Jusletter IT

En septembre 2019, la Chambre d’appel de Berlin, l’équivalent d’un tribunal cantonal en Suisse, a subi un blackout complet de leurs systèmes informatiques à la suite d’une cyberattaque sans précédent par un logiciel malveillant.¹ Le logiciel malveillant en question est un cheval de Troie, nommé « Emotet » qui a été transmis par pièce jointe dans un email envoyé à un des collaborateurs du tribunal.²

La cyberattaque a été revendiquée par des membres se disant liés à l’État Islamique qui ont pu ainsi mettre la main sur des documents contenant les informations personnelles des témoins à une procédure pénale pour des infractions liées au Jihad et à des anciens combattants retournés en Allemagne.³ La Chambre d’appel s’est complètement coupée d’internet pour éviter d’infecter d’autres périphériques, d’autres autorités ou d’autres tribunaux pendant trois mois, bloquant tout accès à internet de leurs systèmes informatiques infectés.⁴ Les collaborateurs de la Chambre d’appel de Berlin ont dû travailler exclusivement sur des PCs d’urgence coupés d’internet ou en home-office.⁵

Cette actualité permet de mettre en lumière le problème récurrent de la faiblesse du facteur humain dans toute stratégie de sécurité informatique.⁶ Ainsi, parallèlement à l’engagement de mesures exclusivement techniques, les cybercriminels peuvent également tirer profit des utilisateurs informatiques non ou moins sophistiqués lors d’une cyberattaque et ce peu importe l’institution, qu’elle soit privée ou publique.⁷

Cette contribution traite donc des risques liés aux malwares et des perspectives de monétisation des activités cybercriminelles (II). Une réponse appropriée en droit pénal informatique suisse (III) ainsi qu’au niveau de la poursuite pénale, plus particulièrement au vu du caractère transnational de la cybercriminalité (IV) ne suffira toutefois pas à compenser les faiblesses au niveau du facteur humain dans chaque stratégie de sécurité informatique (V).

Selon la centrale MELANI⁸, Emotet est un logiciel malveillant de type cheval de Troie diffusé par courriel⁹ comprenant un lien vers un site web compromis ou un annexe infecté, par exemple un fichier Word.¹⁰ En ouvrant le fichier Word, l’utilisateur est invité à autoriser les macros Word, permettant alors le téléchargement d’Emotet depuis le site web compromis et son installation sur son ordinateur.¹¹ Une fois installé, Emotet fait office d’injecteur d’autres logiciels malveillants entraînant le téléchargement puis l’installation d’autres malwares comme TrickBot ou Ryuk.¹² Ryuk est un ransomware ayant pour fonctions de chiffrer les données stockées sur les périphériques infectés et les serveurs des entreprises victimes ciblées, avant d’afficher un message exigeant une rançon contre le déchiffrement.¹³ TrickBot quant à lui dispose de plusieurs modules lui permettant de dérober des données d’accès ou pour se diffuser par l’envoi de courriers à tous les contacts pour se propager.¹⁴ En ouvrant le message infecté par Emotet, les destinataires entraînent l’installation du rançongiciel Ryuk sur leur périphérique, entraînant de nouveau le chiffrement de leurs données. En d’autres termes, Emotet se sert des périphériques infectés comme porte d’entrée à des cyberattaques ciblées, basées sur des rançongiciels.¹⁵

À la suite d’une cyberattaque individuelle réussie, les cybercriminels peuvent surveiller l’activité de leurs victimes sur leurs périphériques informatiques et en soustraire les données traitées, comme des données bancaires, des documents soumis au secret professionnel ou des secrets commerciaux d’une entreprise.¹⁶ Ryuk quant à lui permet aux cybercriminels de tirer profit du chiffrement des données informatiques comprises dans les supports informatiques infectés puis d’exiger une rançon pouvant aller jusqu’à 600’000 USD en bitcoins de la part de leurs victimes contre la remise de la clé de déchiffrement.¹⁷ Une deuxième rançon pourra être exigée pour empêcher la publication ou le recel des données soustraites, souvent sensibles pour la victime, par exemple s’il s’agit de données clients, des identifiants bancaires, des secrets de fabrication.¹⁸ Les tribunaux font aussi l’objet d’attaques ciblées pour plusieurs raisons, à l’exemple de la Chambre d’appel de Berlin.¹⁹ Le rapport de MELANI met en lumière l’importance d’effectuer des backups de restauration des données, des mises à jour des logiciels de sécurité, des directives en matière de sécurité informatique, des plans d’actions pour la gestion de la continuité des activités ainsi que la sensibilisation du personnel et des organes dirigeants à la sécurité informatique.²⁰

D’autres perspectives de monétisation encouragent également le modèle d’affaire des cybercriminels.²¹ La société Symantec a publié une liste offrant une vue d’ensemble des différentes offres et prix des activités des cybercriminels.²² Central à ces activités, le darknet comprend un marché global et anonyme pour les criminels permettant d’acheter et de vendre des produits ou des services interdits ou restreints dans l’économie légitime.²³ Il existe un marché de malwares sur le darknet permettant aux cybercriminels de s’équiper ainsi que de tirer des revenus.²⁴ On y trouve une multitude de services tels que la vente de kits de phishing, de ransomware, de spyware, des logiciels de détérioration, des worms ou des logiciels de type cheval de Troie payables en bitcoins.²⁵

La monétisation des activités des cybercriminels mène indéniablement à l’émergence de nouveaux services et profits officieux nécessitant une réponse adéquate en droit pénal suisse.²⁶ La partie spéciale du Code pénale suisse, complétée par les infractions du domaine informatique, offre une couverture pénale proche de celle de la Convention du Conseil de l’Europe sur la cybercriminalité entrée en vigueur pour la Suisse le 1^er janvier 2012.²⁷ L’emploi de malware comme Emotet par des cybercriminels peut entraîner la réalisation de plusieurs infractions du droit pénal suisse sous la forme d’un concours et à plus fortes raisons comme nous le verrons au cours de ce chapitre, lors d’une cyberattaque par le biais d’Emotet.²⁸

Concrètement, l’art. 144^bis CP réprime deux infractions que sont d’une part la détérioration de données sans droit (al. 1) ainsi que la production ou la diffusion de logiciels de détérioration (al. 2). Lors d’une cyberattaque impliquant un malware comme Emotet, ce dernier est téléchargé sur un système informatique infecté conduisant à l’ajout de données dans un programme et entraîne donc préalablement une modification des données du système informatique cible de l’utilisateur.²⁹ Une détérioration de données au sens de l’art. 144^bis I CP doit donc être admise, lorsque le virus écrase ou remplace des données d’un programme ou conduit à une augmentation incontrôlée de données, voire provoque un épuisement de la mémoire ou de la capacité de calcul du système.³⁰

C’est à plus forte raison le cas, lorsque le ransomware Ryuk parvient à s’installer sur le périphérique infecté qui a pour effet de crypter les données du système par une combinaison d’algorithmes de chiffrement.³¹ Le niveau de sécurité octroyé par ces algorithmes de cryptage obligent les victimes à requérir la clé de déchiffrement pour pouvoir réutiliser leurs systèmes.³²

Dans l’hypothèse où l’auteur ne parvient pas à faire installer le spyware sur le système de sa victime, ou que celui-ci soit bloquée par des barrières techniques tels qu’un antivirus, l’auteur peut néanmoins se rendre coupable de mise en circulation de logiciel de détérioration au sens de l’art. 144^bis II CP et ce quelle que soit le vecteur d’attaque choisi.³³

L’art. 143^bis I CP est la norme de droit pénal suisse réprimant l’hacking, à savoir l’accès indu à un système informatique.³⁴ Le critère central de l’art. 143^bis I CP est l’accès par l’auteur au système informatique d’autrui par la désactivation de la première barrière d’accès.³⁵ L’art. 143^bis II CP réprime quant à lui les actes préparatoires à savoir la mise en circulation par exemple d’un programme permettant le piratage informatique ainsi que le fait de le rendre accessible.³⁶

Pour Müller, l’infraction prévue à l’art. 143^bis I CP est réalisée lorsque l’auteur emploi un programme lui permettant de prendre contrôle de la session du système informatique de la victime à distance.³⁷ Pour Ammann, l’auteur n’est toutefois pas punissable d’un accès indu à un système informatique au sens de l’art. 143^bis CP en se contentant d’envoyer un mail de phishing.³⁸ Pour cause, il manque au phishing une intrusion dans un système informatique.³⁹ Le phishing se déroulant principalement par email ou sms, l’auteur ne désactive ni ne surmonte aucune barrière technique d’accès, à défaut de l’emploi supplémentaire d’un malware de type cheval de Troie par exemple.⁴⁰

Pour Germann/Wicki-Birchler, lorsque le programme permet à l’auteur d’accéder effectivement au système informatique, alors que celui-ci était spécialement protégé par une barrière technique comme un anti-virus ou un pare-feu, l’auteur entraîne l’application de l’art 143^bis I CP.⁴¹ Si néanmoins, la fonction d’un spyware se limite uniquement à la surveillance de l’activité par protocole sur le support informatique sans permettre à l’auteur d’en prendre le contrôle, une détérioration des données au sens de l’art. 144^bis CP trouve application.⁴²

À notre sens, lorsqu’Emotet parvient à s’installer sur le système informatique de l’utilisateur légitime, en contournant un anti-virus, un pare-feu ou un code de validation d’administrateur ou Wi-Fi par exemple conduisant à l’installation sur les périphériques connectés, il faut retenir un accès indu à un système informatique au sens de l’art. 143^bis I CP. À défaut de l’intention de la victime du système informatique infecté par Emotet, il ne sera pas indiqué d’imputer une mise en circulation d’un programme permettant le piratage informatique au sens de l’art. 143^bis II CP lorsque son périphérique est utilisé par Emotet pour se répandre à sa liste de contact.⁴³

L’infraction de soustraction de données est une infraction formelle et de lésion protégeant le droit du bénéficiaire légitime de disposer des données informatiques à sa guise.⁴⁴ Emotet se sert de plugins par le biais du périphérique infecté lui permettant d’étendre ses fonctions qui sont notamment conçues pour soustraire des informations du périphérique infecté de la victime.⁴⁵ Il crée à cet égard, des dossiers temporaires dans le but de stocker des mots de passes ou des données soustraites.⁴⁶ À notre sens, au même titre qu’un spyware, même si un logiciel se contente d’effectuer et transmettre de façon indue un protocole de l’activité informatique de la victime à l’auteur, il faut retenir une soustraction de données d’un point de vue objectif.⁴⁷

L’auteur d’une cyberattaque employant intentionnellement Emotet réalise subjectivement les éléments constitutifs de soustraction de données, plus particulièrement s’il a pour but de revendre les données d’une victime à des tiers, par exemple sur le darknet ou faire chanter une victime potentielle en exigeant une rançon pour ne pas les révéler.⁴⁸ Il faudra dans ce cas retenir en plus un dessein d’enrichissement illégitime.⁴⁹

Si l’auteur soustrait des données personnelles⁵⁰ sensibles⁵¹ ou des profils de personnalité⁵² non-librement accessibles, il pourra être également réaliser une infraction de soustraction de données personnelles.⁵³ Ceci est potentiellement le cas si le malware a pour effet de soustraire des documents comme des photos ou vidéos présentant la victime ou des données personnelles sur des poursuites ou des sanctions pénales et administratives.⁵⁴ Pour une partie de la doctrine, la notion de « pas librement accessible » de l’art. 179^novies CP est plus large que la notion de « protégé contre tout accès » de l’art. 143 CP et n’implique donc pas que les données personnelles sensibles ou que les profils de personnalités soient cachées et donc qu’une barrière technique ait été érigée.⁵⁵

Si l’auteur d’une cyberattaque emploi indûment les données obtenues de la victime pour accomplir une transaction bancaire sous l’identité de ses victimes, les éléments constitutifs objectifs de l’art. 147 CP sont en principe réunis.⁵⁶ À tout le moins, un dommage patrimonial doit être retenu lorsque l’auteur se sert des données bancaires de ses victimes pour disposer de leurs valeurs patrimoniales et effectuer des paiements.⁵⁷

Plus compliquée demeure la question de la revente des données soustraites à des tiers, par exemple sur le darknet. Contrairement à l’escroquerie, ce n’est pas la victime qui doit procéder au transfert d’actifs, l’art. 147 CP exige au contraire un transfert d’actifs de la part du système de traitement de donnée manipulé par l’auteur.⁵⁸ Le Tribunal fédéral en se basant sur les travaux préparatoires, relève qu’à la différence de la tromperie astucieuse propre à l’escroquerie, l’utilisation frauduleuse d’un ordinateur au sens de l’art. 147 CP requiert la manipulation d’un système de traitement de données par des données.⁵⁹ Or, dans le cas de revente de données soustraites par malware, il n’y a pas de transfert d’actifs de la part de l’ordinateur infecté, comme ce serait le cas par exemple en manipulant un automate en usurpant l’identité d’une personne pour retirer de l’argent.⁶⁰ De plus, lors de la revente des données à des tiers, l’auteur ne provoque pas de transfert d’actifs en trompant un système de traitement de données, il n’y a donc pas d’utilisation frauduleuse d’un ordinateur au sens de l’art. 147 CP.⁶¹

Par conséquent, l’art. 147 CP réprime notamment les transferts bancaires par usurpation d’identité via des données soustraites par malware mais ne réprime pas la revente des données soustraites par les cybercriminels en tant que tel.⁶² Néanmoins, une personne se portant acheteuse des données soustraites se rend elle-même coupable de soustraction de données au sens de l’art. 143 CP, voire de soustraction de données personnelles au sens de l’art. 179^novies CP.

L’art. 156 CP protège le patrimoine et la liberté d’autrui.⁶³ Il peut être qualifié de délit de lésion, de délit matériel ainsi que de délit commun.⁶⁴ Les ransomwares comme Ryuk ont pour effet d’encrypter les données des victimes pour demander ensuite à leurs ayant-droit d’envoyer des valeurs patrimoniales ou des identifiants bancaires en échange d’une clé permettant de déchiffrer les données infectées.⁶⁵ Il faut donc en principe admettre une extorsion en raison de chantage.⁶⁶ Néanmoins, la victime doit avoir succombé aux menaces de l’auteur du ransomware et effectué elle-même l’acte préjudiciable, notamment en lui payant la rançon demandée, par exemple par virement bancaire.⁶⁷

La question principale est de déterminer si les sites web falsifiés ainsi que les courriers électroniques envoyés par les auteurs de phishing constituent des titres au sens des art. 110 IV et 251 ch. 1 CP.⁶⁸ Le Tribunal fédéral en se ralliant à la Geistigkeitstheorie a jugé qu’un courrier de phishing en tant que faux document digital remplit les fonctions de perpétuité, de preuves et de garantie de l’identité de l’auteur et doit être considérer comme un faux matériel car le véritable auteur du titre ne correspond pas à l’auteur apparent.⁶⁹ Il en va de même en cas de faux grossier, aisément reconnaissable.⁷⁰ Il n’est pas nécessaire à cet égard, que la dupe ait pris connaissance du courrier pour que l’infraction soit consommée.⁷¹ S’agissant d’un site web falsifié pour Boog et Müller, il s’agit là également d’un faux matériel s’il permet à la dupe d’ouvrir une session de e-banking d’apparence identique à une ouverte sur le site web de l’institution bancaire légitime.⁷²

Selon MELANI, les cybercriminels agissent souvent en groupe organisé en divisant le travail, échangeant des conseils, ou en se dotant d’une plateforme centralisée pour les fuites de données.⁷³ Par ces méthodes, les bandes cybercriminelles peuvent mieux se concentrer sur le développement d’attaques raffinées ou de nouvelles méthodes de chantage. En agissant en bande d’au moins trois membres, les cybercriminels peuvent se rendre coupable de soutien à une organisation criminelle, s’ils disposent d’une organisation effective avec division des tâches et qu’ils tirent profit de la distribution de malwares ou des données soustraites à leur victime par exemple par chantage.⁷⁴

Dans un communiqué de presse en 2021, Europol a annoncé que les autorités judiciaires ont pris le contrôle des infrastructures d’Emotet de l’intérieur, à la suite d’une action internationale coordonnée.⁷⁵ Les systèmes informatiques infectés par Emotet ont été redirigés auprès des infrastructures contrôlées des autorités d’exécution de la loi. Cette action, coordonnée par Europol et Eurojust, a impliqué les autorités des Pays-Bas, de l’Allemagne, des États-Unis, du Royaume-Uni, de la France, de la Lituanie, du Canada et de l’Ukraine. Europol relève également que la particularité d’Emotet résidait dans le fait qu’en tant que porte d’entrée pour d’autres malwares, l’organisation criminelle a son origine en faisait commerce auprès des autres cybercriminels au point d’en devenir le logiciel incontournable pour les cybercriminels développant également des malwares comme Ryuk ou TrickBot.⁷⁶

Cet épisode illustre la difficulté à laquelle les autorités de poursuite pénale sont confrontés face à au caractère transnational d’internet et de la cybercriminalité. Essentiellement, les cybercriminels profitent de l’anonymat d’internet permettant facilement de monétiser leurs activités et de tirer profit des utilisateurs non-sophistiqués d’internet.⁷⁷ Parallèlement, la cybercriminalité pose un problème de compétence aux autorités de poursuite pénale car elle ne se limite souvent pas nécessairement à un seul pays et donc au territoire délimité d’une seule juridiction.⁷⁸ À cet égard, la Convention de Budapest sur la cybercriminalité, conclue le 23 novembre 2001, constitue le premier instrument international encourageant la répression matérielle commune des infractions liées à la cybercriminalité ainsi que l’entraide judiciaire internationale entre les États-contractants.

Mise à part quelques modifications ponctuelles, la CCC n’a eu que peu d’influence sur la Suisse qui s’est depuis 1992 dotée d’un catalogue d’infractions en matière informatique.⁷⁹ Elle s’est néanmoins concrétisée par l’introduction de l’art. 18b de la Loi fédérale sur l’entraide internationale en matière pénale.⁸⁰ Il permet à la Suisse de divulguer les données relatives au trafic informatique, non pas toutefois du contenu des communications informatiques, avant la clôture d’une procédure d’entraide.⁸¹ Le tribunal des mesures de contraintes cantonal ou fédéral compétent ainsi que l’Office fédéral de la Justice (OFJ) doivent préalablement contrôler la mesure de surveillance et les données transmises ne peuvent servir de moyens de preuve avant la clôture de la procédure.⁸² Enfin, un service de piquet est assumé par l’OFJ afin d’assurer une assistance immédiate des investigations pénales nationales et internationales concernant la cybercriminalité ou pour recueillir des preuves sous forme électronique.⁸³ Néanmoins, l’architecture décentralisée d’internet, l’absence d’une autorité de contrôle centrale et les capacités de cryptage des communications rendent la plupart du temps impossible aux autorités de poursuite pénale d’accéder aux contenus des communications effectuées par le biais d’internet.⁸⁴

Concernant la sécurité informatique des institutions judiciaires, le blackout en 2019 de la Chambre d’appel de Berlin causé par Emotet illustre la nécessité d’une stratégie de sécurité informatique efficace pour n’importe quelle institution judiciaire.⁸⁵ Il semblerait que celle-ci soit restée complètement hors-ligne jusqu’en 2020 et qu’elle pourra de nouveau fonctionner à l’aide d’une infrastructure informatique normale.⁸⁶

Concrètement, il est important pour les institutions judiciaires de comprendre les risques informatiques auxquelles elles sont exposées et d’établir une stratégie efficace de sécurité informatique. Cela passera par l’engagement de mesures techniques face à une cyberattaque, ainsi que d’une formation adéquate de l’ensemble des collaborateurs d’un tribunal pour permettre de prévenir ou de limiter les effets dévastateurs d’une cyberattaque.

Au premier plan, des mesures techniques comme l’enregistrement des données concernant les affaires du tribunal sur des supports de données externes dans le cadre de backups permettent de maintenir partiellement l’activité des tribunaux victime d’une cyberattaque.⁸⁷ Les données concernant les affaires judicaires peuvent néanmoins avoir été enregistrées sur des clés USB ou des ordinateurs privées.⁸⁸ L’utilisation de matériels privés s’avère peu sûre en considérant les différents niveaux de sécurité informatique sur chaque périphérique et le niveau de conscience de chaque employé du tribunal face à la sécurité informatique de leurs systèmes informatiques, ainsi que le potentiel d’infiltration des malwares.⁸⁹ De même que la Chambre d’appel de Berlin, il est recommandé de fournir des ordinateurs d’urgence coupés d’internet aux collaborateurs du tribunal dotés d’un niveau de sécurité informatique suffisant pour perpétuer l’activité du tribunal de façon sécurisée.⁹⁰ De même effectuer les mises à jour des logiciels antivirus et pare-feu sont nécessaires pour assurer que les dernières failles de sécurité du système découvertes soient couvertes.

Parallèlement à ces mesures techniques, le facteur humain joue un rôle prépondérant dans toute stratégie de sécurité informatique.⁹¹ Les cybercriminels tirent en effet avantage des utilisateurs moins sophistiqués en tant que faiblesse de chaque chaîne de sécurité informatique. Il est donc central de former l’ensemble des collaborateurs d’un tribunal à la sécurité informatique ainsi qu’à les rendre attentif aux risques ainsi qu’à leur responsabilité individuelle lors de l’utilisation des systèmes informatiques du tribunal. La sécurité informatique n’est toutefois pas un état statique ponctuelle mais un engagement continuel de la maintenir par des mesures techniques et la formation des collaborateurs. L’engagement d’un responsable IT ou d’une équipe au sein d’un tribunal ou la délégation à des entreprises de sécurité informatique tierces peut s’avérer bénéfique. Néanmoins, cela n’exonère pas de former le personnel à la sécurité informatique de leur institution car au final la résilience d’une chaîne de sécurité informatique ne sera que tout aussi forte que son élément humain le moins instruit. Le piège résidera ultimement dans l’indifférence du facteur humain par rapport aux risques liés aux cyberattaques comprenant plusieurs vecteurs d’infection, ainsi qu’un énorme potentiel d’infiltration et de dégâts des malwares, à l’exemple de la Chambre d’appel de Berlin, victime d’Emotet.

Auteur : Fabian Teichmann, Dr. iur. Dr. rer. pol., LL.M., Rechtsanwalt, Teichmann International (Schweiz) AG.

Co-auteur : Léonard Gerber, Teichmann International (Schweiz) AG.