Le virus ILOVEYOU a coûté 10 milliards de dollars — son créateur est resté libre car les Philippines n'avaient pas de loi contre le piratage informatique

Le 4 mai 2000, un ver informatique s'est propagé dans le monde entier en quelques heures. Il arrivait sous la forme d'un courriel dont la ligne d'objet était « ILOVEYOU » et dont la pièce jointe s'appelait « LOVE-LETTER-FOR-YOU.TXT.vbs ». Le paramètre par défaut de Windows, qui masque les extensions de fichiers connues, faisait apparaître le fichier .vbs comme un fichier texte inoffensif. Une fois ouvert, le ver écrasait les fichiers multimédias, s'envoyait lui-même à tous les contacts du carnet d'adresses de la victime et dérobait les mots de passe de connexion Internet par ligne téléphonique en téléchargeant un cheval de Troie.

Le ver s'est propagé si vite qu'il a infecté, selon les estimations, 10 % de tous les ordinateurs connectés à Internet, contraignant le Pentagone, la CIA, le Parlement britannique et de grandes entreprises à fermer leurs systèmes de messagerie. Le préjudice total a été estimé à environ 10 milliards de dollars, entre coûts de nettoyage, pertes de productivité et réparations des systèmes. Le créateur du ver était un décrocheur de 22 ans nommé Onel de Guzman, originaire des Philippines, qui l'avait conçu pour dérober des mots de passe de connexion par ligne téléphonique afin d'accéder gratuitement à Internet.

Lorsque les autorités philippines ont retrouvé de Guzman, elles ont découvert un problème : le pays n'avait aucune loi contre le piratage informatique. Toutes les charges ont été abandonnées. L'affaire a poussé les Philippines à adopter leur première loi sur la cybercriminalité, et le ver ILOVEYOU est devenu un événement marquant de l'histoire de la sécurité informatique, démontrant comment une simple attaque d'ingénierie sociale pouvait faire tomber les plus grandes institutions du monde.

Le créateur est resté libre parce que les Philippines n'avaient pas de loi contre le piratage informatique, laissant 10 milliards de dollars de dommages sans poursuites.

Le paramètre par défaut de Windows, qui masque les extensions de fichiers connues, faisait apparaître la pièce jointe .vbs comme un fichier .txt inoffensif — des millions d'utilisateurs ont cliqué sur ce qui ressemblait à une lettre d'amour.

Le ver se propageait via les listes de contacts des courriels, si bien qu'il semblait provenir d'une source de confiance, ce qui rendait les destinataires bien plus enclins à l'ouvrir.

Le créateur est resté libre parce que les Philippines n'avaient pas de lois sur la criminalité informatique — une lacune juridique qui a empêché le pays de le poursuivre.

Aucune signature antivirus n'existait pour ce ver au moment de sa diffusion, et la rapidité de l'infection (quelques heures) a submergé les défenses manuelles.

L'ingénierie sociale vient à bout de toute défense technique. Une fausse lettre d'amour a fait plus de dégâts que n'importe quel exploit sophistiqué. La sécurité repose sur les personnes, pas sur les logiciels.

Le ver ILOVEYOU a poussé les Philippines à adopter leur première loi sur la cybercriminalité. L'affaire est devenue un moment décisif de la sécurité informatique, établissant que le maillon le plus faible de tout système est l'humain qui clique sur la pièce jointe. De Guzman a été retrouvé en 2019 travaillant dans un stand de réparation de téléphones mobiles à Manille, où il a admis avoir créé le ver. La propagation rapide du ver a changé la façon dont les organisations déployaient la sécurité de leurs courriels, et la ligne d'objet « ILOVEYOU » est entrée dans le langage courant comme synonyme du coût de l'ingénierie sociale.