Le cabinet lance en partenariat avec la Web TV ANews Sécurité et Siemens une série de podcasts d’Alain Bensoussan autour des grandes affaires du numérique en matière de sûreté et de sécurité.
L’utilisation d’un keylogger, à l’insu de la volonté d’un individu, pour intercepter les mots qu’il tape est un délit.
Face aux cyberattaques de plus en plus nombreuses et massives, les failles de sécurité sont devenues une préoccupation majeure et incontournable des entreprises en France et dans tous les pays du monde.
« Failles de sécurité et violation de données personnelles » la dernière publication du cabinet Alain
La Cour de cassation a condamné un étudiant pour accès frauduleux au STAD de l’université.
Virginie Bensoussan-Brulé expose les actions à mettre en œuvre consécutivement à la découverte de failles de sécurité.
Qu’elles proviennent d’une erreur, d’une négligence ou de procédés illicites, les failles de sécurité représentent
Chaque année, l’association OSSIR organise la Journée de la Sécurité des Systèmes d’Information (JSSI). Cette année, Alain Bensoussan est intervenu sur le thème des nouvelles atteintes aux STAD (Systèmes de traitement automatisé de données).
Face aux cyberattaques de plus en plus nombreuses et massives, la sécurité des réseaux et de l’information est devenue
La loi n°2014-1353 du 13 novembre 2014, renforçant les dispositions relatives à la lutte contre le terrorisme opère, par son article 16, un changement de rédaction de l’article 323-3 du Code pénal, permettant de réprimer le vol de données, sans toutefois recourir à la qualification de vol. Institués par la loi dite « Godfrain », les articles 323-1 à 323-4 du Code pénal (1) prévoyaient cinq atteintes aux systèmes de traitement automatisé de données (bien connus sous l’appellation « STAD »), lesquelles sont : l’accès ou le maintien frauduleux dans le STAD ; l’action d’entraver ou de fausser le fonctionnement du STAD ; l’introduction frauduleuse de données dans un STAD ou la modification des données qu’il contient ; l’importation, la détention, l’offre, la cession ou la mise à disposition d’un équipement, d’un instrument, d’un programme informatique ou de toute donnée conçus ou spécialement adaptés pour commettre des infractions au STAD ; enfin, la participation à un groupement de pirates informatiques. Cette troisième atteinte a été modifiée en novembre dernier afin d’intégrer dans son champ de répression l’inquiétant et récurrent vol de données, qui y échappait jusqu’alors. L’ancien texte permettait, en effet, uniquement de condamner l’introduction, la suppression ou la modification frauduleuse de données dans un STAD… mais nullement leur copie. Pour combler ce vide juridique, plusieurs voies avaient été envisagées, parmi lesquelles la contrefaçon ou l’abus de confiance. La qualification de vol qui semblait correspondre au mieux à la copie de données avait été, quant à elle, écartée, tant il était considéré (sans doute à juste titre) qu’il n’y avait pas soustraction frauduleuse d’une chose appartenant à autrui (2) : absence de soustraction, d’une part, puisque le légitime propriétaire des données les conserve et n’en est à aucun moment dépossédé (sauf hypothèse du vol de disque dur) ; absence de chose à proprement parler, d’autre part, puisque la soustraction vise un bien matériel pouvant être saisi physiquement (là où les données sont des biens immatériels). Or, la loi pénale est d’interprétation stricte et la règle est d’or. Malgré les tentatives de la jurisprudence (3), la répression du « vol » de données se fait donc au détour de la qualification de vol (et de celle de recel), par l’ajout de quatre mots au texte de l’article 323-3 du Code pénal, en vigueur depuis le 15 novembre 2014, lequel réprime désormais, outre le fait d’introduire, de modifier et de supprimer, le fait « d’extraire, de détenir, de reproduire, de transmettre » frauduleusement des données dans un STAD. La loi du 13 novembre 2014 vient ainsi sanctionner la copie frauduleuse de données, dans une optique de protection accrue de « l’économie de la connaissance ». Virginie Bensoussan-Brulé Annabelle Divoy Lexing Droit pénal numérique (1) L. n°88-19 du 5-1-1988 relative à la fraude informatique, insérant les articles 323-1 à 323-4 dans le Code pénal, en son Livre II « Des crimes et des délits contre les biens », Titre II « Des autres atteintes aux biens ». (2) Comme l’exige l’article 311-1 du Code pénal, définissant l’infraction de vol. (3) Cass. crim. 4-3-2008 n°07-84.002 Jean-Paul X Sté Graphibus.
L’exploitation de failles de sécurité fait partie des atteintes au STAD par l’introduction frauduleuse de données dans le système. Un internaute qui souhaitait plaisanter l’a appris à ses dépends. Humour ou infraction ? Telle est, en substance, la question que le Tribunal correctionnel de Paris a eu à trancher dans sa décision du 18 décembre 2014. Tout est parti d’une mauvaise blague. Ayant constaté que le site internet officiel de la députée-maire Rachida Dati comportait une faille informatique, un internaute quelque peu connaisseur s’est aperçu, non sans amusement, que celle-ci lui permettait d’injecter directement du contenu dans les différentes pages du site. Il pouvait ainsi modifier directement les dires de la députée-maire et lui prêter de faux communiqués de presse, fort parodiques. Si l’internaute prenait plaisir à la plaisanterie, il en était toutefois le seul public, la manipulation n’emportant nullement modification ou suppression de données du site officiel de Rachida Dati. Son résultat consistait uniquement en la création d’un lien internet pouvant être diffusé : quiconque accédait donc au lien pouvait voir apparaître le contenu ainsi modifié. Notre internaute l’avait compris, plus on est de fous, plus on rit. Décidant qu’il était temps de donner à sa blague une audience élargie, il fait alors appel à un second internaute qui lui fournit un nom de domaine (www.tweetpop.fr/le-cadeau-de-rachida), hébergeant un site internet dédié à la farce. Le site offre la possibilité à tout internaute, fût-il même novice en informatique, d’exploiter la faille de sécurité constatée et d’afficher sur son navigateur un communiqué de presse formellement semblable en tous points à ceux publiés sur le site officiel de la députée maire (identité de la mise en page générale, présence d’une photographie de Rachida Dati, similitude des couleurs utilisées, respect de la charte graphique, etc.), à l’exception, bien sûr, du contenu du communiqué, librement modifiable par quiconque a actionné le lien. Avec la rediffusion de ce même lien sur le compte Twitter de notre premier internaute (qui ne possédait pas moins de 4 000 contacts), les faux communiqués de presse, prêtant à Rachida Dati des propos injurieux ou diffamatoires tant sur elle-même que sur d’autres, font alors légion. De nombreux internautes s’en donnent à cœur joie et la rare finesse de l’humour déployé peut, d’ailleurs être saluée, comme en atteste, par exemple, le remplacement de la mention officielle « Groupe PPE » (Parti Populaire Européen) par la mention « Groupe PIPE ». Seulement, la blague n’est pas du goût de tout le monde. Apprenant la nouvelle, la députée-maire, quant à elle, rit jaune et dépose immédiatement plainte contre X auprès des services de police pour atteintes aux systèmes de traitement automatisé de données (STAD) et usurpation d’identité sur support numérique. Nos deux internautes ne tardent pas alors à être identifiés et la blague tourne court. Le premier internaute (qui avait constaté la faille et l’avait rendue publique) écope, en effet, d’une amende de 3000 euros pour les chefs d’usurpation de l’identité d’un tiers et d’introduction frauduleuse de données dans un système de traitement automatisé (STAD). Le second (qui avait fourni le nom de domaine permettant de rendre publique l’existence de la faille informatique) est, quant à lui, condamné au paiement d’une amende de 500 euros du chef de complicité d’usurpation de l’identité d’un tiers. La relative sévérité de ces peines semble être nettement fonction de la piètre qualité de leur humour, comme le révèlent les sermons, presque paternalistes, adressés lors de l’audience par le président de la 13e chambre correctionnelle. Tant et si bien, d’ailleurs, que certains se demandent si ce niveau de qualité n’a pas été jusqu’à guider la caractérisation de l’une des infractions. Le jugement du 18 décembre 2014 présente, en effet, un intérêt particulier au regard du droit pénal. L’application de la loi Godfrain (loi n°88-19 du 5 janvier 1988), qui avait inséré dans le Code pénal un article 323-3 venant réprimer l’introduction frauduleuse de données dans un système de traitement automatisé (STAD), ne coulait pas de source, en l’espèce. Un doute existait, à dire vrai, sur l’application de cette infraction à notre premier internaute, dans la mesure où la faille informatique ainsi reprochée n’intervenait, comme dit plus haut, que pour lui seul, sans que le site officiel de la députée-maire n’en soit nullement altéré. Notre internaute introduisait-il alors véritablement des données dans le STAD en cause, dans la mesure où ces données n’avaient ni pour vocation ni pour effet d’y demeurer ? A tout le moins, la question méritait d’être posée. Or, l’argumentation du parquet la laisse en suspens, affirmant en guise de réponse que le prévenu « avait manifestement cherché à tromper le serveur et faire du champ rechercher un usage contraire à sa vocation initiale et non-souhaité par le « maître du système », ce dont il avait connaissance ». Autrement dit, à démultiplier les failles, il avait fait en sorte que le site officiel paraisse incohérent et, dès lors, s’était rendu coupable d’une introduction frauduleuse de données. Ce raisonnement, qui ne justifie nullement en quoi l’introduction de données était réellement caractérisée, a donc attisé quelques critiques, notamment celles du quotidien Le Monde, qui y voit un élargissement de l’infraction d’introduction frauduleuse dans un STAD jusqu’à en faire un « délit technique subjectif », en ce qu’il tient compte des intentions de l’auteur du site. Le second enjeu majeur de la décision a, bien évidemment, trait à la liberté d’expression, thème brûlant de notre actualité politique. A son sujet, le tribunal affirme que « Si la liberté d’expression est une notion fondamentale de toute démocratie, celle-ci doit naturellement trouver ses limites et il est de jurisprudence constante que cette liberté ne doit en aucune mesure viser à porter atteinte à l’honneur ou à la considération d’une personne, même si celle-ci est publique ». Derrière la reprise de cette formule classique, se devine pourtant aisément la difficulté de mise en œuvre de cette liberté et de ses limites. La solution eut-elle été la même si l’humour avait été plus fin ? Le doute demeure. Eu égard tant à l’application
Dans ce numéro spécial international, les membres du réseau lexing ®, abordent la cybercriminalité, à travers les délits d’accès et de maintien frauduleux dans un système informatique.
Dans son jugement du 5 octobre 2010 à l’encontre de l’ex-trader de la Société Générale, Jérôme Kerviel, le tribunal correctionnel de Paris nous montre que l’introduction, la suppression ou la modification frauduleuse de données dans un système informatique (STAD) est un délit sévèrement réprimé par l’article 323-3 du Code pénal.
Le Tribunal correctionnel de Paris a rendu, mardi 5 octobre 2010, son jugement dans le procès concernant un trader de la Société Générale. Parmi les infractions retenues, le jugement apporte des précisions sur l’élément matériel du délit d’introduction frauduleuse de données dans un système de traitement automatisé de données (Stad) informatique, prévu par l’article 323-3 du Code pénal.
Pénal numérique Fraude informatique Maintien frauduleux dans un système de traitement automatisé de données L’utilisation d’une base de données qui n’est accessible qu’aux personnes autorisées grâce à un code remis lors d’une période d’essai constitue une infraction de maintien frauduleux dans un système de traitement automatisé de données. En conséquence, doit être censuré l’arrêt qui relaxe un prévenu du chef de maintien frauduleux dans un système de traitement automatisé de données alors qu’il relève que celui-ci, quand bien même il y aurait accédé régulièrement, a utilisé pendant plus de deux ans et avec un code qui ne lui avait été remis que pour une période d’essai, une base de données qui n’était accessible qu’aux personnes autorisées. Cass. crim. 3 octobre 2007 n°07-81045 (Mise en ligne Octobre 2007) Autres brèves Voir également Droit de l’informatique L’atteinte aux systèmes d’information : une menace bien réelle (Mise en ligne Juin 2006)
Pénal numérique Fraude informatique L’atteinte aux systèmes d’information : une menace bien réelle Un informaticien a été sévèrement condamné pour accès frauduleux et entrave au fonctionnement de systèmes informatiques. Il a pris le contrôle du serveur d’une société à partir duquel il a lancé des attaques systématiques vers des centaines de sites gouvernementaux pour soit disant « explorer leurs failles ». Pour cela, il a introduit dans le serveur divers programmes lui permettant de contrôler le serveur à distance. Il a ensuite introduit la liste des cibles choisies, ainsi que sa revendication, un message d’alerte aux administrateurs sur l’insécurité de leur système. Au total, 394 serveurs gouvernementaux (dont le serveurs du Casier judiciaire national) ont été attaqués et 63 autres serveurs publics ou privés (sites d’entreprises ou de grandes écoles). Le tribunal correctionnel de Paris a fait preuve d’une certaine exemplarité, car les faits n’ont pas eu de conséquences dramatiques. L’auteur des attaques a été condamné, au titre de la loi Godfrain, sur la fraude informatique (notamment accès frauduleux et entrave au fonctionnement d’un STAD), à quatre mois de prison avec sursis avec inscription au casier judiciaire, ainsi qu’à indemniser les parties civiles à hauteur de 1500 € chacune. Cette décision illustre la capacité des tribunaux à apporter une véritable réponse judiciaire à ce type de criminalité et doit inciter les entreprises victimes à porter plainte pour être indemnisées. TGI Paris 12e ch. 2 juin 2006 (Mise en ligne Juin 2006) Autres brèves Voir également Droit de l’informatique
Informatique Fraude informatique La protection d’un système informatique par un dispositif de sécurité n’est pas une condition d’application de la loi Godfrain Le délit d’accès frauduleux dans un système de traitement automatisé de données est prévu et réprimé par l’article 323-1 du Code pénal aux termes duquel « le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de deux ans d’emprisonnement et de 30 000 euros d’amende« . La protection d’un système de traitement automatisé de données par un dispositif de sécurité n’est pas une condition de l’incrimination. C’est ce que vient de rappeler la 31ème chambre correctionnelle du Tribunal de grande instance de Paris dans un jugement du 18 septembre 2008. Dans cette affaire, un internaute avait accédé sans autorisation à la partie confidentielle de la base de données d’un site d’annonces immobilières de particuliers. Le tribunal a jugé qu’ »il est de jurisprudence constante que le délit [d’accès frauduleux dans un système de traitement automatisé de données] est constitué dès lors qu’une personne non autorisée pénètre dans un système informatique que celui-ci soit ou non protégé« , il suffit que le maître du système ait manifesté son intention d’en restreindre l’accès aux seules personnes autorisées. Au cours des travaux préparatoires à la loi sur la fraude informatique du 5 janvier 1988, dite « loi Godfrain« , les parlementaires ont en effet refusé de retenir, comme condition de l’incrimination, la violation d’un dispositif de sécurité. En effet, la prise en compte d’un système de sécurité conduirait à apprécier la commission de l’élément matériel à partir des caractéristiques du système de traitement automatisé de données. Or, cette appréciation doit intervenir à partir du seul acte accompli par l’auteur, lequel peut être frauduleux alors même que le maître du système n’a pas prévu de dispositif de sécurité. La jurisprudence va très clairement en ce sens : la Cour d’appel de Paris, dans un arrêt du 5 avril 1994, a jugé qu’ »il n’est pas nécessaire, pour que l’infraction existe, que l’accès soit limité par un dispositif de protection » ; la Cour d’appel de Toulouse, dans un arrêt du 21 janvier 1999, a jugé que « l’accès à un système informatisé de données tombe sous le coup de la loi pénale dès lors qu’il est le fait d’une personne qui n’a pas le droit d’y accéder ; la présence d’un dispositif de sécurité n’est pas nécessaire » ; dans son arrêt du 30 octobre 2002 , infirmant le jugement du Tribunal de grande instance du 13 février 2002, la Cour d’appel de Paris a considéré qu’ »il ne peut être reproché à un internaute d’accéder (..) aux parties d’un site qui peuvent être atteintes par la simple utilisation d’un logiciel grand public de navigation, ces parties de site, qui ne font (…) l’objet d’aucune protection de la part de l’exploitant du site (…), devant être réputées non confidentielles à défaut de toute indication contraire et de tout obstacle à l’accès« .L’accès dans un système de traitement automatisé de données est donc frauduleux lorsqu’il s’effectue contre la volonté du maître du système, c’est-à-dire sans son autorisation. Ainsi, la Cour d’appel de Paris, dans l’arrêt du 5 avril 1994, a jugé qu’ »il suffit que le maître du système ait manifesté son intention d’en restreindre l’accès aux seules personnes autorisées« . La Cour d’appel de Toulouse, dans l’arrêt du 21 janvier 1999, a également jugé que « l’accès à un système informatisé de données tombe sous le coup de la loi pénale dès lors qu’il est le fait d’une personne qui n’a pas le droit d’y accéder (…) l’absence de droit résulte de l’absence d’autorisation (…) du maître du système« . Dans son arrêt du 30 octobre 2002, la Cour d’appel de Paris a encore considéré l’absence « de toute indication contraire« . TGI Paris 18 septembre 2008 (Mise en ligne Novembre 2008) Autres brèves Voir également Pénal numérique Accès non autorisé à un système informatique dépourvu de dispositif de sécurité (Mise en ligne Octobre 2008) Aspects juridiques de la sécurité informatique : le rapport Clusif 2008 (Mise en ligne Septembre 2008) Les chartes d’entreprise : une protection efficace contre la fraude informatique ! (Mise en ligne Février 2008) La fraude informatique (Mise en ligne Juin 2006) Cybercriminalité (Mise en ligne Avril 2005) La cyberdélinquance en 2004 (Mise en ligne Janvier 2005) Les atteintes à système de traitement automatisé de données (Mise en ligne Décembre 1999) Le vol d’information (Mise en ligne Février 1995)
Informatique Fraude informatique Les atteintes à un système de traitement automatisé de données Après des opérations illicites sur les écritures comptables d’une chambre de commerce, possibles grâce à l’emploi d’un logiciel permettant d’intervenir directement sur le contenu des données, à l’inverse du logiciel comptable utilisé, qui empêche tout changement après validation de l’écriture, une chambre de commerce et d’industrie avait subi des détournements de fonds. Le chef-comptable fut considéré coupable par la cour d’appel de Riom d’avoir modifié les écritures comptables, mais ne fut pas reconnu coupable du détournement de fonds. Pourtant, ce dernier contesta la décision au motif que l’interdiction d’intervenir sur les données enregistrées dans un système de traitement automatisé de données (STAD) ne visait que les tiers et non les utilisateurs légitimes et qu’en outre, il avait agi dans le but de corriger des erreurs commises lors de la saisie. La cour de cassation rejeta l’ensemble de ses arguments. Premièrement, une écriture validée et introduite dans un système comptable automatisé constitue une donnée dont la suppression et la modification sont prohibées par les règles des principes comptables ; deuxièmement, il n’est pas nécessaire que les interventions sur le programme proviennent d’une personne n’ayant pas un droit d’accès au système. Pourtant, l’élément moral restait toujours contesté, mais les juges ont rappelé que cet élément ne nécessitait pas l’intention de nuire ou de causer à autrui un préjudice, dès lors que la manipulation a été effectuée en toute connaissance de cause, avec la conscience d’effectuer une opération non autorisée. Une société ayant acquis un système informatique de traitement de la TVA, une salariée a établi de nombreux bordereaux manuscrits servant de base de saisie des différents éléments destinés à entrer dans ce nouveau système. Quelques temps après le départ en mauvais terme de la salariée, le directeur s’aperçut d’un certain nombre d’erreurs introduites dans le système informatique et qui avait été commises sur les fiches manuscrites aux codes fixant les taux de TVA applicable. Considérant la salariée fautive, le directeur l’a poursuivie et fit reconnaître devant la cour d’appel que le délit d’altération volontaire de données dans un STAD était qualifié. Se pourvoyant en cassation, la prévenue faisait grief à l’arrêt sur deux points. Premièrement, elle considérait que de faux bordereaux manuscrits ne pouvaient caractériser le délit précédemment cité et deuxièmement, elle remettait en question les motifs hypothétiques retenus par les juges pour qualifier l’élément intentionnel. Dans cette affaire, bien qu’inachevé, le système de traitement automatisé de données fonctionnait bel et bien et la simple réalisation de la manipulation litigieuse suffisait pour démontrer l’existence de l’élément intentionnel. La cour a donc permis, grâce à cette décision, de protéger les systèmes de traitement de données en cours d’élaboration. Cass. crim., 8 décembre 1999 Cass. crim., 5 janvier 1994 (Mise en ligne Décembre 1999)
STAD (Système de traitement automatisé de données) : Au sens large, un système de traitement automatisé de données s’entend de l’ensemble des éléments physiques et des programmes employés pour le traitement de données, ainsi que des réseaux assurant la communication entre les différents éléments du système informatique. Il en est ainsi des ordinateurs, mais également des périphériques d’entrée/sortie et des terminaux d’accès à distance, ainsi que de tous vecteurs de transmission de données, tels que les réseaux de communications électroniques. (Source : EFL §2512 Ed. 2008)
Pénal numérique Fraude informatique Maintien frauduleux dans un système de traitement automatisé de données L’utilisation d’une base de données qui n’est accessible qu’aux personnes autorisées grâce à un code remis lors d’une période d’essai constitue une infraction de maintien frauduleux dans un système de traitement automatisé de données. En conséquence, doit être censuré l’arrêt qui relaxe un prévenu du chef de maintien frauduleux dans un système de traitement automatisé de données alors qu’il relève que celui-ci, quand bien même il y aurait accédé régulièrement, a utilisé pendant plus de deux ans et avec un code qui ne lui avait été remis que pour une période d’essai, une base de données qui n’était accessible qu’aux personnes autorisées. Cass. crim. 3 octobre 2007 n°07-81045 (Mise en ligne Octobre 2007) Autres brèves La protection d’un système informatique par un dispositif de sécurité n’est pas une condition d’application de la loi Godfrain (Mise en ligne Novembre 2008) Accès non autorisé à un système informatique dépourvu de dispositif de sécurité (Mise en ligne Octobre 2008) Aspects juridiques de la sécurité informatique : le rapport Clusif 2008 (Mise en ligne Septembre 2008) Les chartes d’entreprise : une protection efficace contre la fraude informatique ! (Mise en ligne Mars 2008) L’atteinte aux systèmes d’information : une menace bien réelle (Mise en ligne Juin 2006) Cybercriminalité (Mise en ligne Avril 2005) La cyberdélinquance en 2004 (Mise en ligne Janvier 2005) Les atteintes à un système de traitement automatisé de données (Mise en ligne Décembre 1999) Le vol d’information (Mise en ligne Février 1995)
| Cookie | Durée | Description |
|---|---|---|
| cookielawinfo-checkbox-functional | 12 mois | Enregistrement du consentement de l'utilisateur pour les cookies fonctionnels |
| cookielawinfo-checkbox-necessary | 12 mois | Gestion de l'affichage du bandeau d'information. |
| CookieLawInfoConsent | 12 mois | Enregistrement de l'absence d'affichage du bandeau. |
| viewed_cookie_policy | 12 mois | Enregistrement de l’ouverture de la politique cookies. |
| Cookie | Durée | Description |
|---|---|---|
| _GRECAPTCHA | 6 mois | Protection du site contre les pratiques abusives des logiciels automatisés grâce à l’identification de l’utilisateur du site en distinguant un être humain du robot. |