Des cyberattaques dévastatrices
Les cyberattaques s’avèrent souvent destructrices pour une entreprise ou une collectivité. En 2016, la Chambre de Commerce et de l’Industrie d’Occitanie a ainsi assuré que 60 % des PME et PMI impactées par des cyberattaques déposaient leur bilan à court terme. Disposant de moins de moyens de protection que les grandes entreprises, elles sont en effet bien plus exposées aux méfaits des pirates informatiques.
Parmi les cyberattaques les plus répandues, les ransomwares figurent sans doute parmi les plus destructrices. Une fois infiltrés dans les systèmes informatiques ciblés, les pirates informatiques y déploient des logiciels malveillants cryptant les données informatiques de la victime. Celle-ci se verra alors proposer la possibilité de décrypter ses données, moyennant une rançon s’élevant généralement à plusieurs milliers de bitcoins.
Les attaques par déni de service sont aussi relativement fréquentes. Cette attaque, moins ciblée mais tout aussi sophistiquée, consiste à surcharger le serveur d’un site internet de requêtes afin de le rendre inutilisable. Le serveur ainsi visé, qui ne peut alors pas gérer toutes les sollicitations des robots malveillants connectés au site internet, devient alors défaillant et ne permet plus aux utilisateurs classiques de s’y connecter. Le site internet est donc inutilisable, ce qui peut aboutir à des conséquences financières lourdes pour son propriétaire.
Des sanctions pénales peu dissuasives
L’article 323-1 du Code pénal dispose que le fait d’accéder ou de se maintenir frauduleusement, dans tout ou partie d’un système de traitement automatisé est puni d’une peine d’emprisonnement pouvant aller jusqu’à 2 ans ainsi que de 60 000 euros d’amende. Ces peines peuvent être portées à 3 ans d’emprisonnement et 100 000 euros d’amende lorsqu’il en résulte « soit la suppression, soit la modification de données contenues dans le système, soit un altération du fonctionnement de ce système ».
Le fait d'accéder ou de se maintenir, frauduleusement, dans tout ou partie d'un système de traitement automatisé de données est puni de deux ans d'emprisonnement et de 60 000 € d'amende.
Lorsqu'il en est résulté soit la suppression ou la modification de données contenues dans le système, soit une altération du fonctionnement de ce système, la peine est de trois ans d'emprisonnement et de 100 000 € d'amende.
Lorsque les infractions prévues aux deux premiers alinéas ont été commises à l'encontre d'un système de traitement automatisé de données à caractère personnel mis en œuvre par l'Etat, la peine est portée à cinq ans d'emprisonnement et à 150 000 € d'amende.
A titre de peine complémentaire, le juge a également la possibilité de confisquer le matériel informatique ayant servi au piratage. Par ailleurs, une action en responsabilité civile est toujours envisageable, sur le fondement de l’article 1240 du Code civil. Des dommages et intérêts seront alors encourus par l’auteur de la cyberattaque, à proportion du préjudice causé à la victime.
Tout fait quelconque de l'homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer.
Ces peines semblent parfaitement proportionnées aux enjeux en matière de piratage informatique. Comment expliquer, dès lors, l’explosion du nombre de ces attaques ?
Les réponses sont multiples. En premier lieu, nombre d’entre elles proviennent du caractère d’extranéité, fréquemment observé en matière de cybercriminalité. Les pirates informatiques agiront souvent depuis l’étranger, ce qui rendra les poursuites pénales et civiles beaucoup plus délicates. En outre, le caractère particulièrement répandu de ces attaques, associé à la difficulté de retrouver leurs auteurs, peut conférer à ces derniers un sentiment d’impunité, qu’il sera difficile de combattre.
De plus, la rentabilité de ces attaques peut encourager la prise de risque. Face aux ransomwares, les PME et PMI seront souvent tentées de payer de fortes sommes aux pirates, plutôt que de prendre le risque de devoir déposer le bilan. Quant aux données confidentielles éventuellement dérobées à l’occasion des piratages, elles seront le plus souvent revendues sur le dark web à des tiers malintentionnés, à prix d’or.
