Il guasto informatico di CrowdStrike del 2024 è stato un evento imprevisto che il 19 luglio 2024 ha prodotto il crash di computer e macchine virtuali con sistema operativo Windows in tutto il mondo, a causa dell'aggiornamento difettoso del software CrowdStrike Falcon Sensor, sviluppato dall'azienda statunitense di sicurezza informatica CrowdStrike.
Aziende e governi di tutto il mondo sono stati colpiti da quello che è stato definito da alcune fonti come il "più grande guasto informatico della storia".
Tra le imprese interessate, ci sono state compagnie aeree, aeroporti, banche, hotel, ospedali, mercati azionari e emittenti televisive. Sono stati colpiti anche servizi pubblici come numeri di emergenza e siti web. Il bug è stato individuato e ne è stata pubblicata la soluzione lo stesso giorno, ma il disservizio ha continuato a ritardare voli aerei, causare problemi nell'elaborazione dei pagamenti elettronici e a interrompere i servizi di emergenza, poiché molti dispositivi colpiti da esso dovevano essere riparati manualmente.
Contesto CrowdStrike è un'azienda statunitense che produce una suite di prodotti software di sicurezza informatica per le aziende. Tra i suoi prodotti vi era Falcon, un software di rilevamento e risposta degli endpoint che lavora al livello del kernel del sistema operativo sui singoli computer per rilevare e prevenire le minacce informatiche. CrowdStrike distribuisce periodicamente delle patch per consentire al software di individuare nuovi tipi di minacce.
Interruzione del servizio Venerdì 19 luglio 2024 alle 4:09 UTC (6:09 CEST) CrowdStrike ha pubblicato un aggiornamento della configurazione di Falcon destinato a computer e server che usano Microsoft Windows come sistema operativo. L'aggiornamento conteneva una modifica ad un file di configurazione, chiamato Channel File 291, che determina come Falcon ispeziona le named pipe su Windows. La nuova versione del file era però malformata e ciò ha causato una lettura di memoria fuori limite che a sua volta ha innescato un'eccezione di tipo page fault che non poteva essere gestita correttamente ed ha portato al crash del sistema operativo.
Il problema ha colpito i sistemi che usavano Windows 10 o Windows 11 e sui quali era installato il software Falcon di CrowdStrike. Gran parte dei computer ad uso personale non è stato impattato, in quanto i software di CrowdStrike erano utilizzati prevalentemente in ambito aziendale. Nemmeno i computer che utilizzavano altri sistemi operativi, come Linux o macOS, sono stati colpiti, poiché l'aggiornamento problematico riguardava solo Windows. Purtroppo il software non dava la possibilità agli utenti di disabilitare o ritardare l'installazione automatica degli aggiornamenti.
Quasi immediatamente le macchine virtuali Windows su Microsoft Azure hanno cominciato ad andare in crash e a riavviarsi. Alle 6:48 UTC il problema è stato segnalato anche su Google Cloud Platform e alle 7:15 Google ha dichiarato che la causa era un aggiornamento del software di CrowdStrike.
CrowdStrike ha bloccato la distribuzione dell'aggiornamento difettoso alle 5:27 UTC e i computer che erano rimasti spenti durante l'intervallo di tempo in cui l'aggiornamento era stato disponibile non sono stati affetti dal problema. In seguito l'azienda ha pubblicato nuovamente l'aggiornamento dopo avere corretto la parte difettosa. Alle 9:45 George Kurtz, CEO di CrowdStrike, ha rilasciato una dichiarazione su X affermando che la causa del problema era un difetto in un aggiornamento per sistemi Windows, che una correzione era già disponibile e che il problema non era causato da un ciberattacco.
Rimedi In generale la maggior parte dei dispositivi affetti dal problema è stata ripristinata riavviando il sistema dopo le 5:27 UTC e lasciando che il software scaricasse automaticamente il nuovo aggiornamento senza più la parte problematica.
Quando ciò non è stato sufficiente a risolvere il problema, è stato necessario avviare il sistema in modalità provvisoria o con il Windows Recovery Environment, aprire la cartella C:\Windows\System32\driver\CrowdStrike\ e cancellare tutti i file il cui nome comincia con C-00000291- e termina con l'estensione .sys. Poiché questa operazione doveva essere svolta manualmente su ogni singola macchina affetta dal problema, in certi casi il totale recupero di tutti i sistemi ha richiesto giorni.
Sui dispositivi protetti con crittografia BitLocker, la quale è comunemente abilitata sui dispositivi aziendali per proteggere i dati in caso di furto, il recupero era reso ulteriormente più complesso dal fatto che gli utenti dovevano inserire manualmente la chiave di ripristino BitLocker (un codice di 48 cifre), che è differente per ogni computer. Peraltro molte aziende salvano le chiavi di recupero dei dispositivi su server locali, i quali in alcuni casi erano affetti essi stessi dal problema e non era pertanto possibile accedervi.
Impatto e conseguenze Le interruzioni si sono verificate in tutto il mondo, a testimonianza dell'ampio utilizzo di Microsoft Windows e del software CrowdStrike da parte di aziende globali in numerosi settori commerciali. Al momento dell'incidente, CrowdStrike ha dichiarato di avere oltre 24.000 clienti, tra cui quasi il 60% delle aziende Fortune 500 e più della metà delle Fortune 1000. Il 20 luglio, Microsoft ha stimato che 8,5 milioni di dispositivi sono stati colpiti dall'aggiornamento, che secondo Microsoft rappresentavano meno dell'uno per cento di tutti i dispositivi Windows.
Alcuni paesi sono stati meno colpiti. La Cina, che ha fatto sforzi per raggiungere l'autosufficienza informatica, ha visto un impatto minimo sui servizi chiave come le compagnie aeree e le banche, anche se le imprese straniere e gli hotel di lusso del paese sono stati colpiti. La Russia e l'Iran - entrambi limitati dalle sanzioni internazionali ad utilizzare i servizi delle aziende high-tech americane, non hanno riportato alcuna interruzione. La società di quantificazione del rischio informatico Kovrr ha calcolato che il costo complessivo per l'economia del Regno Unito sarebbe stato probabilmente compreso tra 1,7 e 2,3 miliardi di sterline. Un'azienda specializzata nell'assicurazione contro i disservizi dei cloud ha stimato che le 500 aziende statunitensi più importanti per fatturato, esclusa Microsoft, avrebbero affrontato una spesa di circa 5,4 miliardi di dollari di perdite finanziarie a causa dell'interruzione del servizio, ma solo tra 540 milioni e 1,08 miliardi di dollari di queste perdite sarebbero state assicurate. Una settimana dopo l'evento, è stato stimato che esso abbia causato perdite economiche complessive per circa 15 miliardi di dollari alle aziende colpite.
Sanità Numerosi ospedali e centri medici in tutto il mondo hanno dovuto interrompere l'assistenza sanitaria a causa del blocco dei loro sistemi informatici. Molti ospedali sono stati costretti a cancellare interventi chirurgici e appuntamenti per le analisi e a sospendere i nuovi ricoveri, con conseguenze imprevedibili per i pazienti affetti da malattie gravi.
Trasporto aereo In totale il 19 luglio nel mondo sono stati cancellati 6.855 voli, il 6,2% di tutti quelli programmati per quel giorno. Un'interruzione di Microsoft Azure non correlata, che ha interessato servizi come Microsoft 365, ha aggravato i problemi delle compagnie aeree.
Asia L'aeroporto internazionale di Hong Kong ha subito ritardi durante i check-in, soprattutto per i passeggeri del vettore economico locale Hong Kong Express, il cui personale ha utilizzato cartelli scritti a mano per indirizzare i passeggeri ai banchi del check-in. L'Autorità aeroportuale di Hong Kong ha attivato una risposta di emergenza dopo il malfunzionamento dei siti web delle compagnie aeree e del check-in automatico. I sistemi di prenotazione delle compagnie aeree locali Cathay Pacific, Hong Kong Express e Hong Kong Airlines non erano disponibili. HKExpress ha cancellato alcuni voli il 20 luglio. Jeju Air e Spring Japan hanno avuto problemi. Jetstar Japan ha cancellato molti voli (soprattutto nazionali). Alcuni dei chioschi di self-check-in dell'aeroporto Changi di Singapore sono stati colpiti, ritardando e costringendo le compagnie aeree a passare al check-in manuale, e Singapore Airlines e Scoot hanno riportato vari livelli di difficoltà di servizio per tutto il 19 luglio. I voli di Cebu Pacific e AirAsia Philippines hanno subito ritardi. Si sono formate lunghe code all'aeroporto internazionale Ninoy Aquino. A Taiwan, sono stati segnalati disservizi nei sistemi delle compagnie aeree all'aeroporto internazionale Taoyuan. In Indonesia, sono stati segnalati disservizi nei sistemi di check-in di AirAsia e Citilink. In Thailandia, sono stati colpiti i sistemi di prenotazione e check-in di AirAsia Thai. In India, l'interruzione ha interessato IndiGo Airlines, Akasa Air, SpiceJet e Vistara. Durante l'interruzione del servizio sono state emesse carte d'imbarco scritte a mano. Il Ministero dell'aviazione civile ha chiesto e ordinato alle compagnie aeree e agli aeroporti di essere compassionevoli e di fornire cibo e posti a sedere ai clienti in attesa, a seconda delle necessità. Alle 18:14 IST (12:44 UTC), più di 200 voli indiani erano stati cancellati; la sola IndiGo ne ha cancellati 192. Le compagnie aeree che si affidano a Microsoft Azure per i loro servizi sono state colpite. Air India e SpiceJet hanno dichiarato che nessuno dei loro voli è stato cancellato a causa dell'interruzione, attribuendola al loro solido sistema informatico, ma sono stati segnalati ritardi di pochi minuti.
Europa L'aeroporto di Praga in Cechia, l'aeroporto di Budapest in Ungheria, l'aeroporto di Bratislava in Slovacchia e l'aeroporto di Schiphol nei Paesi Bassi hanno avuto problemi. Gli aerei non sono stati autorizzati ad atterrare all'aeroporto di Zurigo. Vicino a Bruxelles, i dipendenti dell'aeroporto di Charleroi hanno controllato manualmente i passeggeri, ma altri software hanno alleviato i problemi entro le 10:00 (UTC+2) e i ritardi sono stati minimi. L'Aena di ENAIRE, il gestore del controllo del traffico aeroportuale nazionale spagnolo, ha menzionato un'interruzione informatica sul proprio sito web e sui social media. Tutti gli aeroporti spagnoli hanno segnalato disagi. L'aeroporto Charles de Gaulle e l'aeroporto di Orly hanno avuto problemi di check-in e hanno sospeso i voli. L'aeroporto di Poznań-Ławica e l'aeroporto Chopin di Varsavia hanno avuto disagi di check-in. È stato attivato un sistema di emergenza e i processi di check-in sono stati rallentati. L'aeroporto di Berlino-Brandeburgo ha annunciato che dalle 07:00 circa (UTC+2) i processi operativi erano affetti da "problemi informatici presso un fornitore esterno" e che prevedeva di interrompere i voli fino alle 08:00 UTC. Mentre la gestione dei passeggeri è proseguita con alcune limitazioni, si sono verificati ritardi e le compagnie aeree hanno cancellato alcuni voli. Diverse compagnie aeree (Eurowings, Ryanair, Vueling e Turkish Airlines) nell'aeroporto di Amburgo hanno dovuto emettere i biglietti a mano. Anche il controllo del traffico aereo croato e svedese ha subito interruzioni.