En France, le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données, de modifier, de supprimer les données contenues, d’altérer, d’entraver ou d’empêcher le fonctionnement du programme sont pénalement répréhensibles au visa des articles 323-1 et 323-2 du Code pénal. La peine est d’ailleurs aggravée si ces infractions sont commises à l’égard d’un système de traitement mis en oeuvre par l’Etat.
Au fil de l’émergence des nouvelles technologies, la cybercriminalité ne cesse d’évoluer.
Le logiciel espion
Tous comme les Chevaux de Troie, l’utilisation d’un logiciel espion est constitutive d’une infraction pénale. Norton France les décrit comme des » programmes qui contrôlent à couvert l’activité d’un ordinateur, qui recueillent des informations personnelles, telles que les noms d’utilisateur, les mots de passe, les numéros de compte bancaire, des fichiers, voire même le numéro de permis de conduire et de sécurité sociale « .
Ces logiciels ont deux façons d’accéder à un ordinateur. Ils peuvent être dissimulés dans des logiciels, programmes, fichiers extérieurs. Au moment de l’ouverture du fichier, le logiciel s’installe sur l’ordinateur sans que le propriétaire ne s’en rende compte. Autre possibilité : une personne mal intentionnée peut installer d’elle-même le logiciel en accédant directement à l’ordinateur.
Pour faire face à ce genre de situations, les grandes entreprises établissent des politiques internes de lutte contre la cybercriminalité. Par exemple, les salariés ne sont pas autorisés à mettre leurs propres clés USB aux ordinateurs des bureaux, à brancher leurs smartphones, ou à connecter n’importe quel périphérique extérieur qui n’aurait pas été vérifié par un service informatique.
Dans tous les cas, il est difficile de se rendre compte de l’installation de tels logiciels. Leur découverte peut être tardive, comme c’est le cas du logiciel Sauron.
Project Sauron, la découverte du mal ?
Découvert par les sociétés Symantec et Kaspersky en août 2016, la plateforme d’espionnage, baptisée Project Sauron, s’avère être en activité depuis juin 2011. Utilisé par le groupe Strider, la plateforme a été difficilement identifiable pour une raison : Sauron n’a pas qu’un seul mode de fonctionnement mais adapte ses mécanismes selon les cibles qu’il vise. La plateforme dispose d’un ensemble d’outils divers, lui permettant de personnaliser ses attaques. Elle peut ainsi s’installer confortablement dans les ordinateurs sans être détectée et effectuer ses tâches.
Parmi ses principales caractéristiques, le rapport de Kaspersky cite notamment une empreinte unique pour chaque cible, une capacité à rechercher dans les historiques et les fichiers de l’ordinateur, un script de base flexible, de multiples mécanismes d’exfiltration pour récupérer les informations, etc.
Les cibles du programme sont des acteurs étatiques : gouvernements, centres de recherches scientifiques, militaires, fournisseurs de télécommunication et acteurs financiers. La plateforme ne vise pas les particuliers mais les grandes structures gouvernementales. Savoir que le programme perdure ainsi depuis plusieurs années rend la menace de Sauron encore plus réelle.
Pour l’instant les rapports de Kaspersky et de Symantec estiment qu’une trentaine d’organisations a déjà été victime du logiciel espion. Elles sont pour l’instant localisées en Russie, en Chine, en Suède, en Belgique, ainsi qu’en Iran et au Rwanda. L’étude des scripts de la plateforme montre même la présence de propos en italien, ce qui laisse présager que l’Italie était une potentielle cible future.
Concernant les informations volées, il peut s’agir de fichiers divers, des frappes de claviers ou encore de clés de cryptographies.
Plus inquiétant encore, les rapports soulignent qu’une opération d’une telle envergure et d’une telle complexité ne peut résulter d’un groupe isolé. Ainsi, il est à craindre que ces agissements aient été réalisés avec le soutien d’un Etat.
Claire Gimenes
Etudiante en Master 2 Gestion et Droit de l’Economie Numérique à l’Université de Strasbourg, je souhaite participer au développement du droit lié à l’émergence des nouvelles technologies.
