Un serveur chiffré un lundi matin, une boîte mail piratée, un faux virement ordonné au nom du dirigeant : la cyberattaque n’est plus réservée aux grands groupes. Le droit pénal français la réprime depuis la loi « Godfrain » du 5 janvier 1988, et les peines ont été plusieurs fois alourdies. Voici les infractions que l’on retrouve derrière une attaque informatique, et ce que risquent leurs auteurs.
L’essentiel en 30 secondes
• Le cœur du dispositif : les atteintes aux systèmes de traitement automatisé de données (STAD), articles 323-1 à 323-8 du code pénal.
• Accéder ou se maintenir frauduleusement dans un système : 3 ans d’emprisonnement et 100 000 € d’amende ; 5 ans et 150 000 € si des données sont supprimées ou modifiées (art. 323-1).
• Rançongiciel, hameçonnage, vol de données : s’y ajoutent souvent l’extorsion, l’escroquerie, la collecte frauduleuse de données ou l’usurpation d’identité.
• La tentative est punie comme l’infraction consommée (art. 323-7), et les entreprises peuvent elles-mêmes être poursuivies (art. 323-6).
Les atteintes aux systèmes de traitement automatisé de données
Le code pénal ne parle pas de « piratage ». Il protège les systèmes de traitement automatisé de données : ordinateurs, serveurs, messageries, sites internet, applications, objets connectés. Cinq comportements sont visés.
1. L’accès ou le maintien frauduleux (art. 323-1)
Le simple fait d’accéder sans droit à tout ou partie d’un système, ou de s’y maintenir alors qu’on sait ne pas y être autorisé, est puni de trois ans d’emprisonnement et de 100 000 € d’amende. Aucun dommage n’est exigé : entrer suffit. Le délit couvre aussi bien l’intrusion par une faille que l’utilisation d’identifiants dérobés, ou le salarié qui continue à consulter un logiciel après son départ.
La peine passe à cinq ans et 150 000 € lorsque l’intrusion a entraîné la suppression ou la modification de données, ou une altération du fonctionnement du système. Elle atteint sept ans et 300 000 € lorsque le système visé est un traitement de données personnelles mis en œuvre par l’État.
2. L’entrave au fonctionnement (art. 323-2)
Entraver ou fausser le fonctionnement d’un système est puni de cinq ans et 150 000 €. C’est la qualification typique de l’attaque par déni de service (saturation d’un site), du chiffrement des serveurs par un rançongiciel ou du sabotage d’un logiciel.
3. L’introduction, l’extraction ou la modification de données (art. 323-3)
Introduire frauduleusement des données dans un système, ou en extraire, détenir, reproduire, transmettre, supprimer ou modifier frauduleusement le contenu, est puni de cinq ans et 150 000 €. Ce texte saisit l’exfiltration d’un fichier clients, l’installation d’un logiciel espion ou la falsification d’une base de données.
4. Les outils de piratage (art. 323-3-1)
Importer, détenir, céder ou mettre à disposition un programme ou un équipement conçu pour commettre ces infractions est puni des mêmes peines, sauf motif légitime, notamment de recherche ou de sécurité informatique. Le texte réserve donc expressément la situation des chercheurs et des auditeurs en sécurité.
5. L’association de malfaiteurs informatique (art. 323-4)
Participer à un groupement formé pour préparer l’une de ces infractions est puni comme l’infraction elle-même. Les attaques par rançongiciel sont aujourd’hui le fait de groupes structurés ; cette incrimination permet de poursuivre chaque maillon.
Les circonstances aggravantes
- Bande organisée : jusqu’à dix ans d’emprisonnement et 300 000 € (art. 323-4-1).
- Mise en danger des personnes : lorsque l’attaque expose autrui à un risque immédiat de mort ou de blessures graves, ou fait obstacle aux secours (attaque d’un hôpital, par exemple), la peine est également portée à dix ans et 300 000 € (art. 323-4-2).
- Systèmes de l’État traitant des données personnelles : sept ans et 300 000 € (art. 323-1 à 323-3).
Les personnes physiques encourent en outre des peines complémentaires : interdiction d’exercer l’activité à l’occasion de laquelle l’infraction a été commise, confiscation du matériel, exclusion des marchés publics (art. 323-5).
Les autres infractions que l’on retrouve derrière une cyberattaque
Une attaque informatique est rarement une fin en soi. Elle sert à obtenir de l’argent ou des informations, et d’autres qualifications s’ajoutent alors.
- Rançongiciel : exiger une somme contre la restitution des données ou la non-publication de fichiers volés peut être qualifié d’extorsion, punie de sept ans et 100 000 € (art. 312-1).
- Hameçonnage (phishing) et fraude au président : tromper une personne par un faux message ou un faux nom pour obtenir un virement constitue une escroquerie, punie de cinq ans et 375 000 € (art. 313-1).
- Collecte de données personnelles par un moyen frauduleux, déloyal ou illicite : cinq ans et 300 000 € (art. 226-18).
- Usurpation d’identité, y compris en ligne : un an et 15 000 € (art. 226-4-1).
- Interception ou détournement de correspondances électroniques : un an et 45 000 € (art. 226-15).
L’entreprise attaquée peut-elle aussi être mise en cause ?
L’entreprise victime n’est pas pénalement responsable de l’attaque qu’elle subit. Mais une faille de sécurité dans le traitement de données personnelles peut engager sa responsabilité sur un autre terrain : le RGPD lui impose de notifier la violation à la CNIL dans les 72 heures lorsqu’elle présente un risque pour les personnes concernées (art. 33 du RGPD). À l’inverse, une société peut être poursuivie comme auteur si l’atteinte a été commise pour son compte, par exemple l’espionnage du système d’un concurrent (art. 121-2 et 323-6 du code pénal).
Qui poursuit et qui juge ?
Les poursuites relèvent du parquet du lieu de l’infraction ou du domicile de la victime, à Grenoble le parquet du tribunal judiciaire. Pour les atteintes aux STAD, le parquet de Paris dispose d’une compétence nationale concurrente (art. 706-72 et 706-72-1 du code de procédure pénale), exercée par sa section spécialisée dans la cybercriminalité pour les attaques les plus complexes.
Vous êtes victime d’une attaque ? Notre article consacré aux réflexes pénaux après une cyberattaque détaille les démarches à engager dans les premières heures.
Mis en cause pour des faits de piratage ?
Les qualifications sont techniques et la frontière entre le légitime et le frauduleux est parfois fine : accès conservé après une rupture de contrat, test de sécurité non autorisé, récupération de ses propres données. L’élément intentionnel, le caractère « frauduleux » de l’accès et la preuve numérique se discutent. Une défense efficace suppose une lecture précise du dossier technique dès la garde à vue ou l’audition.
Le Cabinet Adélise assiste victimes et mis en cause en droit pénal du numérique, à Grenoble et devant les juridictions de la cour d’appel de Grenoble. Prendre rendez-vous.
