Larry est toujours dans les murs

Lors de CyberForward 2026 à Hilversum, la secrétaire d’État Willemijn Aerdts a ouvert son intervention avec une accroche marquante : l’histoire de Leisure Suit Larry. Un jeu, une disquette, un virus, et tout un continent d’organisations qui n’avaient aucune idée de ce qui tournait sur leurs systèmes. Elle s’en est servie pour faire un constat sur la situation actuelle. La sécurité numérique, a-t-elle affirmé, dépasse largement la seule technologie. Elle exige une collaboration entre disciplines et secteurs. Elle a raison. Mais l’histoire de Larry mérite d’être examinée de plus près, car elle est plus actuelle qu’il n’y paraît.

Si vous travailliez dans l’informatique à la fin des années quatre-vingt, vous vous souvenez probablement de ce jeu. Si ce n’est pas votre cas, en voici la version courte : des infirmières d’un hôpital néerlandais jouaient à une copie infectée sur le système d’enregistrement des dossiers patients. Des banques en Suisse, en Allemagne et en Angleterre ont perdu des pans entiers de données. Le virus, connu sous le nom de Jérusalem ou vendredi 13, se propageait silencieusement à travers chaque fichier exécutable qu’il touchait, et chaque vendredi 13, il se mettait à les supprimer.

Personne dans ces organisations n’avait l’intention de provoquer un incident. Quelqu’un a simplement fait fonctionner quelque chose qu’il n’aurait pas dû faire fonctionner, sur du matériel censé faire tout autre chose. L’organisation en a payé le prix parce qu’elle n’avait aucune visibilité sur ce qui se passait réellement au sein de ses propres systèmes.

C’était il y a près de 40 ans. La question que Madame Aerdts a implicitement soulevée lors de CyberForward, et celle qui mérite qu’on s’y attarde ensuite, est de savoir si nous avons réellement appris quelque chose.

Larry n’a jamais changé. Seule sa tenue a changé.

Le virus de Jérusalem se propageait par disquettes. Aujourd’hui, le mécanisme est un onglet de navigateur. Selon le rapport 2026 Data Breach Investigations de Verizon, les détections d’IA fantôme (shadow AI) dans les environnements d’entreprise ont quadruplé en un an, 45 % des employés utilisant désormais régulièrement des outils d’IA sur des appareils professionnels. Deux tiers des professionnels de bureau admettent utiliser des outils d’IA au travail tout en pensant que cet usage est contraire à la politique de leur entreprise. Ils ne le font pas dans l’intention de nuire. Ils le font parce que cela rend leur travail plus rapide et plus facile. C’est la même raison qui poussait quelqu’un à glisser une disquette de jeu dans l’ordinateur du bureau en 1988.

Les données qui sortent par ces onglets de navigateur ne sont pas anodines. Selon le rapport 2025 Cost of a Data Breach d’IBM, les violations impliquant de l’IA fantôme coûtent aux organisations en moyenne 70 000 de plus que les autres incidents, et nécessitent en moyenne 247 jours pour être détectées. Lorsqu’un employé colle un fichier client, un rapport financier ou un projet de contrat dans un outil d’IA non validé, ces données entrent dans un circuit de traitement dont l’organisation ne sait rien.

Larry n’est jamais parti. Il a simplement mis à jour son logiciel.

Pourquoi cela concerne-t-il les conseils d’administration et les directions ?

Il serait facile de lire le paragraphe ci-dessus et de le transmettre au service informatique. Ce serait la mauvaise réponse.

Si Larry a surpris les organisations en 1988, ce n’est pas parce que leurs équipes informatiques étaient incompétentes. C’est parce que personne n’avait posé la question structurelle : qu’est-ce qui tourne réellement dans cette organisation ? Cette question n’était pas une question informatique. C’était une question organisationnelle. Y répondre exigeait de l’autorité, une politique claire, et une culture où chacun se sentait libre d’être honnête sur les outils qu’il utilisait réellement.

Il en va de même aujourd’hui. Les équipes informatiques ne peuvent pas gouverner ce qu’elles ne voient pas, et elles ne peuvent pas voir ce que les employés installent, connectent, ou dans quoi ils collent des données via leurs comptes personnels et leurs outils basés sur navigateur. Cet écart ne se comble pas avec un pare-feu supplémentaire. Il se comble par le leadership.

Si vous êtes membre d’un conseil d’administration ou dirigeant et que vous lisez ceci, vous n’êtes pas la victime de cette histoire. Vous êtes la personne qui peut réellement la changer.

Ce que Madame Aerdts a bien identifié : un problème de collaboration

Le cadrage proposé par Madame Aerdts lors de CyberForward ne portait pas sur la technologie. Il portait sur la manière dont les Pays-Bas, leurs organisations et leurs secteurs travaillent ensemble pour bâtir une résilience numérique authentique. C’est le bon cadrage.

Les organisations qui géreront bien la version moderne de Larry ne sont pas nécessairement celles disposant des plus grands budgets de sécurité. Ce sont celles où le conseil d’administration pose des questions inconfortables, où les employés peuvent exprimer leurs préoccupations sans crainte, et où quelqu’un a pris le temps de dresser un état des lieux de ce qui tourne réellement dans l’environnement numérique de l’organisation. Cet état des lieux est le préalable à tout le reste. On ne peut pas prioriser ce que l’on ne voit pas.

La collaboration signifie ici quelque chose de précis. Elle signifie que le RSSI et le directeur financier tiennent la même conversation. Elle signifie que le responsable informatique et le directeur des ressources humaines s’accordent sur ce qui constitue un outil approuvé. Elle signifie que le MSP ou le partenaire de sécurité dispose d’une visibilité suffisante sur l’environnement pour faire correctement son travail. Rien de tout cela n’est purement un problème technique.

À quoi ressemble concrètement le fait de « voir Larry » en 2026 ?

La question pratique n’est pas de savoir si votre organisation a été victime d’une intrusion. C’est de savoir si vous le sauriez si c’était le cas. Et si vous savez ce qui tourne dans votre environnement en ce moment même.

Cela implique de disposer d’un inventaire des actifs à jour, pas seulement des serveurs et des pare-feux, mais aussi des postes de travail, des services cloud, des applications SaaS, et des appareils utilisés pour se connecter. Cela implique de savoir quels outils d’IA vos équipes utilisent, officiellement et officieusement. Cela implique de réaliser des scans réguliers afin que les nouvelles vulnérabilités apparaissent avant que les attaquants ne les trouvent. Et cela implique de rendre cette information visible aux personnes qui doivent prendre des décisions, pas seulement à celles qui l’ont produite.

Une brève précision sur mon positionnement : Guardian360 développe la plateforme Lighthouse, qui aide précisément les organisations et leurs partenaires à faire cela. J’ai conscience qu’il s’agit là de mon intérêt commercial, et je le dis sans détour. Le constat reste néanmoins valable : les organisations surprises par Larry en 1988 ne manquaient pas de serrures supplémentaires. Il leur manquait une fenêtre.

La question à retenir

Madame Aerdts a appelé à la collaboration. C’est le bon mot. Mais la collaboration exige une vision partagée de la réalité, et pour la plupart des PME, cette vision fait encore défaut. La menace n’a pas changé en 40 ans. Une personne au sein de l’organisation, faisant quelque chose qui semblait anodin, a fait fonctionner ce qu’elle n’aurait pas dû faire fonctionner, sur une machine censée faire tout autre chose.

Voici la question qui mérite réflexion : quand avez-vous demandé pour la dernière fois à vos équipes quels logiciels et outils d’IA elles utilisent réellement ? Pas ce qui figure sur la liste approuvée. Ce qui tourne réellement.

Si vous ne pouvez pas répondre à cela avec assurance, Larry est peut-être déjà dans les murs.