Un juge autorise un recours collectif contre Delta pour les vols annulés et retardés à la suite de la panne informatique mondiale provoquée par CrowdStrike,

Mais Delta rejette la responsabilité sur Microsoft

Un juge autorise un recours collectif contre Delta pour les vols annulés et retardés à la suite de la panne informatique mondiale provoquée par CrowdStrike
mais Delta rejette la responsabilité sur Microsoft

CrowdStrike a provoqué une panne mondiale le 19 juillet 2024 après avoir diffusé une mise à jour logicielle défectueuse. Plus de 8,5 millions de machines Windows sont tombées en panne à travers le monde. Delta Air Lines et d'autres compagnies aériennes américaines ont été contraintes d'annuler ou de retarder des milliers de vols, provoquant l'ire des clients. Les dégâts sont estimés à plusieurs dizaines de milliards de dollars. Un juge fédéral vient de décider que les clients mécontents des vols annulés ou retardés par Delta Air Lines peuvent poursuivre la compagnie. Mais la décision est controversée, les critiques désignant CrowdStrike comme responsable.

« Delta a annulé plus de 4 500 vols entre le vendredi 19 juillet et le dimanche 21 juillet 2024. Même après que de nombreuses autres compagnies aériennes ont réussi à se remettre en marche, la plupart reprenant leurs activités normales à la fin du week-end, Delta a continué à annuler et à retarder un nombre élevé de vols, bien plus que n'importe quelle autre compagnie aérienne », », ont déclaré les plaignants dans l'affaire, selon les documents du tribunal.

Delta a attribué ses déboires à sa dépendance aux logiciels Microsoft et à l'incident CrowdStrike. Mais selon les plaignants, les deux sociétés ont proposé à la compagnie aérienne une assistance que Delta a refusée. Microsoft a déclaré que Delta a ignoré l'aide proposée par le PDG Satya Nadella.

« Chaque jour qui a suivi, du 19 au 23 juillet 2024, les employés de Microsoft ont réitéré leur proposition d'aide à Delta. À chaque fois, Delta a décliné les propositions d'aide de Microsoft, même si Microsoft n'aurait pas facturé Delta pour cette assistance... », a écrit Mark Cheffo, co-président de Dechert LLP, dans une lettre adressée aux avocats de Delta au nom de Microsoft. Microsoft a mis en cause l'infrastructure de Delta, gérée par IBM et d'autres fournisseurs.

Delta accuse Microsoft et CrowdStrike d'être à l'origine de ses déboires

L'année dernière, Ed Bastian, PDG de Delta Air Lines, a demandé à CrowdStrike et à Microsoft de le dédommager pour les 500 millions de dollars qu'il a perdus à cause de la panne informatique. L'incident serait à l'origine de l'annulation de 6 000 vols chez Delta. « Microsoft est l'une des plateformes les plus fragiles de l'infrastructure en ligne », a déclaré Ed Bastian. Il a également vanté les mérites d'Apple pour « la solidité et la résilience de ses installations ».


« Quand avez-vous entendu parler pour la dernière fois d'une grosse panne chez Apple ? », a déclaré Ed Bastian à un journaliste de CNBC. Il avait également révélé que plus de 40 000 serveurs de l'entreprise avaient été touchés par la mise à jour logicielle défectueuse diffusée par CrowdStrike.

Toutefois, le recours collectif souligne la responsabilité de Delta. Les clients de Delta touchés par les retards et les annulations ont déclaré avoir eu du mal à obtenir des remboursements et des compensations de la part de la compagnie aérienne. Les plaignants expliquent : « bien que Delta ait proposé le remboursement des dépenses éligibles via son site Web et son application, Delta n'a pas précisé que le client ne recevrait qu'un remboursement partiel ».

La plainte poursuit : « en outre, Delta n'a pas indiqué à ses clients que l'acceptation du remboursement partiel libérerait toute réclamation légale que le client pourrait avoir contre Delta jusqu'à ce que le client « clique sur le bouton pour accepter le remboursement partiel ». L'action concerne à la fois les voyages nationaux et internationaux aux États-Unis. Delta, qui a estimé ses pertes opérationnelles à 500 millions de dollars, a demandé le rejet de la plainte.

L'action concerne à la fois les vols nationaux et internationaux aux États-Unis. Les premiers sont régis par les règles du ministère américain des Transports (USDOT), qui exigent que les agents des compagnies informent les clients de leur droit à un remboursement avant de leur proposer un autre moyen de transport, des crédits de voyage, des bons ou d'autres compensations en lieu et place d'un remboursement ». Delta est accusé d'avoir dérogé à cela.

Les vols internationaux relèvent de la Convention de Montréal, conçue comme un traité unique et universel régissant la responsabilité des compagnies aériennes. Le juge de district, Mark H. Cohen, a accepté la requête de Delta de rejeter certaines des plaintes, mais il en a autorisé d'autres à suivre leur cours.

Il s'agit des chefs d'accusation I (rupture de contrat pour défaut de remboursement) et XII (violation de la Convention de Montréal). Joseph Sauder, avocat de certains des plaignants, a déclaré : « cette décision est un grand pas en avant pour les passagers de Delta qui cherchent à obtenir des comptes. Le juge fédéral Mark Cohen a ordonné que toutes les parties déposent un rapport préliminaire conjoint modifié et un plan de découverte avant le 20 mai.

Rappel sur la panne informatique mondiale provoquée par CrowdStrike

Des entreprises du monde entier ont été confrontées le 19 juillet 2024 au redoutable écran bleu de la mort (BSOD) de Windows après une mise à jour défectueuse lancée par CrowdStrike. L'incident a perturbé les services Internet, affecté 8,5 millions d'appareils Windows et provoqué des annulations massives de vols, paralysant des entreprises de nombreux secteurs. Les pertes financières de certaines victimes sont estimées à des centaines de millions de dollars.

CrowdStrike est confronté à une pression croissante pour avoir provoqué l'effondrement d'un large pan du système informatique mondial et des menaces juridiques qui pèsent sur lui. Bien que Microsoft ne soit pas techniquement responsable de l'incident, il subit aussi les critiques. Microsoft a été victime de cet incident au même titre que les points de terminaison qui ont subi le BSOD. David Weston estime que c'est quelque chose que Microsoft n'aurait jamais vu.

Microsoft n'a pas eu d'implication directe. Le logiciel de CrowdStrike avait été évalué et signé par Microsoft Windows Hardware Quality Labs (WHQL) après une évaluation complète. La cause de la panne n'était pas le pilote en soi, mais le contenu transmis de l'extérieur du noyau au pilote. « Il a traversé Microsoft. Ce n'est pas documenté. Microsoft ne sait pas ce que contient ce fichier. Il s'agit d'un code binaire que seul CrowdStrike sait interpréter », note David Weston.

Le 10 septembre 2024, Microsoft a organisé un sommet (Windows Endpoint Security Ecosystem Summit) qui a réuni les fournisseurs de logiciels de sécurité qui nécessite un accès au noyau. Les participants ont discuté de l'amélioration de la résilience et de la protection de l'infrastructure critique des clients mutuels. Microsoft, CrowdStrike, ESET, et Trend Micro, ainsi que d'autres fournisseurs de logiciels de sécurité des points finaux ont participé au sommet.

Le sommet sur la sécurité du noyau organisé par Microsoft visait à discuter des leçons à tirer de cet incident et des changements futurs. Deux questions connexes, mais distinctes devaient être abordées : l'accès au noyau Windows et les tests de logiciels avant leur déploiement. Toutefois, l'événement a suscité des préoccupations sur sa transparence, car il s'est tenu à huis clos, et à la sortie, le rapport publié par Microsoft ne faisait pas état de mesures concrètes.

Conclusion

Certains considèrent la panne mondiale provoquée par la mise à jour logicielle défectueuse de CrowdStrike comme la plus grande panne informatique qui a jamais eu lieu. La panne a fait les gros titres pendant presque tout le second semestre de 2024 et, si elle a affecté les compagnies aériennes et les aéroports du monde entier, elle a particulièrement pesé sur Delta, qui a mis beaucoup plus de temps que les autres transporteurs à se remettre de l'incident.

Delta accuse Microsoft et CrowdStrike d'être à l'origine de ses déboires, mais Microsoft rejette ces allégations et pointe du doigt l'infrastructure informatique de la compagnie. Le recours collectif est un nouveau revers pour Delta, qui dit avoir perdu environ un demi-milliard de dollars à cause de l'incident CrowdStrike.

L'incident CrowdStrike met en lumière la dépendance accrue des infrastructures critiques aux solutions logicielles tierces et l'importance de la résilience informatique. En particulier, il illustre les dangers liés à la dépendance accrue des infrastructures vitales pour l'économie mondiale à l'égard des Big Tech ; dans ce cas Microsoft. Par ailleurs, il rappelle que même les leaders en cybersécurité ne sont pas à l'abri d'erreurs ayant des conséquences mondiales.

Source : document de la plainte (PDF)

Et vous ?

Quel est votre avis sur le sujet ?
Que pensez-vous de la décision du juge d'autoriser les poursuites contre Delta Air Lines ?

Voir aussi

Microsoft affirme que Delta a ignoré l'aide proposée par Satya Nadella concernant CrowdStrike et que les problèmes de Delta sont liés à son ancienne infrastructure informatique, et non à Windows

Delta Air Lines a engagé un cabinet d'avocats pour demander une indemnisation à Microsoft et CrowdStrike, à la suite d'une panne informatique mondiale et de l'annulation de plus de 6 000 vols

CrowdStrike a publié son analyse des causes racines de la panne mondiale de Microsoft, il s'agirait d'une erreur que les étudiants en programmation de première année apprennent à éviter