Avocat cybercriminalité : piratage et accès frauduleux

Messagerie consultée, identifiants réutilisés après un départ, données extraites : le Code pénal réprime largement les atteintes aux systèmes informatiques.

Urgence pénale, jour et nuit : 06 58 40 22 75 · écrire au cabinet

―――――

I · L’INFRACTION

Les atteintes aux systèmes informatiques

Le Code pénal protège les « systèmes de traitement automatisé de données » : ordinateurs, serveurs, messageries, logiciels métiers, bases de données, comptes en ligne. Ces infractions concernent aussi bien le piratage organisé que le salarié qui consulte la messagerie d’un collègue ou l’ancien collaborateur qui se reconnecte après son départ.

L’élément légal

Accès ou maintien frauduleux (article 323-1) : le fait d’accéder ou de se maintenir frauduleusement dans tout ou partie d’un système.
Entrave (article 323-2) : le fait d’entraver ou de fausser le fonctionnement d’un système, par exemple par une attaque par déni de service ou un rançongiciel.
Atteinte aux données (article 323-3) : introduire frauduleusement des données, ou extraire, détenir, reproduire, transmettre, supprimer ou modifier frauduleusement celles que le système contient.
Outils de piratage (article 323-3-1) : détenir, offrir ou mettre à disposition, sans motif légitime, un programme ou un équipement conçu pour commettre ces infractions.

L’élément matériel

L’accès est constitué quel que soit le moyen employé : il n’est pas nécessaire de forcer un mot de passe. Le maintien vise celui qui, entré de manière régulière ou par erreur, reste dans le système alors qu’il sait ne pas y être autorisé.

L’élément moral

L’auteur doit savoir qu’il n’a pas le droit d’accéder au système, d’y rester ou de toucher aux données. C’est souvent le cœur du débat : l’autorisation donnée, son étendue et sa durée.

II · LES RISQUES

Les peines encourues

Accès ou maintien frauduleux : trois ans d’emprisonnement et 100 000 euros d’amende ; cinq ans et 150 000 euros s’il en est résulté une suppression ou une modification de données ou une altération du fonctionnement.
Entrave au fonctionnement et atteinte aux données : cinq ans d’emprisonnement et 150 000 euros d’amende.
Système de données personnelles mis en œuvre par l’État : sept ans d’emprisonnement et 300 000 euros d’amende.
Bande organisée : dix ans d’emprisonnement et 300 000 euros d’amende.

La participation à un groupement formé pour préparer ces infractions est punie des mêmes peines que l’infraction elle-même.

III · LA JURISPRUDENCE

Ce que juge la Cour de cassation

L’accès et le maintien frauduleux

Peu importe le moyen : commet un accès frauduleux la personne qui, sachant qu’elle n’y est pas autorisée, accède par quelque moyen que ce soit à un système, par exemple à la messagerie d’une collègue sur un poste non verrouillé (Cass. crim., 27 mars 2018, n° 17-81.989 ; Cass. crim., 9 mars 2016, n° 14-86.795).
Le maintien après une défaillance technique : se maintenir dans un système après y être entré à la suite d’une défaillance technique et avoir constaté l’existence d’un contrôle d’accès constitue un maintien frauduleux ; télécharger des données que l’on sait protégées, sans l’accord de leur propriétaire, constitue en outre un vol (Cass. crim., 20 mai 2015, n° 14-81.336).
La période d’essai expirée : utiliser pendant plus de deux ans une base de données avec un code remis pour une simple période d’essai caractérise le maintien frauduleux (Cass. crim., 3 octobre 2007, n° 07-81.045).
L’administrateur réseau : l’administrateur qui lit les messages échangés sur le réseau, à des fins étrangères à sa mission et à l’insu de leurs titulaires, se maintient frauduleusement dans le système, même s’il dispose d’un droit général d’accès (Cass. crim., 2 septembre 2025, n° 24-83.605).
Le logiciel espion : installer un enregistreur de frappe (keylogger) sur des ordinateurs pour capter les codes d’accès et lire les courriels caractérise l’infraction de l’article 323-1 (Cass. crim., 16 janvier 2018, n° 16-87.168).

Les atteintes aux données

L’utilisateur habilité : les articles 323-1 à 323-3 ne peuvent être reprochés à celui qui, disposant des droits d’accès et de modification, supprime des données sans le dissimuler aux autres utilisateurs (Cass. crim., 7 janvier 2020, n° 18-84.755).
Le compte créé pour contourner une désactivation : créer un compte au nom d’un tiers pour réactiver son propre compte désactivé et en extraire des données, en dissimulant sciemment son action, révèle au contraire le caractère frauduleux de l’opération (Cass. crim., 5 avril 2022, n° 21-83.590).
Les outils de piratage : le motif légitime d’information ne peut être invoqué par celui qui, du fait de son expertise, savait qu’il diffusait des informations présentant un risque d’utilisation à des fins de piratage (Cass. crim., 27 octobre 2009, n° 09-82.346).

IV · LA DÉFENSE

Les axes de défense

L’autorisation et ses limites

Identifiants communiqués par l’employeur, accès toléré, compte non désactivé après un départ : la défense examine ce qui était réellement autorisé, par qui et pour combien de temps.

L’imputabilité des connexions

Une adresse IP, un identifiant ou un poste partagé ne désignent pas toujours une personne. Les journaux de connexion et les expertises informatiques doivent être discutés pièce par pièce.

La régularité des investigations

Réquisitions aux opérateurs, perquisitions informatiques, captations de données : ces actes obéissent à des règles strictes dont la violation peut entraîner des nullités.

Victime d’un piratage

Entreprise ou particulier, conservez les journaux et les preuves techniques avant toute remise en état, puis déposez plainte. Le cabinet accompagne les victimes et les assiste comme partie civile.

V · LE CABINET

Un avocat pénaliste à Nanterre, Paris et en Île-de-France

Avocat au barreau des Hauts-de-Seine, Maître Aubin Campilla-Rogé intervient exclusivement en droit pénal général et en droit pénal des affaires. Le cabinet, situé 1 rue Carnot à Boulogne-Billancourt, défend les personnes mises en cause pour des atteintes aux systèmes informatiques et assiste les entreprises victimes, de la garde à vue jusqu’au jugement, devant le tribunal judiciaire de Nanterre, la cour d’appel de Versailles et les juridictions de Paris et d’Île-de-France. Découvrir le cabinet ou prendre contact. Un proche est en garde à vue : 06 58 40 22 75.

DOMAINES LIÉS

Pour aller plus loin

QUESTIONS FRÉQUENTES

Vos questions, nos réponses

Consulter la messagerie d’un collègue ou d’un conjoint est-il un délit ?

Accéder sans autorisation à une messagerie peut constituer un accès frauduleux dans un système de traitement automatisé de données, puni de trois ans d’emprisonnement et de 100 000 euros d’amende. La Cour de cassation juge que l’infraction est constituée quel que soit le moyen employé, même sans forcer de mot de passe.

Mes identifiants n’ont pas été désactivés après mon départ : puis-je les utiliser ?

Non. Se reconnecter à un système auquel on sait ne plus être autorisé peut caractériser un accès ou un maintien frauduleux, et extraire des données peut constituer une infraction distincte. Tout dépend de ce qui avait été convenu au moment du départ.

Le téléchargement de fichiers peut-il être qualifié de vol ?

Oui. La Cour de cassation a jugé que le téléchargement, sans le consentement de leur propriétaire, de données que l’on sait protégées caractérise la soustraction frauduleuse constitutive du vol, en plus du maintien frauduleux dans le système.

Mon entreprise a été victime d’un rançongiciel : que faire ?

Isolez les machines touchées sans les effacer, conservez les journaux et les messages des attaquants, et déposez plainte rapidement. Ces éléments sont indispensables à l’enquête et à l’indemnisation.

―――――

Une urgence pénale ? Appelez le cabinet.

06 58 40 22 75

1, rue Carnot, 92100 Boulogne-Billancourt · écrire au cabinet