La cybercriminalité et l’expertise judiciaire

Le contexte

Définition

La ” cyber­crim­i­nal­ité ” désigne l’ensem­ble des infrac­tions pénales sus­cep­ti­bles d’être com­mis­es sur les réseaux de télé­com­mu­ni­ca­tions en général et notam­ment sur le réseau Internet.

La cyber­crim­i­nal­ité cor­re­spond à deux caté­gories d’in­frac­tions pénales :

• les infrac­tions où l’in­for­ma­tique est l’ob­jet même du crime ou du délit ;
• les infrac­tions pénales ” clas­siques ” com­mis­es au moyen d’In­ter­net, notamment :

— les infrac­tions rel­a­tives aux atteintes à la dig­nité humaine,
 — les infrac­tions au Code de la pro­priété intel­lectuelle (art. L335‑1 à 4 du CPI),
 — les infrac­tions à la loi sur la presse (loi du 29 juil­let 1881),
 — les infrac­tions con­tre les biens.

Les textes législatifs récents

La loi ” infor­ma­tique et lib­ertés ” du 6 jan­vi­er 1978 (art. 226–16 à 24 du Code pénal (CP) rel­a­tive à l’in­for­ma­tique, aux fichiers et aux lib­ertés vise notam­ment à com­bat­tre la créa­tion de fichiers nom­i­nat­ifs clan­des­tins et réprime plusieurs infrac­tions por­tant atteinte aux droits de la per­son­ne résul­tant des fichiers ou des traite­ments informatiques.

La loi du 5 jan­vi­er 1988 dite ” loi God­frain ” (art. 323–1 à 7 du CP) incrim­ine les accès et le main­tien fraud­uleux dans un sys­tème de traite­ment automa­tisé de don­nées, les mod­i­fi­ca­tions et les altéra­tions de données.

L’ar­ti­cle 40 de la loi sur la sécu­rité quo­ti­di­enne du 16 novem­bre 2001 insère deux arti­cles après le L. 163–4 du Code moné­taire et financier, sur le fait de fab­ri­quer, d’ac­quérir, de détenir, de céder, d’of­frir ou de met­tre à dis­po­si­tion des équipements, instru­ments, pro­grammes infor­ma­tiques ou toutes don­nées conçus ou spé­ciale­ment adap­tés pour con­tre­faire des cartes.

La loi pour la con­fi­ance dans l’é­conomie numérique (n° 2004–575 du 21 juin 2004) définit notam­ment les oblig­a­tions générales des prestataires tech­niques de l’In­ter­net (four­nisseurs d’ac­cès et hébergeurs) en matière de con­ser­va­tion des don­nées d’i­den­ti­fi­ca­tion des auteurs de con­tenus ain­si que l’ab­sence de leur oblig­a­tion générale de sur­veiller les con­tenus stock­és ou transmis.

Le pro­jet de con­ven­tion européenne sur la cyber­crim­i­nal­ité du 23 novem­bre 2001, adop­té par le Con­seil de l’Eu­rope le 8 novem­bre 2004, doit devenir le pre­mier doc­u­ment inter­na­tion­al con­traig­nant dans le domaine d’Internet.

Les États-Unis, le Japon et le Cana­da, qui ne sont pas mem­bres du Con­seil de l’Eu­rope mais béné­fi­cient du statut d’ob­ser­va­teur auprès de l’or­gan­i­sa­tion, seront égale­ment invités à sign­er et à rat­i­fi­er ce texte, à la rédac­tion duquel ils ont été associés.

La Con­ven­tion entr­era en vigueur dès que cinq États, dont au moins trois du Con­seil de l’Eu­rope, l’au­ront ratifiée.

Ce traité, qui a sus­cité pas moins de 27 ver­sions en qua­tre années d’élab­o­ra­tion, vise à l’adop­tion d’une ” poli­tique pénale com­mune des­tinée à pro­téger la société con­tre le cyber­crime, notam­ment par l’adop­tion d’une lég­is­la­tion appro­priée et la stim­u­la­tion de la coopéra­tion inter­na­tionale “.

Il enjoint les États à pour­suiv­re pénale­ment un cer­tain nom­bre d’in­frac­tions rel­a­tives à l’usage des réseaux, telles que les accès illé­gaux, la fal­si­fi­ca­tion de don­nées, la dif­fu­sion de virus ou les atteintes à la pro­priété intel­lectuelle, mais égale­ment aux con­tenus lorsqu’il s’ag­it de pornogra­phie enfantine.

Il fixe égale­ment aux four­nisseurs d’ac­cès des règles pour la con­ser­va­tion et le stock­age des don­nées afin de per­me­t­tre un con­trôle éventuel, par les autorités com­pé­tentes, des opéra­tions et des mes­sages infor­ma­tiques sus­cep­ti­bles de con­stituer des délits.

L’expertise informatique en cybercriminalité

En procé­dure pénale, le polici­er, le mag­is­trat et l’ex­pert tra­vail­lent en équipe. Avant tout, les objec­tifs et la méth­ode doivent être claire­ment définis.

La conservation des preuves informatiques

Il est pri­or­i­taire de con­serv­er la preuve qui peut exis­ter sur le sup­port de stock­age orig­i­nal (disque dur interne ou externe, clé USB, dis­quette, CD, DVD, etc.).

En effet, un démar­rage d’or­di­na­teur ou un sim­ple accès en lec­ture va mod­i­fi­er des fichiers sur le disque.

C’est pourquoi il faut réalis­er une copie par­faite du sup­port orig­i­nal avec un dis­posi­tif de blocage en écri­t­ure, et les inves­ti­ga­tions seront réal­isées sur cette copie.

Si l’o­rig­i­nal doit être lais­sé sur les lieux de la perqui­si­tion, deux copies sont nécessaires.

La recherche de preuves sur supports informatiques

Le tra­vail de l’ex­pert est alors de déter­min­er si le sup­port con­tient des don­nées fraud­uleuses. Une pre­mière dif­fi­culté est d’isol­er l’in­for­ma­tion pertinente.

La recherche de preuve doit être faite à l’aide d’un logi­ciel d’in­ves­ti­ga­tion¹ spé­cial­isé de type EasyRe­cov­ery, EnCase, Foren­sic Toolk­it, X‑Ways Foren­sics ou équivalent.

D’abord, il est impor­tant de not­er les dates pré­cis­es (créa­tion, dernière mod­i­fi­ca­tion, dernier accès, dernière impres­sion), même si la date sur un sys­tème infor­ma­tique n’est qu’un indice et ne peut pas être une preuve.

Par­fois, des inco­hérences sont détec­tées sur les dates, par exem­ple une date d’im­pres­sion antérieure à la date de création.

Les logi­ciels d’in­ves­ti­ga­tion ont par ailleurs une fonc­tion ” his­togrammes des dates “, sur tous les fichiers ou sur un sous-ensem­ble de fichiers sélec­tion­nés par un fil­tre. Une inco­hérence dans un his­togramme de dates est sou­vent révéla­trice d’une fal­si­fi­ca­tion de date système.

Suiv­ant la mis­sion définie par le juge d’in­struc­tion, l’ex­pert va donc rechercher une preuve ou des indices con­ver­gents, par exemple :

• fichiers effacés récupérés, pour les visu­alis­er et les imprimer, et dates d’effacements ;
• adress­es URL (Uni­form ressource loca­tor) de sites Inter­net vis­ités et dates des visites ;
• fichiers illicites téléchargés (exem­ple : vidéos, images à car­ac­tère pédophile), com­para­i­son des sig­na­tures avec les fichiers télécharge­ables du site en ligne, si l’adresse URL est identifiée ;
• échanges de cour­riels, fal­si­fi­ca­tion de dates, iden­tité du véri­ta­ble émet­teur et du chemin suivi par un mes­sage reçu (exem­ple : usurpa­tion d’i­den­tité, recherche d’un ” corbeau ”) ;
• mots clés con­tenus dans des doc­u­ments ou des cour­riels (exem­ple : racisme, con­tes­ta­tion de crime con­tre l’hu­man­ité, ter­ror­isme, pro­pos injurieux ou diffamatoires) ;
• traces (adresse IP, date et heure) d’une intru­sion par un pirate ;
• compt­abil­ité truquée ;
• don­nées qual­i­fiées de ” secrets indus­triels ” (exem­ple : fichiers de clients, don­nées financières) ;
• piratage de films et de musique ;
• con­tre­façon de mar­que, de mod­èle, de carte à puce.

La lecture de puces électroniques et de bandes magnétiques

L’ex­per­tise en fal­si­fi­ca­tion de carte com­mence par la lec­ture des don­nées stock­ées sur la puce ou sur la piste mag­né­tique de la fausse carte saisie par la police.

Il est rap­pelé qu’une carte ban­caire con­tre­faite (ou YESCARD, qui valide n’im­porte quel code PIN) per­met au mal­frat de faire des trans­ac­tions sur des auto­mates (ex. car­bu­rant, bil­let­terie SNCF) et de retir­er de l’ar­gent dans des pays étrangers, notam­ment en Bel­gique, tant que la trans­ac­tion n’in­ter­roge pas le serveur cen­tral du GIE carte bancaire.

À l’aide d’un équipement matériel et logi­ciel adap­té, l’ex­pert va lire le numéro de carte ban­caire, le nom du por­teur, les dates de valid­ité, et l’his­torique des trans­ac­tions récentes.

De manière sim­i­laire, sont récupérables, sur la carte SIM d’un télé­phone portable, le réper­toire, les numéros des appels récents émis et reçus et les SMS conservés.

D’autres exem­ples de fauss­es cartes sont la carte Vitale, les cartes d’abon­nement aux chaînes TV câblées et les cartes de paiement des grands magasins.

La recherche de traces sur Internet

L’in­ter­naute, depuis le nav­i­ga­teur de son ordi­na­teur, accède via sa con­nex­ion réseau au serveur du four­nisseur d’ac­cès, puis chem­ine d’un serveur A à un serveur B via X serveurs.

Il est iden­ti­fié par une adresse IP, fixe si la con­nex­ion est en haut débit mais flot­tante pour le bas débit.

Par exem­ple, un pirate Inter­net pénètre sur la machine d’une entre­prise, y laisse des traces (adresse IP et date/heure). Grâce à une réqui­si­tion au four­nisseur d’ac­cès faite par la police, celui-ci com­mu­nique le nom et l’adresse du compte tit­u­laire de l’abon­nement Inter­net et égale­ment le numéro de télé­phone appelant, ce qui per­me­t­tra de véri­fi­er qu’à l’heure don­née le pirate était bien connecté.

Dans le cas d’un ” cor­beau ” qui envoie un mes­sage, la trace se trou­ve cette fois dans l’en-tête Inter­net du mes­sage reçu. Dès lors, comme dans le cas précé­dent, on peut remon­ter à la machine émet­trice du message.

Toute­fois, la plu­part des serveurs de mes­sagerie ne con­ser­vent pas le mes­sage une fois téléchargé par le des­ti­nataire, sauf les serveurs de type Yahoo ou Cara­mail, et cela tant que l’in­ter­naute ne va pas l’effacer.

Dans cer­tains cas, l’u­til­isa­teur n’est pas détectable : machine d’un cyber­café, con­nex­ion en ” peer-to-peer “^2.

Enfin, l’ex­pert, grâce à des logi­ciels spé­cial­isés qui inter­ro­gent des annu­aires en ligne, peut trac­er la route géo­graphique d’une requête vers un serveur Web. Sou­vent, il con­stat­era que les bases de don­nées à con­tenus illicites sont déportées à l’é­tranger. Une astuce con­siste alors à deman­der la saisie de la compt­abil­ité, pour trou­ver trace de paiements vers l’étranger. 

____________________________________________________
1. En anglais : foren­sic tool.
2. Sur Inter­net, ” peer-to-peer ” (point à point) désigne la pos­si­bil­ité de con­necter entre eux des ordi­na­teurs pour l’échange de fichiers, sans pass­er par un serveur cen­tral­isé ou par un site Web.

---

Articles similaires :

Éner­gies et mégapoles Le con­seil en ressources humaines : de la stratégie col­lec­tive au développe­ment personnel La représen­ta­tion des experts judiciaires L’Institut d’Optique, bien­tôt sur le cam­pus de Polytechnique Adapter les cul­tures aux sécher­ess­es et aux températures Dieu ?