Premier virus a avoir marqué l'année 2004, Mydoom vient de faire l'objet d'une étude d'impact dans les entreprises. C'est une idée du Club français de la sécurité des systèmes d'information (Clusif), sur le modèle d'une initiative similaire lancée en janvier 2003 et concernant le virus Lirva.

Le Clusif a contacté trente-cinq entreprises, dont quatre seulement spécialisées dans la sécurité et les virus. Une seule n'a pas reçu de mail porteur de Mydoom et treize en ont reçu et intercepté entre 10 000 et 100 000 exemplaires !

Dans le lot, forcément, certaines n'ont pu empêcher la diffusion du virus. Elles sont six dans ce cas, mais neuf autres ont enregistré des « dommages collatéraux », comme le ralentissement ou le blocage des messageries électroniques.

Quatorze des trente-cinq entreprises questionnées par le Clusif ont évalué leurs pertes financières induites par le traitement du problème. Elles ont évoqué un impact faible ou nul. « Seules deux entreprises nous ont indiqué un chiffre relativement important, note l'organisme. Pour l'une, 20 jours hommes ont été perdus, pour l'autre, 20 000 euros.  »

La réactivité des entreprises semble avoir été exemplaire, puisque les premières alertes ont eu lieu au moment où est apparu le virus. En janvier 2003, il avait fallu attendre dix-sept heures après l'apparition de Lirva.

En fait, la conséquence notable de cette attaque, pour le Clusif, se trouve du côté des antivirus. Mydoom transitait en effet d'un poste à l'autre en usurpant les adresses électroniques trouvées sur le poste de l'utilisateur. Or, « configuré pour alerter l'expéditeur, l'antivirus interceptant le message redirigeait alors l'alarme vers cette fausse adresse. » D'où une multiplication d'alertes erronées, puisque les utilisateurs avertis qu'ils venaient d'envoyer un mail infecté n'avaient en fait rien envoyé.

Résultat : une profusion supplémentaire de messages. Dans l'histoire, malgré l'ampleur de la propagation de Mydoom, c'est finalement la seule vraie fausse note que le Clusif signale à propos de la sécurité des entreprises. En l'occurrence, des antivirus mal configurés.