Quand une automatisation échoue sans prévenir

Ce qui s'est passé chez Equifax

Equifax est l'une des trois grandes agences de crédit américaines. Elle conserve l'historique de crédit, les adresses et les numéros de sécurité sociale de la moitié de la population du pays, et les banques la consultent avant d'accorder un prêt.

Equifax avait automatisé la surveillance de son portail de réclamations en ligne. Jour et nuit, sans intervention humaine, un boîtier déchiffrait chaque échange et le transmettait à des logiciels chargés de repérer les intrusions. Pour déchiffrer, ce boîtier avait besoin d'un certificat de sécurité valide, qui expire au bout de deux à trois ans, comme tous les certificats.

Le 31 janvier 2016, ce certificat a expiré, et le boîtier n'a déclenché aucune alerte. Réglé par défaut pour ne jamais bloquer le trafic, il a continué de tout laisser passer, sans plus rien analyser. Vu de l'extérieur, tout fonctionnait.

Le 13 mai 2017, des pirates sont entrés par une faille du portail. Pendant 76 jours, ils ont interrogé les bases de données d'Equifax et sorti les informations de 148 millions de personnes, sans être vus. Le 29 juillet 2017, une équipe a remplacé les certificats expirés du boîtier, et le trafic suspect est apparu immédiatement.

Equifax a accepté de payer au moins 575 millions de dollars dans un accord avec les autorités américaines en 2019. Le rapport du Congrès conclut que la fuite était « entièrement évitable ».

Une panne sans alerte

Une automatisation peut tomber en panne sans que rien ne se voie : elle continue de tourner, mais ne fait plus son travail. Le boîtier d'Equifax était allumé, le trafic passait, aucun voyant n'était rouge. Rien ne signalait qu'il avait cessé de faire son travail.

Le problème n'était pourtant pas inconnu. Une note interne de janvier 2017 relevait déjà que ces boîtiers manquaient de certificats. Au moment de l'attaque, 324 certificats avaient expiré chez Equifax, dont 79 sur des outils de surveillance de systèmes critiques. L'information existait, mais elle n'arrivait chez personne chargé d'agir.

Le même mécanisme dans une PME

Remplacez cette surveillance automatique par une tâche automatique de PME : l'import des commandes de la boutique en ligne dans la comptabilité, l'envoi des factures, la sauvegarde de nuit. Elles dépendent toutes d'accès qui expirent ou changent : un certificat, une clé d'API, un mot de passe de service. Le jour où l'un d'eux expire, la tâche tourne, ne trouve plus rien et ne dit rien. Le problème se découvre quand un client appelle, parfois des semaines plus tard.

Tant que la tâche était faite à la main, quelqu'un aurait vu le problème le premier jour. Une automatisation sans surveillance fait perdre cette visibilité, sans que personne s'en rende compte. Trois mécanismes la rendent :

• Une alerte quand l'automatisation ne produit plus rien, pour repérer une tâche qui tourne sans faire son travail. Chez Equifax : zéro analyse pendant 19 mois, sans alerte.
• Un suivi des dates d'expiration, pour voir la panne avant qu'elle arrive. Chez Equifax : 324 certificats expirés, dont celui du boîtier.
• Un responsable nommé pour chaque alerte, pour qu'aucun signal ne reste sans suite. Chez Equifax : une note interne de janvier 2017 restée sans effet.

Chez Exponent, ces contrôles font partie de chaque automatisation qu'on livre, au même titre que l'automatisation elle-même.