La panne de Microsoft montre ce qui se passe quand le courriel sert aussi de plan de secours

Ce qui est connu, et ce qui ne l'est pas

Le Financial Times rapporte que les services Microsoft 365, dont Outlook, Teams et l'assistant Copilot, sont perturbés dans le monde entier depuis jeudi, avec des conséquences pour des gouvernements, des régulateurs, des services de santé et des entreprises. Les mises à jour publiées par Microsoft décrivent un problème apparu jeudi soir, lorsqu'une partie de son infrastructure a subi une charge anormalement élevée dans plusieurs régions, après que des serveurs sont devenus indisponibles de façon inattendue. L'entreprise a suspendu les déploiements et redémarré les serveurs touchés. Elle a indiqué plus tard que ses correctifs visant un problème de gestion du trafic n'avaient pas donné les résultats escomptés et qu'elle ajoutait des capacités.

Vendredi, l'entreprise a fait état d'une reprise encourageante en Europe, d'une situation plus stable au Japon et d'une amélioration en Amérique du Nord, tout en avertissant que des problèmes intermittents persistaient. Un dirigeant de haut rang a affirmé qu'aucun élément ne laissait penser à une activité malveillante ou à une cyberattaque. Il s'agit d'une déclaration portant sur les éléments disponibles à ce stade, et non d'une conclusion définitive sur la cause première. Microsoft n'a pas encore expliqué pourquoi les serveurs sont devenus indisponibles ni pourquoi les premiers remèdes ont échoué. Tant qu'elle ne le fera pas, toute affirmation sur la cause profonde, y compris un lien avec des changements récents ou avec des effectifs, relève de la spéculation.

Ce que la séquence laisse toutefois penser, c'est une défaillance dans la manière dont la charge est acheminée et absorbée, et non la panne d'un seul composant. Redémarrer des serveurs et ajouter des capacités sont des mesures courantes ; or le fait qu'il ait fallu plus d'une journée pour que ces mesures produisent un effet suggère que le problème s'est auto-entretenu à mesure que le trafic se reportait d'une région à l'autre.

Pourquoi la panne du courriel est plus grave qu'il n'y paraît

Les coûts visibles sont bien réels : un groupe suisse de produits de luxe a brièvement reporté la publication de ses résultats semestriels, une compagnie aérienne a averti que les confirmations de réservation pouvaient être en retard, et certaines institutions financières japonaises auraient eu recours aux télécopieurs pour confirmer des transactions. Le gouvernement allemand a estimé que l'impact économique serait très important. Aucun de ces éléments n'a encore été chiffré, et une estimation fiable prendra des semaines.

Le problème de fond est structurel. La plupart des organisations prévoient une défaillance informatique en partant du principe qu'elles pourront utiliser le courriel et la messagerie pour coordonner la réponse : informer le personnel de la conduite à tenir, joindre les fournisseurs, briefer les régulateurs. Lorsque ces outils dépendent du système défaillant, le plan ne dispose plus d'aucune couche de communication. Steven Murdoch, professeur d'ingénierie de la sécurité à l'University College London (UCL), l'a dit sans détour : le courriel est l'outil qui sert à coordonner la reprise après un problème.

Les services publics présentent le même schéma, avec des conséquences différentes. Le NHS England a indiqué que les services locaux recouraient à des mesures anciennes, comme les dossiers papier, et un responsable a affirmé qu'aucune intervention médicale n'avait été signalée comme annulée. C'est rassurant, et cela montre aussi ce que la résilience signifie concrètement : des solutions manuelles de repli répétées à l'avance, et non un second compte cloud. Les organisations qui n'ont pas prévu ces solutions de repli ont improvisé.

Un problème de concentration assorti d'une épreuve réglementaire

Cette panne s'ajoute à une série d'interruptions touchant des fournisseurs dominants, après les perturbations ayant frappé Cloudflare et les services cloud d'Amazon l'an dernier. Chacune a relancé le même débat : les entreprises se sont regroupées autour d'un fournisseur unique pour des raisons de coût et d'efficacité, et un fournisseur fiable la plupart du temps peut encore infliger de lourdes pertes lorsqu'il tombe en panne. La logique économique de cette concentration n'a pas changé, donc l'exposition non plus.

Ce qui a changé, c'est le cadre de supervision. L'Autorité de conduite financière britannique, elle-même incapable d'accéder à sa messagerie pendant la perturbation, a indiqué qu'elle utilisait ses pouvoirs élargis sur les fournisseurs tiers critiques du secteur financier pour demander à Microsoft d'expliquer l'impact. C'est l'une des premières applications concrètes d'un régime conçu précisément pour ce type de scénario. Le ministre britannique de la Défense, Luke Pollard, a réclamé des systèmes plus résilients et capables de se rétablir plus rapidement, et a affirmé s'attendre à ce que les responsables gouvernementaux en charge de la cybersécurité fassent pression sur Microsoft sur ce point.

L'Autorité bancaire européenne a également été touchée, ce qui donne aux superviseurs européens un intérêt direct à obtenir des réponses. Reste ouverte la question de savoir si ces réponses seront rendues publiques. Les rapports volontaires après incident ont un bilan contrasté ; des rapports obligatoires assortis de délais de rétablissement précis représenteraient une avancée plus significative.

Ce qu'il faut surveiller

Le premier indicateur sera l'explication de Microsoft : l'élément déclencheur, les raisons de l'échec des premiers correctifs, et la question de savoir si des données clients ou des flux de courriels ont été perdus ou seulement retardés. Un compte rendu détaillé permettrait aux clients d'évaluer le risque de récidive. Un récit flou alourdirait la pression des régulateurs.

Le deuxième concerne l'après-reprise. Les courriels en retard peuvent arriver par rafales, et des entreprises de sécurité mettent en garde : des malfaiteurs pourraient profiter de la confusion en proposant de faux correctifs ou de fausses garanties. Un salarié privé de messagerie pendant une journée entière est plus susceptible de cliquer sur un message inattendu prétendant rétablir son accès.

Le troisième tient à la manière dont les entreprises et les organismes publics réagiront. Les mesures pratiques sont modestes et peu coûteuses comparées au prix d'une interruption : un canal indépendant pour la communication de crise, une procédure manuelle testée pour les fonctions critiques, et des clauses contractuelles qui donnent aux clients leur mot à dire sur la résilience. Les conseils d'administration qui considéreront cette semaine comme un incident isolé retrouveront la même dépendance lors de la prochaine panne. Ceux qui en tireront les leçons auront transformé une perturbation coûteuse en test utile.