Comment Sony a-t-il installé un logiciel espion sur des millions d’ordinateurs pour protéger ses CD musicaux ?

Le contexte

Au milieu des années 2000, dans un contexte de piratage musical massif via des plateformes comme Napster, le label Sony BMG cherche des solutions techniques pour empêcher la copie de ses CD sur ordinateur. L’entreprise choisit d’intégrer sur environ 22 millions de disques un logiciel de protection baptisé XCP (Extended Copy Protection), développé par la société First 4 Internet.

La décision

Le logiciel XCP s’installe automatiquement et sans consentement explicite dès l’insertion du CD dans un lecteur Windows, modifiant le système d’exploitation pour empêcher toute copie numérique du disque. Pour échapper à toute désinstallation, le programme se dissimule activement au sein du système, fonctionnant de fait comme un rootkit, une catégorie de logiciel habituellement associée aux virus informatiques les plus sophistiqués. Le programme collecte en outre des données sur les habitudes d’écoute des utilisateurs, y compris lorsque ceux-ci ont refusé les conditions d’utilisation du logiciel.

La chute

Le 31 octobre 2005, le chercheur en sécurité informatique Mark Russinovich, de la société Winternals, publie sur son blog une analyse technique détaillée révélant la présence de ce rootkit, provoquant un scandale médiatique immédiat. Dans les jours qui suivent sa révélation publique, des chevaux de Troie et des vers informatiques commencent à exploiter les failles de sécurité ouvertes par le rootkit lui-même, certains logiciels malveillants s’en servant même pour tricher dans des jeux en ligne. Sony BMG nie d’abord tout risque de sécurité malgré la multiplication des signalements de virus, et l’outil de suppression initialement proposé par l’entreprise se contente de rendre les fichiers du rootkit à nouveau visibles sans réellement le désinstaller, tout en installant au passage un logiciel supplémentaire problématique.

Les conséquences

Sony BMG doit finalement procéder au rappel des CD concernés et fait l’objet de multiples poursuites, tant de la part de plusieurs procureurs généraux d’États américains que de recours collectifs de consommateurs. En janvier 2007, la Commission fédérale du commerce américaine (FTC) conclut un accord avec l’entreprise, l’obligeant à rembourser jusqu’à 150 dollars aux consommateurs ayant subi des dommages sur leur ordinateur et lui interdisant d’installer à l’avenir tout logiciel similaire sans autorisation explicite et éclairée de l’utilisateur.

Et depuis ?

L’affaire du rootkit Sony BMG reste depuis l’exemple le plus souvent cité dans l’industrie de la sécurité informatique pour illustrer les dangers d’une technologie de protection anti-piratage poussée au point de compromettre elle-même la sécurité des utilisateurs qu’elle est censée servir. L’épisode contribue durablement à décrédibiliser l’usage de mesures techniques de protection numérique agressives (DRM) dans l’industrie musicale, les maisons de disques se tournant progressivement, dans les années suivantes, vers des modèles de distribution numérique sans verrou technique, à l’image de celui popularisé par l’iTunes Store d’Apple.