Le hacker face au Code pénal

Ce que dit la loi (art. 323-1 et s. du Code pénal)

• Accès ou maintien frauduleux dans un système de traitement automatisé de données (STAD) → art. 323-1
• Entrave au fonctionnement d'un système (DDoS, ransomware…) → art. 323-2
• Introduction, extraction, copie, modification ou suppression frauduleuse de données → art. 323-3
• Détention ou diffusion d'outils offensifs sans motif légitime → art. 323-3-1 (la recherche et la sécurité informatique sont citées comme motifs légitimes)
• Tentative et association de malfaiteurs informatique punies comme l'infraction elle-même → art. 323-4 et 323-7

L'absence de protection technique ne rend pas l'accès licite. Ce qui compte, c'est l'absence d'autorisation et la conscience de ne pas en avoir.

Cadre réglementaire

• RGPD → base légale du traitement des données à caractère personnel, obligation de sécurité (art. 32), notification des violations (art. 33-34)
• AI Act → règlement européen sur l'intelligence artificielle
• NIS 2 et DORA → normes sur la sécurité, la résilience et la gestion des prestataires
• Droit du travail → information/consultation du CSE lors de l'introduction de nouvelles technologies
• Propriété intellectuelle → lois encadrant les inventions et les brevets
• Contrats et responsabilité → engagements envers les clients et donneurs d'ordre : information sur le recours à l'IA, garanties, responsabilité en cas d'erreur

Télécharger une donnée publiquement accessible sur Internet peut constituer une infraction si l'on n'y est pas explicitement autorisé.

Risque : 3 ans d'emprisonnement et 100 000 € d'amende

Exemple : affaire Bluetouff (Cass. crim., 20 mai 2015) : un internaute accède via Google à des documents d'une agence publique non protégés, puis les télécharge. Il est condamné pour maintien frauduleux et vol de données, car il avait constaté la présence d'un contrôle d'accès et a continué malgré tout.

Et si vous trouvez une faille ?

• Ne pas aller plus loin que nécessaire : pas d'exploitation, pas d'extraction de données, pas de pivot
• Documenter : date, heure, URL, preuve minimale de la vulnérabilité
• Chercher un canal officiel : programme de bug bounty, politique de divulgation (VDP), fichier security.txt
• Ne jamais demander de contrepartie en échange du silence : cela peut être qualifié d'extorsion

Un signalement effectué de bonne foi via le canal protégé de l'ANSSI n'est pas transmis au parquet, et l'identité de son auteur reste confidentielle (art. L. 2321-4 du Code de la défense).

Rançongiciel : qui faut-il prévenir, dans quel ordre ? Faut-il payer ?

0. Réagir techniquement

Isoler les machines touchées du réseau sans les éteindre, préserver les journaux et les preuves, activer la cellule de crise.

1. Notifier les autorités compétentes

• ANSSI / CERT-FR pour les entités régulées NIS 2 : alerte précoce sous 24 h, notification sous 72 h, rapport final sous 1 mois
• Autorité financière (ACPR, AMF) pour les entités soumises à DORA, selon des délais très courts
• cybermalveillance.gouv.fr pour les TPE/PME et les particuliers

2. Porter plainte

Auprès de la police, de la gendarmerie ou du parquet. Le dépôt de plainte sous 72 h est obligatoire pour être indemnisé par son assureur au titre d'une cyberattaque (art. L. 12-10-1 du Code des assurances).

3. Notifier la CNIL

Si des données personnelles sont concernées : sous 72 h après en avoir pris connaissance (art. 33 RGPD), sauf si la violation ne présente pas de risque pour les personnes.

4. Informer les personnes concernées, l'assureur et les clients

Les personnes concernées doivent être informées sans délai en cas de risque élevé (art. 34 RGPD). Les obligations contractuelles d'information envers les clients et partenaires s'appliquent également.

Faut-il payer ?

• Ce n'est pas interdit en droit français, mais l'ANSSI et les autorités le déconseillent fortement
• Payer ne garantit ni la restitution des données, ni leur non-publication, ni l'absence de nouvelle attaque
• Payer finance l'écosystème criminel et peut exposer à des sanctions internationales si le groupe visé est sous embargo
• L'assurance ne couvre le paiement qu'à la condition d'une plainte déposée dans les délais

Une attaque réussie prouve-t-elle que l'entreprise a mal sécurisé ?

Non : une fuite de données ne prouve pas à elle seule que les mesures étaient inadaptées, mais c'est au responsable de traitement de prouver qu'elles étaient appropriées.

Cette position a été consacrée par la CJUE (14 décembre 2023, aff. C-340/21). L'obligation de sécurité est une obligation de moyens renforcée : il faut pouvoir démontrer l'analyse de risques, les mesures prises, les audits et la documentation (principe d'accountability).

Trois réflexes

1. Pas de test sans mandat écrit Un périmètre, des dates, des techniques autorisées et une signature de quelqu'un habilité à engager le système testé. Les bonnes intentions ne sont pas une défense.

2. Un incident déclenche des horloges juridiques 24 h, 72 h, 1 mois : ces délais courent dès la prise de connaissance. Il faut les connaître avant la crise et avoir des procédures prêtes.

3. Une certification ISO ne vaut pas conformité légale L'ISO 27001 est une démarche volontaire qui structure la sécurité, mais elle ne remplace ni le RGPD, ni NIS 2, ni DORA, et elle n'exonère pas de responsabilité en cas d'incident.