L'expert - La cybercriminalité en 11 fiches et plans d'actions - 1re - 63

Fiche 3  ·  Atteintes à un système de traitement automatisé de données et vol de données
traitement automatisé de données » et condamné le prévenu pour accès frauduleux à tout
ou partie d'un STAD, faux et usage de faux et au paiement d'une amende de 2 000 euros.5859
FOCUS
La publication de failles de sécurité et l'incitation à la révélation
Dans un arrêt en date du 27 octobre
200959, la Cour de cassation a pu confirmer que le fait de diffuser sur un site internet accessible au public des programmes
informatiques ou du code source permettant d'exploiter des failles de sécurité était
constitutif du délit de mise à disposition
d'un programme informatique ou de toute
donnée conçus pour commettre l'une des
infractions prévues par les articles 323-1 à
323-3 du Code pénal (article 323-3-3 du
Code pénal).
Le prévenu était une société spécialisée
dans le conseil en sécurité informatique
qui publiait sur son site internet des failles
et le programme/code d'exploitation de
ces failles, mais sans inciter à l'exploitation de ces failles.
Dans cette affaire, le prévenu avait tout
d'abord été relaxé par le tribunal correctionnel, « au motif qu'il est établi que le
site www. n'incitait en aucune façon à
l'utilisation de ces codes à des fins malveillantes ou de piratage informatique ;
que la seule intention qui ait animé X
est un souci d'information des menaces
existantes non corrigées à destination des
utilisateurs de programmes informatiques ;
qu'il justifie d'ailleurs en avoir été remercié par Microsoft ; qu'aucune intention
n'est établie ».
Puis, le prévenu avait été condamné par
la cour d'appel de Montpellier, pour mise
à disposition, sans motif légitime, de
moyens conçus ou spécialement adaptés
pour commettre une atteinte à un système de traitement automatisé de données, à 1 000 euros d'amende.
La Cour de cassation a confirmé l'arrêt de
la cour d'appel au motif que le prévenu

ne pouvait arguer d'aucun moyen légitime
justifiant qu'il publie sur son site internet
des écrits permettant d'exploiter des failles
de sécurité informatique, notamment car
« du fait de son expertise en la matière,
il savait qu'il diffusait des informations
présentant un risque d'utilisation à des
fins de piratage par un public particulier
en recherche de ce type de déviance ».
S'il n'est toutefois pas permis de diffuser sur un site internet des informations
relatives à l'exploitation de failles informatiques, le législateur a mis en œuvre
un dispositif permettant d'inciter les personnes témoins d'une faille informatique
à en révéler l'existence à l'ANSSI.
En effet, au titre de l'article 2321-4 du
Code de la défense : « Pour les besoins
de la sécurité des systèmes d'information, l'obligation prévue à l'article 40 du
Code de procédure pénale60 [obligation
de dénonciation pour les fonctionnaires]
n'est pas applicable à l'égard d'une personne de bonne foi qui transmet à la seule
autorité nationale de sécurité des systèmes
d'information [ANSSI] une information sur
l'existence d'une vulnérabilité concernant
la sécurité d'un système de traitement
automatisé de données.
L'autorité préserve la confidentialité de
l'identité de la personne à l'origine de
la transmission ainsi que des conditions
dans lesquelles celle--ci a été effectuée.
L'autorité peut procéder aux opérations
techniques strictement nécessaires à la
caractérisation du risque ou de la menace
mentionnés au premier alinéa du présent
article aux fins d'avertir l'hébergeur,
l'opérateur ou le responsable du système
d'information ».

58. Cass. crim., 27 oct. 2009, n° 09-82346.
59. Alinéa 2 de l'article 40 du Code de procédure pénale : « Toute autorité constituée, tout officier public ou
fonctionnaire qui, dans l'exercice de ses fonctions, acquiert la connaissance d'un crime ou d'un délit est tenu
d'en donner avis sans délai au procureur de la République et de transmettre à ce magistrat tous les renseignements, procès--verbaux et actes qui y sont relatifs ».

63
L'expert - La cybercriminalité en 11 fiches et plans d'actions - 1re

Table des matières de la publication L'expert - La cybercriminalité en 11 fiches et plans d'actions - 1re
