Le virus de la désinformation Les calculs alarmistes d'un cabinet américain sur le coût des dégâts. Par LAURENT MAURIAC Le lundi 15 mai 2000

«Il y a des pertes même quand on élimine le virus. A commencer par le simple fait d'aller à la cafétéria et de raconter son histoire.» François Paget, chercheur chez un éditeur d'antivirus..

n a parlé du virus «le plus destructeur jamais connu à ce jour». Partout, les mêmes chiffres alarmistes: 6,7 milliards de dollars de dommages planétaires après cinq jours; un préjudice total supérieur à 10 milliards... Et, toujours, une même source: Computer Economics, un cabinet d'études californien qui semble détenir un monopole sur le virus I Love You. Qu'on s'adresse aux éditeurs de logiciels antivirus Symantec ou Network Associates, tous déclarent «se référer aux chiffres d'un organisme américain, Computer Economics». Précision de Network Associates à Paris: «Ils travaillent avec nous.» Le lendemain de la diffusion du virus, le cabinet estime à 45 millions le nombre d'utilisateurs ayant reçu le «love bug virus». Dès lors, ses chiffres sont repris dans tous les médias. Les 6,7 milliards de dollars reviennent en boucle. Méthodologie. Le cabinet californien se présente comme une «agence de conseils dans les technologies de l'information». Il assure compter parmi ses clients 82 % des 500 premières entreprises américaines. Si son site web multiplie les prévisions quant aux supposés dommages financiers, rien n'indique la méthodologie suivie. C'est Adam Harriss, l'un des analystes, qui l'expose au téléphone. Exemple avec les derniers chiffres, révisés, des préjudices causés le premier jour. D'abord, déterminer le nombre de personnes touchées : «29,5 millions d'ordinateurs dans les entreprises, 17,5 millions chez les particuliers», rapporte Adam Harriss. Mais ceux-là sont indemnes. Seuls 1,88 million d'utilisateurs auraient cliqué sur la pièce jointe et provoqué ainsi l'infection. Donc, au total 48,88 millions d'utilisateurs affectés, mais seulement 3,8 % infectés... Etrange comptabilité. Ensuite, à chaque catégorie correspond un coût moyen. Surprise : celui-ci s'élève à 125 dollars (900 francs au cours actuel du dollar) par salarié indemne (ayant reçu le virus sans l'avoir déclenché). «Est-ce que ça vaut 125 dollars d'appuyer sur une touche pour supprimer un fichier?», s'interroge Eric Beaurepaire, directeur du marketing dans la filiale française de l'éditeur d'antivirus Symantec. La question mérite d'être posée : le coût lié à ces utilisateurs non contaminés représente 83 % du total des dommages estimés par Computer Economics (1). Pour Adam Harriss, les 125 dollars recouvrent la «perturbation» liée à la réception de l'e-mail porteur du virus. «Les gens se demandent quoi faire. Dans beaucoup d'entreprises, ils vérifient que le poste n'est pas contaminé, ils configurent un antivirus.» L'estimation du coût moyen est un fourre-tout: elle comprend le temps de travail perdu, lié à la panique ou à l'arrêt des messageries, les interventions des techniciens sur les postes. «Il y a des pertes même quand on élimine le virus, estime François Paget, chercheur chez l'éditeur d'antivirus Network Associates. A commencer par le simple fait d'aller à la cafétéria et de raconter son histoire.» Adam Harriss reconnaît que la perte de données représente une part infime du coût total. Mais le cabinet n'a pas établi de classification des dommages. A qui profite le virus? Reste à savoir comment Computer Economics définit le nombre de personnes touchées et les coûts moyens. «Nous avons une grande expérience dans le domaine du virus, répond, laconique, Adam Harriss. Nos estimations sont basées sur nos discussions avec les grandes entreprises et les éditeurs d'antivirus. Nous savons évaluer les coûts associés aux virus.» Les méthodes de calcul et les résultats de ces estimations, qui font pourtant figure de «données uniques», étonnent la majorité des spécialistes français. «Ce sont des chiffres lancés au hasard», estime Pierre Dellis, délégué général du Syntec Informatique (syndicat des sociétés de services et d'ingénierie informatique). «L'évaluation d'un virus est délicate à établir, explique Paul Grassart, le délégué général du Clusif (Club de la sécurité des systèmes d'information français). Il n'existe pas de méthodologie reconnue. Mais les éditeurs d'antivirus ont tout intérêt à citer de tels chiffres.» Et les médias, qui «aiment bien avoir des chiffres», sont responsables de leur propagation, souligne Eric Beaurepaire (Symantec). Dans l'affaire, les grands gagnants sont les éditeurs d'antivirus, les sociétés de services informatiques et les compagnies d'assurance. Autant de sociétés se proposant, comme le dit l'une d'elles dans un communiqué, de «fournir des réponses adaptées à des malveillances informatiques comme le virus I Love You». Depuis une semaine, les annonces de ce type s'entassent dans les messageries électroniques des entreprises. (1) Le coût moyen est évalué à 10 dollars par particulier ayant reçu le virus sans l'activer et à 300 dollars par utilisateur contaminé.