un communiqué à l'AFP.
Les enseignes de grande distribution Carrefour et Intermarché sont aussi touchées. Le site de la Fnac ainsi que des attractions à Disneyland Paris sont également perturbés$^,$.
Dans le groupe Air France-KLM, Air France n'est pas sérieusement affectée, contrairement à KLM et Transavia.

#### Grèce

Trois des cinq vols à destination des États-Unis sont annulés ainsi que quelques autres vols vers d'autres destinations dont les aéroports d'arrivée sont fermés, et quelques retards sont à déplorer. À l'aéroport d'Héraklion, en Crète, huit vols restent au sol. Aegean Airlines déclare que « [ses] opérations sont restées relativement peu affectées ».
Dimitris Papastergiou (el), ministre de la Gouvernance Numérique (el), déclare qu'en Grèce « les problèmes ont été très isolés ».

#### Hongrie

L'écurie de Formule 1 Mercedes, dont CrowdStrike est partenaire, est victime d'une panne de ses systèmes informatiques lors de la première séance d'essais libre du Grand Prix de Hongrie 2024.

#### Inde

En Inde$^,$, des pannes surviennent chez Indigo Airlines, Akasa Air (en) et SpiceJet. Des cartes d'embarquement manuscrites sont délivrées pendant la panne.

#### Italie

ITA Airways est affectée.

#### Japon

La chaîne de restauration rapide McDonald's ferme temporairement environ le tiers de ses établissements en raison de problèmes liés aux caisses enregistreuses.

#### Nouvelle-Zélande

Les banques ANZ, ASB (en), Kiwibank et Westpac, Woolworths et la carte HOP d'Auckland Transport (en) sont affectées. L'aéroport de Christchurch rencontre également des problèmes, ainsi que le Parlement.

#### Pays-Bas

L'aéroport de Schiphol, la banque Knab (nl), les compagnies aériennes KLM et Transavia du groupe Air France-KLM, les services gouvernementaux et les hôpitaux sont notamment touchés. Les hôpitaux concernés annulent leurs opérations et réduisent les soins médicaux pendant la panne.

#### Royaume-Uni

La chaîne d'information en continu Sky News est incapable de diffuser en direct. Plusieurs aéroports connaissent des difficultés, dont celui d'Édimbourg, dont les panneaux de départ se sont figés. Les compagnies ferroviaires sont également touchées. Certains services du service hospitalier NHS, tels que les cabinets de médecins généralistes, qui s'appuient sur le logiciel EMIS (en), ne sont pas en mesure de visualiser et de gérer les dossiers médicaux et les rendez-vous. Deux tiers des cabinets de médecins généralistes d'Irlande du Nord sont touchés.
Sur l'île de Man, les vols et les cliniques de médecins généralistes sont également affectés ; les entreprises sont, quant à elles, « principalement non affectées ».

#### Suède

En Suède, la panne provoque l'annulation de plusieurs vols et affecte les transports en commun de différentes villes.

#### Suisse

Il y a eu des problèmes aux aéroports de Zurich et de Bâle.

## Correctifs

Le jour même de la panne, CrowdStrike réagit en publiant un palliatif qui nécessite de redémarrer l'ordinateur Windows en mode sans échec, de supprimer le ou les fichiers commençant par C-00000291, ayant l'extension .sys et se trouvant dans le dossier %WINDIR%\System32\drivers\CrowdStrike. Pour les machines virtuelles fonctionnant sur Microsoft Azure, Microsoft propose de redémarrer l'ordinateur manuellement afin de corriger le problème, manipulation qui peut être répétée jusqu’à quinze fois si le problème persiste. Toujours le même jour, à 9 h 45 (UTC), CrowdStrike annonce qu'un correctif est déployé. Microsoft fournit également un correctif.
Le 19 juillet, le CERT-FR publie une synthèse des recommandations de remédiation, document mis à jour le 22 juillet.
Le lendemain de la panne, des experts informatiques annoncent que réparer complètement tous les systèmes touchés pourrait prendre des semaines dans certaines entreprises.
La réparation des systèmes avec des disques chiffrés au moyen de BitLocker s'avère une opération plus complexe puisque les clés de restauration sont stockées sur des serveurs qui ont eux aussi planté$^,$. Des lecteurs de code-barres sont utilisés pour faciliter la lecture de la clé de chiffrement de BitLocker.
La réparation à distance est possible à l'aide d'Intel Management Engine (en) ; solution qui pose à son tour des questions de sécurité$^,$.
Dans les autres systèmes d'exploitation, exécuter un scanner de vulnérabilité similaire à Falcon Sensor est possible sans utiliser un pilote système (kernel driver) ou une extension du noyau mais au moyen d'une API exploitant les librairies déjà présentes dans le noyau : eBPF sur Linux ou le framework endpoint security (en) sur macOS depuis la version Catalina$^,$.

## Analyses
### Postériorité

Une semaine après la panne, le 26 juillet 2024, la société CrowdStrike annonce que « 97 % des machines concernées sont de nouveau opérationnelles ». Bien que les premières estimations des assureurs spécialisés dans les risques cybers suggèrent que les coûts pourraient atteindre des milliards de dollars, les compagnies aériennes les plus directement touchées, comme Air France et Delta Airlines, font état de pertes financières beaucoup plus faibles : seulement 11 millions de dollars pour KLM selon le directeur financier du groupe Air France-KLM, tandis qu'Air France n'a quasiment pas été touché.
Delta Air Lines estime que le coût de la panne est de l'ordre de 350 à 500 millions de dollars pour la compagnie aérienne$^,$. Ce chiffre comprend le manque à gagner et les compensations de remboursements à cause de l'annulation de plus de 5 000 vols. En comparaison, la compagnie a annulé, entre 2018 et 2019, 5 370 vols au total, selon les chiffres du Département des Transports des États-Unis$^,$. Delta Air Lines souhaite demander des dommages et intérêts à CrowdStrike et à Microsoft « afin de protéger ses actionnaires, ses clients et sa marque de l'atteinte à sa réputation »$^,$.
L'assureur Parametrix dans le domaine de l'informatique en nuage estime que les pertes financières liées à la panne pourraient s'élever au total à environ 15 milliards de dollars, dont 1,5 à 3 milliards seulement couverts pas les assureurs.
George Kurtz, le président-directeur général de CrowdStrike doit être auditionné par le Congrès des États-Unis.

### Systèmes d'exploitation et législation sur la concurrence

D'après Microsoft, la firme ne peut cloisonner davantage son système d'exploitation et déclare avoir conclu, à la suite d'une plainte, un accord en 2009 avec l’Union européenne pour donner aux éditeurs de logiciels de sécurité tiers le même niveau d'accès que le sien. À la suite de l'accord entre Microsoft et la Commission européenne, Microsoft « n’a plus le droit de verrouiller totalement son système d’exploitation et doit l’ouvrir à des applications tierces » et cette vulnérabilité serait la cause de la panne$^,$$^,$$^,$. La déclaration est jugée douteuse, l'accord ne portant pas sur un accès au noyau mais seulement sur l'accès aux API, aux paramètres et à la documentation que les programmes de sécurité de Microsoft utilisent. Google et Apple n’ont pas eu à signer un accord semblable.
L'Union européenne répond que « Microsoft n'a jamais, avant ou après l'incident, soulevé de préoccupation concernant la sécurité avec les autorités européennes » et que « Microsoft est libre de choisir son modèle d'entreprise. À eux d'adapter leur infrastructure de sécurité pour répondre aux menaces ».

### Concentration et homogénéité

Cette panne soulève des questions sur l'oligopole, la concentration du secteur des technologies de l'information et la monoculture d'un système d'exploitation ayant créé un milieu homogène. Trois facteurs qui augmentent le risque de défaillance en un point unique et limitent la résilience des réseaux informatique dont nos sociétés sont devenues dépendantes$^,$.