Trollist
B. Les délits de fraude informatique
Cyber criminalité a augmenté de 23% en 2011 selon des études.
On est dans les comportements relevant d???une fraude par le biais d???outil informatique.
L???incrimination de ces comportements frauduleux par une loi GODFRAIN, loi du 5 janvier 1988.
Article 323-1 et suivants du code pénal incrimine ces comportements. Article intitulé « atteinte au système de traitement automatisé de données -STAD- ».
Il est évident que le nombre de ces actes de piratage ou d???intrusion frauduleuse sont bien plus importantes que les chiffres réels. Mauvaise image pour la société que les données qu???elle contient dans ses serveurs ont été consultées et piratées.
Il faut prouver d???abord qu???il s???agit d???un STAD.
1) La notion commune de STAD
On n???a pas de définition légale au sens des articles 321-1 et suivants de ce qu???est un STAD.
La référence commune se fait vis-à-vis d???une définition sénatoriale « tout ensemble composé d???une ou plusieurs unités de traitement, de mémoire, de logiciel, de données, d???organes d???entrée-sortie, et de liaisons, qui concourent à un résultat déterminé, cet ensemble étant protégé. »
« Eléments de nature diverses » = éléments corporels ou incorporels.
« Concourir à un résultat déterminé » = le traitement de données.
Le réseau du GIE des cartes bancaires est un système de traitement de données.
A travers cette notion de STAD, la loi de 1988 a introduit une universalité de fait ??? un ensemble de droit ou de bien qui au lieu d???être envisagés séparément ne sont considéré que comme élément d???un ensemble, et non isolément. (différent de l???universalité de droit : Le fait qu???il y a un actif qui répond du passif. Exemple : le patrimoine).
L???enjeu est que cette protection pénale à travers l???incrimination ne joue que pour les éléments faisant partis de l???ensemble et non isolément hors de l???ensemble.
« Cet ensemble étant protégé » : cette condition est aujourd???hui écartée par la CA de Paris en 1994. Condition écartée peut importe que le système soit protégé ou non par un dispositif de sécurité.
La question de l???existence d???un système de sécurité se retrouve dans l???élément intentionnel du délit.
2) Les différentes incriminations
Eventail d???incrimination.
a. Le délit de base
C???est l???accès ou le maintien frauduleux dans un STAD.
Article 323-1 du code pénal : « c???est le fait de se maintenir ou d???accéder frauduleusement dans tout ou partie d???un STAD ». ??? C???est le délit de base réclamé par le monde de l???entreprise.
3 ans d???emprisonnement et 30 000??? d???amende.
« Accéder frauduleusement » : Pénétrer frauduleusement dans un système sur lequel on travaille ou le faire à distance.
Celui qu???on appelle maitre du système (le propriétaire), comme pour un domicile, on refuse la violation de ce domicile.
« Tout ou partie » : l???accès n???a pas besoin d???être intégral.
« Se maintenir » : il y a un minimum de continuité dans le temps. On reste sur le système. Accéder = c???est instantané.
« Se maintenir OU accéder » : le délit sera constitué alors même que j???y accède même si je me maintiens pas. Par mauvaise manipulation par faille du système, j???accède au système sur lequel je ne dois pas. Ce n???est pas intentionnel, donc ce n???est pas d???accès frauduleux, mais je m???y maintiens, le délit sera constitué.
C???est une condition nécessaire et suffisante. Il suffit qu???il y ait accès ou maintien frauduleux.
Peut importe ce que je fais ensuite dans le système, peut importe que je détruise, modifie, rajoute des données contenus dans le système. Ici, c???est le délit de base, le seul accès ou maintien frauduleux constitue le délit.
Délit de base pour appréhender toute approche des informations contenues dans un système informatique.
C???est un délit obstacle pour l???appréhension du vol d???informations contenues dans le système.
Les applications sont nombreuses. Mais souvent, on évite de porter plainte. Car les sociétés ne veulent pas faire savoir qu???on a pénétré leur système contenant beaucoup de données de leurs clients.
L???élément intentionnel
On s???est maintenu dans le système à l???insu du maitre de système. On avait conscience qu???on ne pouvait y pénétrer si maintenu.
Présence d???un dispositif de sécurité : élément intentionnel est apprécié selon les faits.
Si le prévenu a forcé le dispositif de sécurité, cela révèle l???intention coupable.
Ce n???est pas si simple notamment au regard des failles d???un système de sécurité. Ou de manière plus large, au regard de l???absence d???un système de sécurité.
Affaire de référence KITEKOA ou l???affaire TATI, CA Paris 30 octobre 2002 : un journaliste spécialisé en informatique sur son site KITEKOA publie des informations quant aux sites dont la sécurité laissé à désirer. Il montre les faiblesses informatiques de telle ou telle société. Le journaliste relève la faible sécurité du système informatique de la société TATI et qu???on peut accéder facilement aux informations sur les clients. La société contacte l???informaticien de la société pour régler le problème. 1 an après, rien n???est fait, le journaliste publie sur son site toutes les informations de la société. Pas de difficulté pour accéder à ce système informatique.
En février 2002, le TGI de Paris le condamne pour accès frauduleux.
Arrêt 30 octobre 2002, la CA de Paris infirme aux motifs où il ne peut être reproché à un internaute d???accéder à de telles données dans les parties d???un site qui peuvent être atteintes par simple utilisation d???un logiciel grand public de navigation. La CA précise que ces mêmes parties ne faisaient l???objet d???aucune protection particulière. Le journaliste est relaxée.
L???intention coupable s???apprécie du côté de l???auteur du délit ici. Même si c???est pour révéler au public les failles du système, l???élément intentionnel existait. Pour la CA, il n???y a pas cet élément intentionnel, car la victime n???avait pas, à travers un système de sécurité, qu???elle considérait que seul un nombre limité de personnes puissent y accéder.
Le tribunal correctionnel de Créteil, jugement du 23 avril 2013 a repris cette solution à propos d???une personne qui s???est introduite dans l???extranet de l???agence nationale de sécurité de l???alimentation et de l???environnement, cela à cause d???une faille dans le système de sécurité.
Le tribunal reprend la même argumentation que la CA de Paris, « même s???il n???est pas nécessaire pour que l???infraction existe, que l???accès soit limité par un dispositif de protection, le maitre du système n???a pas manifesté l???intention clairement, de restreindre l???accès aux données, récupérées par le prévenu, aux seules personnes autorisées. » Donc, le tribunal considère que faute de code d???accès et de mode de passe, les données étaient en libre accès et que le prévenu pouvait se maintenir dans le système.
La peine de 2 ans de prison et 30 000??? d???amende peut être aggravée :
Elle est portée à 5 ans d???emprisonnement
Et 75 000??? d???amende
Quand le délit a été commis (loi 2012) à l???encontre d???un STAD à caractère personnel mis en ??uvre par l???Etat, les mêmes agissements exposent à une peine de 5 ans et 75 000???
La tentative est incriminée. Article complété par un alinéa 2. La peine est portée à 3 ans d???emprisonnement et 45 000??? d???amende. Alinéa 2 vise l???hypothèse d???un accès frauduleux et qu???il en est résulté soit la modification ou la suppression des données contenues dans le système, soit une altération du fonctionnement de ce système.
Cet alinéa 2 désigne une suppression/modification/altération qui serait hypothétiquement faite involontairement.
Si c???est intentionnel, c???est des incriminations spécifique, c???est n???est plus un délit de base.
b. Les incriminations complémentaires au délit de base
On est au c??ur du piratage informatique et du sabotage informatique.
Par exemple : quand on envoie un virus dans un système informatique.
Article 323-2 du code pénal, incrimine l???atteinte volontaire au fonctionnement d???un STAD. L???article vise le fait de fausser ou d???entraver le fonctionnement d???un tel système.
« Entraver» : vise le fait de paralyser le fonctionnement d???un système. C???est le cas des virus et des bombes logiques.
« Fausser » : le système continue de fonctionner mais anormalement. Il n???est pas paralysé.
Peine de 5 ans et 75 000??? d???amende.
Circonstances aggravantes :
Système mis en place par l???Etat : 7 ans de prison et 10 000??? amende
Article 323-3 : il s???agit d???atteinte volontaire non pas au fonctionnement du système mais aux données contenues dans le système. C???est le fait d???introduire frauduleuse des données dans un système.
Peine de 5 ans et 75 000??? amende + circonstances aggravantes (pareil que plus haut).
S???agissant d???EDF et de Green Peace : espionnage de Green Peace par EDF.
Affaire Kerviel : saisie et annulation d???opérations fictives.
Article 323-3-1 du code pénal : créée par loi du 21 juin 2004 pour la Confiance en l???Economie Numérique, qui incrimine « le fait, sans motif légitime, d???importer, de détenir, d???offrir, de céder, ou de mettre à disposition, un équipement, un instrument, un programme informatique ou toute autre donnée, conçus ou spécialement adaptés pour commettre une des infractions citées plus haut. »
Mêmes peines que plus haut.
C???est une sorte de complicité par fourniture de moyens. Cette complicité est érigée en infraction principale.
On relève « sans motifs légitimes », on veut protéger la recherche scientifique/la lutte contre le terrorisme.
27 octobre 2009, Crim. : cet article s???applique à la publication de failles de sécurité. Ici, une personne qui avait diffusé sur son propre site, des écrits accessibles à tous, permettant d???exploiter telle ou telle faille sur tel ou tel système informatique. Il a été poursuivi et condamné.
Pour tous ces délits : la tentative est incriminée également
Article 323-4 Code pénal : incrimine la participation à un groupement formé ou à une entente établie en vue de la préparation caractérisée par un ou plusieurs faits matériels, d???une ou plusieurs infractions relevées plus haut.
Peines identiques que plus haut.
Avoir participé à un groupement formé en vue de la préparation de cette infraction.
Cet article s???applique pour les groupes/cercles informatiques où on nous apprend à pénétrer dans des systèmes informatiques. Le club lui-même constitue un cercle ou un groupement. Le fait simple de la participation au groupement sera incriminé. Pas besoin d???avoir pénétré dans un système.
Cyber criminalité a augmenté de 23% en 2011 selon des études.
On est dans les comportements relevant d???une fraude par le biais d???outil informatique.
L???incrimination de ces comportements frauduleux par une loi GODFRAIN, loi du 5 janvier 1988.
Article 323-1 et suivants du code pénal incrimine ces comportements. Article intitulé « atteinte au système de traitement automatisé de données -STAD- ».
Il est évident que le nombre de ces actes de piratage ou d???intrusion frauduleuse sont bien plus importantes que les chiffres réels. Mauvaise image pour la société que les données qu???elle contient dans ses serveurs ont été consultées et piratées.
Il faut prouver d???abord qu???il s???agit d???un STAD.
1) La notion commune de STAD
On n???a pas de définition légale au sens des articles 321-1 et suivants de ce qu???est un STAD.
La référence commune se fait vis-à-vis d???une définition sénatoriale « tout ensemble composé d???une ou plusieurs unités de traitement, de mémoire, de logiciel, de données, d???organes d???entrée-sortie, et de liaisons, qui concourent à un résultat déterminé, cet ensemble étant protégé. »
« Eléments de nature diverses » = éléments corporels ou incorporels.
« Concourir à un résultat déterminé » = le traitement de données.
Le réseau du GIE des cartes bancaires est un système de traitement de données.
A travers cette notion de STAD, la loi de 1988 a introduit une universalité de fait ??? un ensemble de droit ou de bien qui au lieu d???être envisagés séparément ne sont considéré que comme élément d???un ensemble, et non isolément. (différent de l???universalité de droit : Le fait qu???il y a un actif qui répond du passif. Exemple : le patrimoine).
L???enjeu est que cette protection pénale à travers l???incrimination ne joue que pour les éléments faisant partis de l???ensemble et non isolément hors de l???ensemble.
« Cet ensemble étant protégé » : cette condition est aujourd???hui écartée par la CA de Paris en 1994. Condition écartée peut importe que le système soit protégé ou non par un dispositif de sécurité.
La question de l???existence d???un système de sécurité se retrouve dans l???élément intentionnel du délit.
2) Les différentes incriminations
Eventail d???incrimination.
a. Le délit de base
C???est l???accès ou le maintien frauduleux dans un STAD.
Article 323-1 du code pénal : « c???est le fait de se maintenir ou d???accéder frauduleusement dans tout ou partie d???un STAD ». ??? C???est le délit de base réclamé par le monde de l???entreprise.
3 ans d???emprisonnement et 30 000??? d???amende.
« Accéder frauduleusement » : Pénétrer frauduleusement dans un système sur lequel on travaille ou le faire à distance.
Celui qu???on appelle maitre du système (le propriétaire), comme pour un domicile, on refuse la violation de ce domicile.
« Tout ou partie » : l???accès n???a pas besoin d???être intégral.
« Se maintenir » : il y a un minimum de continuité dans le temps. On reste sur le système. Accéder = c???est instantané.
« Se maintenir OU accéder » : le délit sera constitué alors même que j???y accède même si je me maintiens pas. Par mauvaise manipulation par faille du système, j???accède au système sur lequel je ne dois pas. Ce n???est pas intentionnel, donc ce n???est pas d???accès frauduleux, mais je m???y maintiens, le délit sera constitué.
C???est une condition nécessaire et suffisante. Il suffit qu???il y ait accès ou maintien frauduleux.
Peut importe ce que je fais ensuite dans le système, peut importe que je détruise, modifie, rajoute des données contenus dans le système. Ici, c???est le délit de base, le seul accès ou maintien frauduleux constitue le délit.
Délit de base pour appréhender toute approche des informations contenues dans un système informatique.
C???est un délit obstacle pour l???appréhension du vol d???informations contenues dans le système.
Les applications sont nombreuses. Mais souvent, on évite de porter plainte. Car les sociétés ne veulent pas faire savoir qu???on a pénétré leur système contenant beaucoup de données de leurs clients.
L???élément intentionnel
On s???est maintenu dans le système à l???insu du maitre de système. On avait conscience qu???on ne pouvait y pénétrer si maintenu.
Présence d???un dispositif de sécurité : élément intentionnel est apprécié selon les faits.
Si le prévenu a forcé le dispositif de sécurité, cela révèle l???intention coupable.
Ce n???est pas si simple notamment au regard des failles d???un système de sécurité. Ou de manière plus large, au regard de l???absence d???un système de sécurité.
Affaire de référence KITEKOA ou l???affaire TATI, CA Paris 30 octobre 2002 : un journaliste spécialisé en informatique sur son site KITEKOA publie des informations quant aux sites dont la sécurité laissé à désirer. Il montre les faiblesses informatiques de telle ou telle société. Le journaliste relève la faible sécurité du système informatique de la société TATI et qu???on peut accéder facilement aux informations sur les clients. La société contacte l???informaticien de la société pour régler le problème. 1 an après, rien n???est fait, le journaliste publie sur son site toutes les informations de la société. Pas de difficulté pour accéder à ce système informatique.
En février 2002, le TGI de Paris le condamne pour accès frauduleux.
Arrêt 30 octobre 2002, la CA de Paris infirme aux motifs où il ne peut être reproché à un internaute d???accéder à de telles données dans les parties d???un site qui peuvent être atteintes par simple utilisation d???un logiciel grand public de navigation. La CA précise que ces mêmes parties ne faisaient l???objet d???aucune protection particulière. Le journaliste est relaxée.
L???intention coupable s???apprécie du côté de l???auteur du délit ici. Même si c???est pour révéler au public les failles du système, l???élément intentionnel existait. Pour la CA, il n???y a pas cet élément intentionnel, car la victime n???avait pas, à travers un système de sécurité, qu???elle considérait que seul un nombre limité de personnes puissent y accéder.
Le tribunal correctionnel de Créteil, jugement du 23 avril 2013 a repris cette solution à propos d???une personne qui s???est introduite dans l???extranet de l???agence nationale de sécurité de l???alimentation et de l???environnement, cela à cause d???une faille dans le système de sécurité.
Le tribunal reprend la même argumentation que la CA de Paris, « même s???il n???est pas nécessaire pour que l???infraction existe, que l???accès soit limité par un dispositif de protection, le maitre du système n???a pas manifesté l???intention clairement, de restreindre l???accès aux données, récupérées par le prévenu, aux seules personnes autorisées. » Donc, le tribunal considère que faute de code d???accès et de mode de passe, les données étaient en libre accès et que le prévenu pouvait se maintenir dans le système.
La peine de 2 ans de prison et 30 000??? d???amende peut être aggravée :
Elle est portée à 5 ans d???emprisonnement
Et 75 000??? d???amende
Quand le délit a été commis (loi 2012) à l???encontre d???un STAD à caractère personnel mis en ??uvre par l???Etat, les mêmes agissements exposent à une peine de 5 ans et 75 000???
La tentative est incriminée. Article complété par un alinéa 2. La peine est portée à 3 ans d???emprisonnement et 45 000??? d???amende. Alinéa 2 vise l???hypothèse d???un accès frauduleux et qu???il en est résulté soit la modification ou la suppression des données contenues dans le système, soit une altération du fonctionnement de ce système.
Cet alinéa 2 désigne une suppression/modification/altération qui serait hypothétiquement faite involontairement.
Si c???est intentionnel, c???est des incriminations spécifique, c???est n???est plus un délit de base.
b. Les incriminations complémentaires au délit de base
On est au c??ur du piratage informatique et du sabotage informatique.
Par exemple : quand on envoie un virus dans un système informatique.
Article 323-2 du code pénal, incrimine l???atteinte volontaire au fonctionnement d???un STAD. L???article vise le fait de fausser ou d???entraver le fonctionnement d???un tel système.
« Entraver» : vise le fait de paralyser le fonctionnement d???un système. C???est le cas des virus et des bombes logiques.
« Fausser » : le système continue de fonctionner mais anormalement. Il n???est pas paralysé.
Peine de 5 ans et 75 000??? d???amende.
Circonstances aggravantes :
Système mis en place par l???Etat : 7 ans de prison et 10 000??? amende
Article 323-3 : il s???agit d???atteinte volontaire non pas au fonctionnement du système mais aux données contenues dans le système. C???est le fait d???introduire frauduleuse des données dans un système.
Peine de 5 ans et 75 000??? amende + circonstances aggravantes (pareil que plus haut).
S???agissant d???EDF et de Green Peace : espionnage de Green Peace par EDF.
Affaire Kerviel : saisie et annulation d???opérations fictives.
Article 323-3-1 du code pénal : créée par loi du 21 juin 2004 pour la Confiance en l???Economie Numérique, qui incrimine « le fait, sans motif légitime, d???importer, de détenir, d???offrir, de céder, ou de mettre à disposition, un équipement, un instrument, un programme informatique ou toute autre donnée, conçus ou spécialement adaptés pour commettre une des infractions citées plus haut. »
Mêmes peines que plus haut.
C???est une sorte de complicité par fourniture de moyens. Cette complicité est érigée en infraction principale.
On relève « sans motifs légitimes », on veut protéger la recherche scientifique/la lutte contre le terrorisme.
27 octobre 2009, Crim. : cet article s???applique à la publication de failles de sécurité. Ici, une personne qui avait diffusé sur son propre site, des écrits accessibles à tous, permettant d???exploiter telle ou telle faille sur tel ou tel système informatique. Il a été poursuivi et condamné.
Pour tous ces délits : la tentative est incriminée également
Article 323-4 Code pénal : incrimine la participation à un groupement formé ou à une entente établie en vue de la préparation caractérisée par un ou plusieurs faits matériels, d???une ou plusieurs infractions relevées plus haut.
Peines identiques que plus haut.
Avoir participé à un groupement formé en vue de la préparation de cette infraction.
Cet article s???applique pour les groupes/cercles informatiques où on nous apprend à pénétrer dans des systèmes informatiques. Le club lui-même constitue un cercle ou un groupement. Le fait simple de la participation au groupement sera incriminé. Pas besoin d???avoir pénétré dans un système.
