La cybercriminalité et l’expertise judiciaire

Le contexte

Définition

La » cyber­cri­mi­na­li­té » désigne l’en­semble des infrac­tions pénales sus­cep­tibles d’être com­mises sur les réseaux de télé­com­mu­ni­ca­tions en géné­ral et notam­ment sur le réseau Internet.

La cyber­cri­mi­na­li­té cor­res­pond à deux caté­go­ries d’in­frac­tions pénales :

• les infrac­tions où l’in­for­ma­tique est l’ob­jet même du crime ou du délit ;
• les infrac­tions pénales » clas­siques » com­mises au moyen d’In­ter­net, notamment :

- les infrac­tions rela­tives aux atteintes à la digni­té humaine,
– les infrac­tions au Code de la pro­prié­té intel­lec­tuelle (art. L335‑1 à 4 du CPI),
– les infrac­tions à la loi sur la presse (loi du 29 juillet 1881),
– les infrac­tions contre les biens.

Les textes législatifs récents

La loi » infor­ma­tique et liber­tés » du 6 jan­vier 1978 (art. 226–16 à 24 du Code pénal (CP) rela­tive à l’in­for­ma­tique, aux fichiers et aux liber­tés vise notam­ment à com­battre la créa­tion de fichiers nomi­na­tifs clan­des­tins et réprime plu­sieurs infrac­tions por­tant atteinte aux droits de la per­sonne résul­tant des fichiers ou des trai­te­ments informatiques.

La loi du 5 jan­vier 1988 dite » loi God­frain » (art. 323–1 à 7 du CP) incri­mine les accès et le main­tien frau­du­leux dans un sys­tème de trai­te­ment auto­ma­ti­sé de don­nées, les modi­fi­ca­tions et les alté­ra­tions de données.

L’ar­ticle 40 de la loi sur la sécu­ri­té quo­ti­dienne du 16 novembre 2001 insère deux articles après le L. 163–4 du Code moné­taire et finan­cier, sur le fait de fabri­quer, d’ac­qué­rir, de déte­nir, de céder, d’of­frir ou de mettre à dis­po­si­tion des équi­pe­ments, ins­tru­ments, pro­grammes infor­ma­tiques ou toutes don­nées conçus ou spé­cia­le­ment adap­tés pour contre­faire des cartes.

La loi pour la confiance dans l’é­co­no­mie numé­rique (n° 2004–575 du 21 juin 2004) défi­nit notam­ment les obli­ga­tions géné­rales des pres­ta­taires tech­niques de l’In­ter­net (four­nis­seurs d’ac­cès et héber­geurs) en matière de conser­va­tion des don­nées d’i­den­ti­fi­ca­tion des auteurs de conte­nus ain­si que l’ab­sence de leur obli­ga­tion géné­rale de sur­veiller les conte­nus sto­ckés ou transmis.

Le pro­jet de conven­tion euro­péenne sur la cyber­cri­mi­na­li­té du 23 novembre 2001, adop­té par le Conseil de l’Eu­rope le 8 novembre 2004, doit deve­nir le pre­mier docu­ment inter­na­tio­nal contrai­gnant dans le domaine d’Internet.

Les États-Unis, le Japon et le Cana­da, qui ne sont pas membres du Conseil de l’Eu­rope mais béné­fi­cient du sta­tut d’ob­ser­va­teur auprès de l’or­ga­ni­sa­tion, seront éga­le­ment invi­tés à signer et à rati­fier ce texte, à la rédac­tion duquel ils ont été associés.

La Conven­tion entre­ra en vigueur dès que cinq États, dont au moins trois du Conseil de l’Eu­rope, l’au­ront ratifiée.

Ce trai­té, qui a sus­ci­té pas moins de 27 ver­sions en quatre années d’é­la­bo­ra­tion, vise à l’a­dop­tion d’une » poli­tique pénale com­mune des­ti­née à pro­té­ger la socié­té contre le cyber­crime, notam­ment par l’a­dop­tion d’une légis­la­tion appro­priée et la sti­mu­la­tion de la coopé­ra­tion inter­na­tio­nale « .

Il enjoint les États à pour­suivre péna­le­ment un cer­tain nombre d’in­frac­tions rela­tives à l’u­sage des réseaux, telles que les accès illé­gaux, la fal­si­fi­ca­tion de don­nées, la dif­fu­sion de virus ou les atteintes à la pro­prié­té intel­lec­tuelle, mais éga­le­ment aux conte­nus lors­qu’il s’a­git de por­no­gra­phie enfantine.

Il fixe éga­le­ment aux four­nis­seurs d’ac­cès des règles pour la conser­va­tion et le sto­ckage des don­nées afin de per­mettre un contrôle éven­tuel, par les auto­ri­tés com­pé­tentes, des opé­ra­tions et des mes­sages infor­ma­tiques sus­cep­tibles de consti­tuer des délits.

L’expertise informatique en cybercriminalité

En pro­cé­dure pénale, le poli­cier, le magis­trat et l’ex­pert tra­vaillent en équipe. Avant tout, les objec­tifs et la méthode doivent être clai­re­ment définis.

La conservation des preuves informatiques

Il est prio­ri­taire de conser­ver la preuve qui peut exis­ter sur le sup­port de sto­ckage ori­gi­nal (disque dur interne ou externe, clé USB, dis­quette, CD, DVD, etc.).

En effet, un démar­rage d’or­di­na­teur ou un simple accès en lec­ture va modi­fier des fichiers sur le disque.

C’est pour­quoi il faut réa­li­ser une copie par­faite du sup­port ori­gi­nal avec un dis­po­si­tif de blo­cage en écri­ture, et les inves­ti­ga­tions seront réa­li­sées sur cette copie.

Si l’o­ri­gi­nal doit être lais­sé sur les lieux de la per­qui­si­tion, deux copies sont nécessaires.

La recherche de preuves sur supports informatiques

Le tra­vail de l’ex­pert est alors de déter­mi­ner si le sup­port contient des don­nées frau­du­leuses. Une pre­mière dif­fi­cul­té est d’i­so­ler l’in­for­ma­tion pertinente.

La recherche de preuve doit être faite à l’aide d’un logi­ciel d’in­ves­ti­ga­tion¹ spé­cia­li­sé de type Easy­Re­co­ve­ry, EnCase, Foren­sic Tool­kit, X‑Ways Foren­sics ou équivalent.

D’a­bord, il est impor­tant de noter les dates pré­cises (créa­tion, der­nière modi­fi­ca­tion, der­nier accès, der­nière impres­sion), même si la date sur un sys­tème infor­ma­tique n’est qu’un indice et ne peut pas être une preuve.

Par­fois, des inco­hé­rences sont détec­tées sur les dates, par exemple une date d’im­pres­sion anté­rieure à la date de création.

Les logi­ciels d’in­ves­ti­ga­tion ont par ailleurs une fonc­tion » his­to­grammes des dates « , sur tous les fichiers ou sur un sous-ensemble de fichiers sélec­tion­nés par un filtre. Une inco­hé­rence dans un his­to­gramme de dates est sou­vent révé­la­trice d’une fal­si­fi­ca­tion de date système.

Sui­vant la mis­sion défi­nie par le juge d’ins­truc­tion, l’ex­pert va donc recher­cher une preuve ou des indices conver­gents, par exemple :

• fichiers effa­cés récu­pé­rés, pour les visua­li­ser et les impri­mer, et dates d’effacements ;
• adresses URL (Uni­form res­source loca­tor) de sites Inter­net visi­tés et dates des visites ;
• fichiers illi­cites télé­char­gés (exemple : vidéos, images à carac­tère pédo­phile), com­pa­rai­son des signa­tures avec les fichiers télé­char­geables du site en ligne, si l’a­dresse URL est identifiée ;
• échanges de cour­riels, fal­si­fi­ca­tion de dates, iden­ti­té du véri­table émet­teur et du che­min sui­vi par un mes­sage reçu (exemple : usur­pa­tion d’i­den­ti­té, recherche d’un » corbeau ») ;
• mots clés conte­nus dans des docu­ments ou des cour­riels (exemple : racisme, contes­ta­tion de crime contre l’hu­ma­ni­té, ter­ro­risme, pro­pos inju­rieux ou diffamatoires) ;
• traces (adresse IP, date et heure) d’une intru­sion par un pirate ;
• comp­ta­bi­li­té truquée ;
• don­nées qua­li­fiées de » secrets indus­triels » (exemple : fichiers de clients, don­nées financières) ;
• pira­tage de films et de musique ;
• contre­fa­çon de marque, de modèle, de carte à puce.

La lecture de puces électroniques et de bandes magnétiques

L’ex­per­tise en fal­si­fi­ca­tion de carte com­mence par la lec­ture des don­nées sto­ckées sur la puce ou sur la piste magné­tique de la fausse carte sai­sie par la police.

Il est rap­pe­lé qu’une carte ban­caire contre­faite (ou YESCARD, qui valide n’im­porte quel code PIN) per­met au mal­frat de faire des tran­sac­tions sur des auto­mates (ex. car­bu­rant, billet­te­rie SNCF) et de reti­rer de l’argent dans des pays étran­gers, notam­ment en Bel­gique, tant que la tran­sac­tion n’in­ter­roge pas le ser­veur cen­tral du GIE carte bancaire.

À l’aide d’un équi­pe­ment maté­riel et logi­ciel adap­té, l’ex­pert va lire le numé­ro de carte ban­caire, le nom du por­teur, les dates de vali­di­té, et l’his­to­rique des tran­sac­tions récentes.

De manière simi­laire, sont récu­pé­rables, sur la carte SIM d’un télé­phone por­table, le réper­toire, les numé­ros des appels récents émis et reçus et les SMS conservés.

D’autres exemples de fausses cartes sont la carte Vitale, les cartes d’a­bon­ne­ment aux chaînes TV câblées et les cartes de paie­ment des grands magasins.

La recherche de traces sur Internet

L’in­ter­naute, depuis le navi­ga­teur de son ordi­na­teur, accède via sa connexion réseau au ser­veur du four­nis­seur d’ac­cès, puis che­mine d’un ser­veur A à un ser­veur B via X serveurs.

Il est iden­ti­fié par une adresse IP, fixe si la connexion est en haut débit mais flot­tante pour le bas débit.

Par exemple, un pirate Inter­net pénètre sur la machine d’une entre­prise, y laisse des traces (adresse IP et date/heure). Grâce à une réqui­si­tion au four­nis­seur d’ac­cès faite par la police, celui-ci com­mu­nique le nom et l’a­dresse du compte titu­laire de l’a­bon­ne­ment Inter­net et éga­le­ment le numé­ro de télé­phone appe­lant, ce qui per­met­tra de véri­fier qu’à l’heure don­née le pirate était bien connecté.

Dans le cas d’un » cor­beau » qui envoie un mes­sage, la trace se trouve cette fois dans l’en-tête Inter­net du mes­sage reçu. Dès lors, comme dans le cas pré­cé­dent, on peut remon­ter à la machine émet­trice du message.

Tou­te­fois, la plu­part des ser­veurs de mes­sa­ge­rie ne conservent pas le mes­sage une fois télé­char­gé par le des­ti­na­taire, sauf les ser­veurs de type Yahoo ou Cara­mail, et cela tant que l’in­ter­naute ne va pas l’effacer.

Dans cer­tains cas, l’u­ti­li­sa­teur n’est pas détec­table : machine d’un cyber­ca­fé, connexion en » peer-to-peer « ^2.

Enfin, l’ex­pert, grâce à des logi­ciels spé­cia­li­sés qui inter­rogent des annuaires en ligne, peut tra­cer la route géo­gra­phique d’une requête vers un ser­veur Web. Sou­vent, il consta­te­ra que les bases de don­nées à conte­nus illi­cites sont dépor­tées à l’é­tran­ger. Une astuce consiste alors à deman­der la sai­sie de la comp­ta­bi­li­té, pour trou­ver trace de paie­ments vers l’étranger.

____________________________________________________
1. En anglais : foren­sic tool.
2. Sur Inter­net, » peer-to-peer  » (point à point) désigne la pos­si­bi­li­té de connec­ter entre eux des ordi­na­teurs pour l’é­change de fichiers, sans pas­ser par un ser­veur cen­tra­li­sé ou par un site Web.

---

Articles similaires :

Cent exper­tises, cent idées Esquisse des pro­cé­dures d’expertises judi­ciaires dans cer­tains pays de la Com­mu­nau­té européenne Exper­tise, recherche, innovation Les spé­ci­fi­ci­tés de l’expertise dommages-ouvrage L’évaluation des préjudices