2 novembre 1988, 20h30
Ce soir-là, un programme est lâché sur Internet depuis un ordinateur du MIT. Il se propage à une vitesse remarquable et met les machines à genoux les unes après les autres. Quelques heures plus tard, un étudiant de l’université de Berkeley écrit dans un e-mail : « Nous sommes actuellement attaqués »1.
En moins de 24 heures, environ 6 000 des quelque 60 000 ordinateurs alors connectés à Internet sont touchés1. Soit près de 10 % du réseau mondial de l’époque.
Pour bien mesurer l’anachronisme : nous sommes en 1988. Le World Wide Web n’existe pas encore — Tim Berners-Lee ne rédigera sa proposition initiale qu’en 1989. Internet est essentiellement un réseau universitaire et militaire, fréquenté par des chercheurs, des ingénieurs et des étudiants. Le grand public n’a, pour ainsi dire, jamais entendu parler d' »Internet ». Et pourtant, ce réseau vient de subir sa première crise majeure.
Parmi les victimes : Harvard, Princeton, Stanford, Johns Hopkins, la NASA et le laboratoire national Lawrence Livermore1.
Ce n’était pas un virus. C’était un ver.
La distinction n’est pas un détail de vocabulaire. Un virus informatique a besoin d’un programme hôte pour se propager : il s’accroche à un fichier, et se répand quand ce fichier est ouvert ou copié par un humain.
Un ver (worm), lui, est autonome. Il n’a besoin ni de fichier hôte ni d’intervention humaine : il se déplace tout seul de machine en machine sur le réseau, se copie, et recommence. C’est ce qui rend sa propagation exponentielle — et c’est exactement ce qui s’est passé cette nuit-là.
Le terme lui-même vient d’ailleurs de la science-fiction : il est emprunté au roman Sur l’onde de choc (The Shockwave Rider) de John Brunner, publié en 1975, dans lequel un programme se répand de façon incontrôlable à travers un réseau.
Le twist : personne ne voulait faire de dégâts
Voilà ce qui rend cette histoire si différente des cyberattaques auxquelles nous sommes habitués aujourd’hui.
L’auteur du programme est Robert Tappan Morris, 23 ans, jeune diplômé de Harvard fraîchement accepté en doctorat à l’université Cornell. Fils d’un pionnier des laboratoires Bell, il baigne dans l’informatique depuis l’enfance et jouit d’une solide réputation technique — ainsi que d’une réputation de farceur1.
Son objectif déclaré : écrire un programme capable de se déplacer discrètement sur Internet pour en mesurer la taille. Une sorte de recensement automatisé du réseau. Le programme ne détruisait aucun fichier, ne volait aucune donnée, n’effaçait rien.
Le problème n’était pas dans l’intention. Il était dans une seule décision de conception.
Morris avait prévu que son ver ne réinfecte pas une machine déjà contaminée — logique, sinon les copies s’accumuleraient. Mais il a craint qu’un administrateur système ne comprenne le mécanisme et ne fasse répondre ses machines « je suis déjà infectée » pour neutraliser le programme. Pour parer à cette contre-mesure, il a donc ajouté une règle : dans une petite proportion des cas, le ver s’installe quand même, même si la machine se déclare déjà infectée.
Cette précaution, censée rendre le ver plus résistant, a produit l’effet inverse. Les copies se sont multipliées sur les mêmes machines, encore et encore, jusqu’à saturer complètement leurs ressources. Le ver n’a rien détruit : il a simplement asphyxié les ordinateurs sous le poids de ses propres duplications.
Les conséquences ont été considérables malgré tout. Des fonctions universitaires et militaires vitales ont ralenti jusqu’à devenir inutilisables, des e-mails ont été retardés de plusieurs jours, certaines institutions ont dû effacer entièrement leurs systèmes et d’autres se sont déconnectées du réseau pendant une semaine complète1.
Un aveu qui n’est jamais arrivé à destination
Peu après le lancement, réalisant que la situation lui échappait complètement, Morris contacte deux amis. Il demande au premier de diffuser anonymement sur Internet un message d’excuse accompagné des instructions pour supprimer le programme.
L’ironie est cruelle : presque personne ne reçoit ce message à temps, parce que le réseau était déjà trop dégradé par le ver lui-même pour l’acheminer1.
Le second ami, de son côté, appelle anonymement le New York Times pour expliquer que le programme était une expérience inoffensive dont la propagation résultait d’une erreur de programmation. Au fil de la conversation, il désigne par inadvertance l’auteur du ver par ses initiales : RTM. Le journal n’a besoin de rien d’autre pour identifier et révéler publiquement le nom de Robert Tappan Morris1.
Le premier condamné d’un nouveau type de crime
Le FBI ouvre une enquête. En 1989, Morris est inculpé. L’année suivante, un jury le déclare coupable, faisant de lui la première personne condamnée en vertu du Computer Fraud and Abuse Act, une loi américaine votée en 1986 pour réprimer l’accès non autorisé à des systèmes informatiques1.
Il évite la prison et écope de trois ans de mise à l’épreuve, 400 heures de travaux d’intérêt général et une amende1,2.
Le verdict en appel, rendu en 1991, pose un principe qui structure encore le droit du numérique aujourd’hui : l’accusation n’avait pas à prouver que Morris avait l’intention de causer des dommages. Le fait d’avoir délibérément lancé un programme provoquant un accès non autorisé suffisait à caractériser l’infraction3. Autrement dit : dans le numérique, l’intention compte, mais l’impact compte davantage.
Ce que le ver Morris a laissé derrière lui
L’héritage le plus tangible de cette nuit de novembre est institutionnel. Quelques jours seulement après l’incident, à la demande du département de la Défense, la toute première équipe américaine de réponse aux urgences informatiques est créée à Pittsburgh1. C’est le CERT/CC, hébergé par l’université Carnegie Mellon — l’ancêtre direct de tous les CERT et CSIRT qui existent aujourd’hui dans le monde, y compris en France.
Avant 1988, il n’existait tout simplement aucune structure organisée pour coordonner la réponse à un incident de sécurité à l’échelle d’un réseau. Le concept même de « réponse à incident », pilier de la cybersécurité moderne, naît en grande partie de cette affaire.
Plus largement, le ver Morris a fait basculer la culture d’Internet. Le réseau des années 80 reposait sur une confiance mutuelle presque totale entre des chercheurs qui se connaissaient. En une nuit, cette hypothèse s’est effondrée. La sécurité informatique est passée du statut de sujet théorique à celui de préoccupation opérationnelle.
Et Robert Tappan Morris, aujourd’hui ?
L’épilogue vaut le détour. Loin de sombrer, Morris a poursuivi une carrière académique et entrepreneuriale remarquable : il a cofondé Viaweb, l’une des premières plateformes de commerce en ligne, rachetée par Yahoo en 1998, puis Y Combinator, l’accélérateur de startups qui a contribué au lancement de Dropbox, Airbnb ou Stripe. Il est aujourd’hui professeur titulaire au MIT, dans le département même d’informatique dont il avait utilisé un ordinateur, en 1988, pour brouiller les pistes.
La morale de l’histoire
Le ver Morris est souvent classé dans l’histoire des cyberattaques. C’est un raccourci un peu injuste. Il s’agit plutôt de l’un des premiers cas documentés où un programme parfaitement fonctionnel, écrit sans intention de nuire, a produit des dégâts massifs simplement parce que son auteur n’avait pas anticipé le comportement de son propre code à grande échelle.
Un développeur de 2026 reconnaîtra le schéma sans difficulté : une logique qui fonctionne parfaitement sur une machine, et qui se transforme en catastrophe une fois déployée sur des milliers de nœuds. C’est, sous une autre forme, le même vertige que celui du « tiret » de Mariner 1 ou de l’epoch Unix — la disproportion permanente, en informatique, entre la taille d’une décision et l’ampleur de ses conséquences.