Jusletter IT

En 2020, la numérisation transperce notre société et ouvre une voie vers une économie viable. Ce que le Forum économique mondial qualifie de 4^ème révolution industrielle a également une influence sur la vie quotidienne des justiciables.¹ Concrètement, les gens communiquent par email ou message whatsapp, rencontrent leurs amis sur Facebook ou par zoom, publient leurs photos et vidéos sur instagram, commercent sur des plateformes internet et effectuent leurs paiements par e-banking.² Néanmoins, de nombreux comportements frauduleux ont émergé depuis le développement de l’informatique, certains tombant dans le champ du droit pénal informatique. La difficulté de la qualification juridique pénale de ces comportements réside dans la réalisation simultanée de plusieurs infractions sous la forme d’un concours idéal. Il en va ainsi des infractions se déroulant par le biais d’internet, par exemple les ransomwares, l’usurpation d’identité, l’hacking, la distribution de malwares, les attaques DDoS³, la cyber-escroquerie, les infractions liées au cybersex, la cyber-concurrence déloyale ainsi que du phishing.

La présente contribution traite brièvement la Convention du Conseil de l’Europe sur la cybercriminalité conclue le 23 novembre 2001 à Budapest apportant une première réponse juridique face aux comportements informatiques frauduleux (II). Parallèlement, le droit pénal suisse apporte une deuxième réponse juridique à la criminalité informatique au niveau national (III). Cette étude préliminaire permettra de présenter le phishing, ses différentes formes ainsi que sa qualification en droit pénal suisse qui seront également traités dans un chapitre à part (IV). Cette contribution conclue par une présentation des difficultés liées à la poursuite du phishing sur internet et des perspectives actuelles des autorités suisses (V).

Le Conseil de l’Europe a émi sa Convention de Budapest sur la cybercriminalité, conclue le 23 novembre 2001 qui constitue la première convention internationale à traiter de la cybercriminalité.⁴ Intéressant à cet égard, les 65 État-adhérents en 2021 comprennent également des État non-membres du Conseil de l’Europe qui ont également ratifié la CCC à l’exemple des États-Unis d’Amérique, du Japon, de l’Australie ou du Canada.⁵ La CCC et ses État-adhérents reconnaissent ainsi la nécessité de combattre et prévenir au niveau international la cybercriminalité pouvant s’exerçer à l’échelle mondiale et corollairement au-delà de la compétence délimitée d’une seule et unique juridiction.⁶ La CCC a principalement pour but d’enjoindre les pays-adhérents à mener une politique criminelle commune destinée à protéger la société de la criminalité dans le cyberespace par l’adoption de mesures législatives et par un renforcement de la coopération internationale.⁷

Concrètement, les État-adhérents sont requis de réprimer les infractions suivantes dans leur droit domestique, bien qu’ils puissent émettre des réserves individuellement :⁸

• Hacking ou accès illégal à l’ensemble ou à une partie d’un système informatique (art. 2 et 40 CCC)
• Interception illégale de données informatiques (art. 3 CCC)
• Atteinte à l’intégrité des données (art. 4 CCC)
• Atteinte à l’intégrité du système (art. 5 CCC)
• Abus de dispositifs, logiciels, codes d’accès ou mot de passes pour commettre une infraction aux art. 2 à 5 de la Convention (art. 6 CCC)
• Falsification informatique (art. 7 CCC)
• Fraude informatique (art. 8 CCC)
• Infractions se rapportant à la pornographie enfantine (art. 9 CCC)
• Infractions liées aux atteintes à la propriété intellectuelle et aux droits connexes (art. 10 CCC)
• Tentative et complicité (art. 11 CCC)

Enfin un Protocole additionnel relatif à l’incrimination d’actes de nature raciste et xénophobe commis par le biais de système informatique daté du 28 janvier 2003 a été signé par la Suisse le 9 octobre 2003 qu’elle n’a toutefois pas ratifié à ce jour.⁹

En matière de coopération internationale, les principes généraux de la CCC requièrent des Etat-adhérents de supprimer les obstacles à la circulation rapide et sans problème de l’information et des preuves.¹⁰ Plus concrètement en matière de cybercriminalité, un échange plus rapide des informations lors de procédures de coopération judiciaire internationale pénale devrait être assuré pour toutes les infractions pénales liées à des systèmes et données informatique ainsi qu’à la collecte des preuves sous forme électronique se rapportant à une infraction pénale.¹¹ Ainsi, l’introduction de l’art. 18b de la Loi fédérale sur l’entraide internationale en matière pénale¹² permet à la Suisse divulguer les données relatives au trafic informatique avant la clôture d’une procédure d’entraide, non pas toutefois du contenu des communications informatiques.¹³ Le tribunal des mesures de contraintes cantonal ou fédéral compétent ainsi que l’Office fédéral de la Justice (OFJ) doivent préalablement contrôler la mesure de surveillance et les données transmises ne peuvent servir de moyens de preuve avant la clôture de la procédure.¹⁴ Un service de piquet est assumé par l’OFJ afin d’assurer une assistance immédiate des investigations pénales nationales et internationales concernant la cybercriminalité ou pour recueillir des preuves sous forme électronique.¹⁵

Sur le plan matériel, le droit pénal suisse réprimait d’ores et déjà une grande partie des infractions comprises dans la CCC lors de sa ratification le 18 mars 2011.¹⁶ Pour cause, les infractions dans le domaine informatique sont entrées en vigueur le 1^er janvier 1995 par une adaptation du Code pénal suisse satisfaisant en grande partie aux dispositions pénales matérielles de la CCC.¹⁷ La CCC est ainsi entrée en vigueur le 1^er janvier 2012 pour la Suisse menant néanmoins à une révision partielle du CP ainsi que de la EIMP.¹⁸ En l’état de 2021, les infractions spécifiques à la criminalité informatique suivantes sont réprimées par le droit pénal suisse.

• La soustraction de données (art. 143 CP)
• L’accès indu à un système informatique (art. 143^bis CP)
• La détérioration de données (art. 144^bis CP)
• L’utilisation frauduleuse d’un ordinateur (art. 147 CP)
• Mise en circulation et réclame en faveur d’appareils d’écoute, de prise de son et de prise de vues (art. 179^sexies CP)
• Violation du domaine secret ou du domaine privé au moyen d’un appareil de prises de vues (art. 179^quater CP)
• Pornographie (art. 197 CP)
• Violation du droit d’auteur (art. 67 LDA)
• Omission de la source (art. 68 LDA)
• Violation de droits voisins (69 LDA)
• Violation de la protection des mesures techniques ou de l’information sur le régime des droits (art. 69a LDA)

La cybercriminalité peut faire l’objet d’une division en deux catégories.¹⁹ La première catégorie regroupe la criminalité contre les infrastructures internet comme l’ordinateur, la connectivité, un programme ou plus généralement le support informatique des victimes.²⁰ Il en va ainsi par exemple du hacking, des attaques DDoS, le partage de malwares (virus, cheval de Troie, ou worm par exemple). La deuxième catégorie regroupe la criminalité commise au moyen d’internet (par exemple la discrimination raciale, la violation des droits d’auteur, la concurrence déloyale, ou le phishing).²¹ Les infractions liées à internet ont également une portée transnationale car elles ne se limitent pas nécessairement à une unique juridiction.²² Néanmoins, l’internet est le médium par lequel de nombreux comportements abusifs de la part de ses utilisateurs ne sont que ponctuellement réprimés par le droit pénal suisse. La partie spéciale du CP, complétée par les infractions du domaine informatique, offre une protection similaire à celle de la CCC.²³ Ces comportements abusifs peuvent entraîner la réalisation de plusieurs infractions du droit pénal sous la forme d’un concours idéal et à plus fortes raisons comme nous le verrons du phishing.²⁴

Le phishing provient de la contraction de deux termes anglais, à savoir password (mot de passe), harvesting (récolte) et fishing (pêche), plus communément appelé hammeçonnage en français.²⁵ Le phishing regroupe les techniques employées pour soutirer des renseignements personnels de façon frauduleuse, le plus souvent de nature bancaire, en général dans le but de perpétrer des infractions contre le patrimoine et liées à l’usurpation d’identité.²⁶

Les attaques classiques de phishing apparues autour de l’année 2003 reposaient principalement sur la collaboration « aveugle » des victimes avec les auteurs du phishing.²⁷ On parle alors de techniques classiques du phishing reposant principalement sur des techniques d’ingénierie sociale destinées à manipuler les victimes pour qu’elles collaborent activement avec les auteurs.²⁸ Concrètement, la victime reçoit un courrier par email ou par SMS de la part du ou des auteurs du phishing se faisant passer pour une banque ou une autorité officielle.²⁹ Les auteurs agissent le plus souvent en envoyant des courriels ou SMS en masse, souvent avec des adresses d’expédition falsifiée ou imitée, par exemple celle d’une banque (e-mail spoofing).³⁰ Les messages contiennent généralement une demande de renouvellement des données personnelles pour des raisons de sécurité ou de mises à jour, le remboursement d’une somme payée en trop ou un manco à couvrir, ainsi qu’un lien vers une page web imitée comprenant un formulaire à remplir de données personnelles, notamment bancaires.³¹ Le courriel de phishing peut également ouvrir directement la page web ou le formulaire à remplir au lieu de contenir un lien vers une page web, ou bien il peut arriver que les sites webs authentiques aient été piratés pour héberger des pages de « phishing » (cybersquatting).³²

Dès l’année 2008, les techniques de phishing ont évolué.³³ Les cybercriminels emploient des mesures techniques permettant de s’introduire directement dans le support informatique de la victime, notamment par l’emploi de malware de type cheval de Troie par exemple.³⁴ Ce type de phishing nommé Man in the Middle (abrégé MitM) consiste concrètement à installer un programme malveillant dans le système informatique de la victime.³⁵ L’auteur du phishing peut ensuite décider soit prendre le contrôle du support informatique de ses victimes soit de surveiller leur activité sur leur support et d’intercepter les données qu’ils transmettront notamment à leur banque. Le grand danger des attaques MitM réside essentiellement dans le fait que les victimes ne se rendent pas compte des actions de l’auteur du phishing et ne collaborent pas consciemment avec l’auteur.

Les fraudes nécessitant la participation active de la victime se divisent principalement en deux types :

• Spear phishing : se focalise sur un utilisateur ou un groupe d’utilisateur en particulier par exemple avec un message fortement personnalisé avec un contenu cohérent, difficilement identifiable avec une attaque provenant d’un hacker.³⁶ Les victimes potentielles peuvent comprendre des directeurs d’entreprises ou de leurs collaborateurs proches, souvent en utilisant une adresse e-mail internet à l’entreprise.³⁷
• Vishing : Utilisation de la technologie VoIP (voix sur IP ou voice over IP) par exemple par appel téléphonique dans le but de duper quelqu’un lui faisant divulguer des informations personnelles, financières ou des mots de passe, ou bien divulguer des absences de vacances.³⁸ L’équivalent du vishing par SMS constitue le smishing.³⁹

Bien que les attaques classiques aient généré des profits, elles sont en pertes de vitesse au profit des MitM beaucoup plus efficaces et ne nécessitant pas nécessairement une active collaboration de la victime.⁴⁰ Essentiellement, deux types d’attaques MitM se distinguent :

• Le Pharming : cette technique consiste à rediriger la victime à son insu, vers un site web falsifié où elle saisira des informations que l’auteur pourra exploiter, par exemple les mots de passe et identifiants d’un compte d’e-banking.⁴¹ Cette technique de piratage informatique exploite les vulnérabilités d’un nom de domaine DNS (en anglais pour Domain Name System, à savoir le protocole chargé de la résolution des noms de domaine en adresses IP) et consiste à ce que l’IP d’un site frauduleux soit donné suite à une requête DNS d’un nom de domaine légitime de la part de la victime.⁴² L’auteur peut également employer un maliciel pour modifier les paramètres du nom de domaines d’un site web légitime.⁴³
• In session phishing: Cette techniques consiste à faire croire à la cible que sa banque ou un autre organisme de confiance lui demande des informations confidentielles en envoyant des courriers électroniques aux potentielles victimes.⁴⁴ Le courrier comprend en général un lien menant à un site sur lequel une fenêtre pop-up s’affichera automatiquement invitant l’internaute à réinscrire son identifiant et son mot de passe. Une fois les informations validées, l’instigateur de l’attaque peut les réutiliser pour ses propres affaires.⁴⁵ L’ouverture du site web peut également entraîner le téléchargement d’un programme malveillant à l’intérieur du système informatique de la victime (par exemple de type Cheval de Troie) qui s’exécutera au moment de l’ouverture du fichier.⁴⁶ Une fois téléchargé, le programme malveillant s’installe automatiquement et modifie les données qui composent le navigateur afin de ménager un accès au cybercriminel sans le consentement de l’utilisateur légitime.⁴⁷ À l’aide d’un programme de type Cheval de Troie par exemple, l’auteur pourra surveiller l’activité des utilisateurs du support informatique infecté par exemple lors de l’ouverture d’une session de e-banking et/ou en prendre directement le contrôle.⁴⁸

Le mode opératoire des auteurs de phishing consiste à envoyer un courriel au contenu fallacieux à la victime potentielle dans le but de récolter des données confidentielles.⁴⁹ Les diverses formes de phishing peuvent néanmoins entraîner une qualification juridique pénale différente. La création et l’expédition de courriels de phishing n’est pas en soi punissable.⁵⁰ Néanmoins, l’auteur entraîne la réalisation de plusieurs infractions en droit pénal suisse suivant les techniques informatiques qu’il emploi et du résultat obtenu par l’entremise de leurs victimes. Les infractions suivantes du droit pénal suisse entrent ainsi en compte⁵¹ :

L’art. 143^bis CP est la norme de droit pénal suisse réprimant le hacking , à savoir l’accès indu à un système informatique.⁵² Cette infraction comprend deux éléments constitutif objectifs ainsi qu’un élément constitutif subjectif.⁵³

Premièrement, cette norme protège les systèmes informatiques appartenant à autrui et spécialement protégés contre les intrusions sans droit d’autrui.⁵⁴ Les ordinateurs, les téléphones portables, les caméras digitales ainsi que toutes installations de traitement de données incorporées se comprennent comme des systèmes informatiques.⁵⁵ Il n’en va pas ainsi de l’intrusion dans un support de données, par exemple les clés USB, les CD, DVD ou disquettes à moins qu’ils ne soient reliés à un système informatique protégé.⁵⁶ Les données en tant que telles ne sont pas protégées par l’art. 143^bis CP mais par l’art. 143 CP réprimant quant à lui la soustraction de données.⁵⁷ Pour déterminer si un système informatique est spécialement protégé, il faut s’intéresser à la manifestation de volonté de la personne ayant légalement accès au système d’empêcher des tiers d’accéder à ses données ou de restreindre cet accès.⁵⁸ Ce critère est respecté si des barrières informatiques ont été installées par exemple en cas d’emploi d’un antivirus, d’un verrouillage par code d’accès ou mot de passe, d’un chiffrement ou d’une clé biométrique, toutefois pas s’il n’existe que des barrières physiques protégeant le système informatique par exemple à l’aide d’une pièce close, ou d’une armoire scellée.⁵⁹ Deuxièmement, la norme protège contre l’accès indu au moyen d’un dispositif de transmission de donnée.⁶⁰ L’infraction est consommée, à partir du moment où l’auteur pénètre la première barrière d’accès, par exemple le code, le mot de passe ou de la clé biométrique du système général du système informatique protégé.⁶¹

Pour Müller, l’auteur n’est pas punissable d’un accès indu à un système informatique au sens de l’art. 143^bis CP en se contentant d’envoyer un mail de phishing.⁶² Pour cause, il manque à son action une intrusion dans un système informatique. Le phishing se déroulant principalement par email ou sms, l’auteur ne désactive ni ne surmonte aucune barrière technique d’accès, à défaut d’emploi d’un malware de type cheval de Troie par exemple.⁶³ C’est donc principalement le « in session phishing » qui remplit ce critère, par exemple lorsque l’auteur emploi un malware de type cheval de Troie lui permettant de prendre contrôle de la session de la victime à distance.⁶⁴ Parallèlement, s’agissant des autres types de phishing, il en va également de même lorsque l’auteur accède à la messagerie de la victime en se faisant passer pour elle en utilisant ses données volées, car il accède indument à un serveur web hébergeant la boîte aux lettres électroniques d’autrui.⁶⁵ Il accède donc à un système informatique spécialement protégé contre les intrusions d’autrui.⁶⁶ Enfin, au niveau subjectif, il faut uniquement pouvoir prouver que l’auteur ait agi intentionnellement, un dessein d’enrichissement n’est plus exigé par l’art. 143^bis CP.⁶⁷

L’infraction de soustraction de données est une infraction formelle et de lésion protégeant le droit du bénéficiaire légitime de disposer des données informatiques à sa guise.⁶⁸ La soustraction de données comprend deux éléments constitutifs objectifs ainsi que deux éléments constitutifs subjectifs.⁶⁹

Premièrement, des données enregistrées ou transmises électroniquement ou selon un mode similaire, non destinées à l’auteur doivent être spécialement protégées contre tout accès indu.⁷⁰ Deuxièmement, le comportement typique réprimé est la soustraction.⁷¹ Une fois les données obtenues, les auteurs du phishing peuvent en faire usage eux-mêmes ou les revendre sur le marché noir.⁷² Pour réaliser l’infraction de soustraction de données, il suffit néanmoins que l’auteur puisse accéder aux données, c’est-à-dire en prendre connaissance, mais il n’est pas nécessaire qu’il en fasse effectivement usage une fois obtenues.⁷³ Du point de vue subjectif, la soustraction de donnée est une infraction intentionnelle dont le législateur exige également un dessein d’enrichissement illégitime.⁷⁴ L’enrichissement englobe tous les avantages économiques susceptible d’être estimée ou tout élément doté d’une valeur pécuniaire.⁷⁵

Selon Ammann, le premier élément n’est pas réalisé en cas de phishing, car bien que les mots de passes introduits dans le système informatique par la victime constituent des données au sens de l’art. 143 CP, l’auteur n’a pas nécessairement franchi de mesures de sécurité protégeant ses données.⁷⁶ L’auteur offre de son plein gré, les données confidentielles en question. D’autres auteurs, auxquels nous nous rallions, considèrent qu’il y a soustraction de données, à partir du moment où un antivirus ou un pare-feu a été installé par l’utilisateur légitime du support informatique créant ainsi une barrière à l’accès d’autrui aux données du support.⁷⁷ Contrairement à l’art. 143^bis CP, un dispositif de transmission de données n’est pas exigée, la notion de « spécialement protégé contre les attaques extérieures » est donc plus large que celle de l’art. 143 CP et devrait donc comprendre les barrières physique de protection comme l’enfermement dans une armoire ou une pièce fermée à clé.⁷⁸ Le phishing est subjectivement constitutif de soustraction de données notamment lorsque l’auteur compte utiliser les identifiants d’une victime pour payer des biens et des services, y compris par dol éventuel.⁷⁹

La soustraction de données personnelles introduite par la loi fédérale sur la protection des données du 19 juin 1992 protège les droits de la personnalité de l’individu auquel les données se rapportent.⁸⁰ Par rapport à l’art. 143 CP, seule l’objet de l’infraction change dans la qualification pénale car l’art. 179^novies CP protège spécifiquement les données personnelles sensibles et les profils de personnalité pas librement accessibles, de la soustraction.⁸¹ Subjectivement, seule l’intention de l’auteur est requise.⁸²

Si l’auteur soustrait des données personnelles⁸³ sensibles⁸⁴ ou des profils de personnalité⁸⁵ non-librement accessibles, il pourra être également coupable de soustraction de données personnelles.⁸⁶ Pour Ammann, les données d’accès de compte ne sont pas des données personnelles sensibles ou des profils de personnalité, il faut donc que l’auteur du phishing prenne connaissance d’autres données pour entraîner l’art. 179^novies CP.⁸⁷ De plus, pour une partie de la doctrine, la notion de « pas librement accessible » de l’art. 179^novies CP est plus large que la notion de « protégé contre tout accès » de l’art. 143 CP et n’implique donc pas que les données personnelles sensibles ou que les profils de personnalités soient cachées.⁸⁸ Une barrière technique n’est donc pas nécessaire, et à ce niveau une barrière physique comme une porte fermée sans clé devrait répondre à ce critère.⁸⁹

L’infraction d’escroquerie protège le patrimoine de la victime, il s’agit d’une infraction de commission et suppose ainsi un comportement actif de l’auteur.⁹⁰ Les éléments constitutifs objectifs suivants doivent être réunis, lesquels doivent se trouver dans un rapport de causalité.

Premièrement, il faut une tromperie sous la forme d’une affirmation fallacieuse, la dissimulation de faits vrais ou le fait de conforter autrui dans son erreur.⁹¹ Deuxièmement, cette tromperie doit être astucieuse, plus concrètement, l’auteur doit avoir agi avec un certain raffinement ou une rouerie particulière.⁹² Selon la ligne constante du TF, ceci est le cas lorsque l’auteur recourt à un édifice de mensonges, à des manœuvres frauduleuses ou à des mises en scènes.⁹³ Toutefois, l’échec de la tromperie ne signifie pas nécessairement qu’elle n’était pas astucieuse.⁹⁴ Troisièmement, l’auteur doit avoir induit une personne en erreur soit l’avoir confortée dans une erreur préexistante, néanmoins la tromperie doit être la cause de l’erreur. Cette condition est également remplie lorsque l’auteur l’a déterminé à un ou plusieurs actes préjudiciables à ses intérêts pécuniaires ou à ceux d’un tiers, il faut donc un acte de disposition du bien issus du patrimoine de la victime. Enfin, il faut un dommage, sous la forme d’une diminution de l’actif, une augmentation du passif, une non-augmentation de l’actif ou une non-diminution du passif de la victime. Le dommage peut également consister en une mise en danger du patrimoine, telle qu’elle a pour effet d’en diminuer la valeur d’un point de vue économique.⁹⁵ Sur le plan subjectif, l’auteur doit avoir agi intentionnellement avec le but de se procurer ou de procurer à un tiers un enrichissement illégitime.

Le phishing consiste à tromper la victime par exemple par une affirmation fallacieuse que sa banque nécessite de mettre à jour leurs données clients. L’auteur du phishing et à plus fortes raisons de « spear phishing » mène astucieusement ses victimes en erreur non seulement sur l’expéditeur du courrier mais également sur le contenu faussement attribuable à la banque de la victime.⁹⁶ Cependant, les données obtenues de la victime n’ont pas de valeurs directes.⁹⁷ Il n’y a donc pas de dommage financier pour le patrimoine des victimes avant que l’auteur ne fasse utilisation des données obtenues par le phishing.⁹⁸ Même dans l’optique où l’auteur accède aux comptes bancaires de ses victimes et effectuent des transferts menant à une diminution de leur patrimoine pour réaliser une escroquerie, il manquera encore le lien de causalité entre l’erreur de la dupe et la disposition du patrimoine.⁹⁹ En d’autres termes, la dupe n’est pas menée en erreur par la tromperie astucieuse pour mener elle-même un acte de disposition.¹⁰⁰ La victime ne provoque donc pas elle-même l’acte de disposition mais cette dernière nécessite une action supplémentaire de la part de l’auteur.¹⁰¹ L’auteur de phishing n’est donc pas passible d’escroquerie à défaut de causalité entre l’erreur et l’acte de disposition.

Tout comme l’escroquerie, l’infraction d’utilisation frauduleuse d’un ordinateur est une infraction de commission et protège le patrimoine.¹⁰² L’art. 147 CP comprend trois éléments objectifs constitutifs essentiels ainsi que deux éléments constitutifs essentiels.¹⁰³

Premièrement, il faut une manipulation frauduleuse des données, sous la forme d’une utilisation incorrecte, incomplète ou indue de données.¹⁰⁴ Deuxièmement, il faut prouver l’influence sur un processus électronique ou similaire de traitement ou transmission de données de tel sorte qu’un résultat inexact soit obtenu.¹⁰⁵ Troisièmement, il faut un transfert d’actif au préjudice d’autrui ou sa dissimulation, à savoir que la victime ait subie un dommage patrimonial.¹⁰⁶ Enfin, un rapport de causalité entre la manipulation frauduleuse, l’obtention du résultat inexact entraînant un transfert d’actifs puis un préjudice patrimonial.¹⁰⁷ Sur le plan subjectif, l’art. 147 CP au même titre que l’escroquerie requiert l’intention de l’auteur, ainsi qu’un dessein d’enrichissement illégitime.¹⁰⁸

Si l’auteur du phishing emploi indûment les données obtenues de la victime pour effectuer une transaction bancaire sous l’identité de ses victimes, les éléments constitutifs objectifs de l’art. 147 CP sont en principe réunis.¹⁰⁹ En effet, pour une partie de la doctrine, il y a utilisation indue de données lorsque l’auteur obtient des données par un système d’hameçonnage.¹¹⁰ Néanmoins, une question plus controversée est de déterminer si les données récoltées par l’auteur ont une valeur directe dans le patrimoine de la victime et s’il faut donc conclure à un dommage patrimonial à défaut d’un acte de disposition contre le patrimoine de la victime.¹¹¹ À tout le moins, un dommage patrimonial doit être retenu lorsque l’auteur se sert des données bancaires de ses victimes pour disposer de leurs valeurs patrimoniales et effectuer des paiements.¹¹²

L’infraction de faux dans les titres est un délit formel de mise en danger abstraite protégeant la confiance qui, dans les relations juridiques, est placée dans un titre comme moyen de preuve.¹¹³ L’art. 251 CP protège donc la confiance individuelle placée dans les titres au sens de l’art. 110 IV CP destinés à prouver un fait ayant une portée juridique et tous les signes destinés à prouver un tel fait.¹¹⁴ Premièrement, il convient de déterminer si un E-mail ou un site web faslifié constitue un titre au sens de l’art. 110 IV CP.¹¹⁵ Deuxièmement, l’acte typique considéré porte sur la création et l’usage du faux d’un document digital, sous la forme d’un titre conformément à la définition de l’art. 110 IV CP, et faisant constater faussement un fait ayant une portée juridique.¹¹⁶ S’agissant des éléments constitutifs subjectifs, l’intention ainsi qu’un dessein de porter atteinte aux intérêts pécuniaires ou aux droits d’autrui, ou de se procurer ou de procurer à un tiers un avantage illicite doivent être réunis.¹¹⁷

La question principale est de déterminer si les sites webs falsifiés ainsi que les courriers électroniques envoyés par les auteurs de phishing constituent des titres au sens des art. 110 IV et 251 ch. 1 CP.¹¹⁸ Un titre consiste en un écrit destiné à prouver un fait ayant une portée juridique.¹¹⁹ Selon, l’interprétation du Tribunal fédéral se ralliant au à la Geistigkeitstheorie, un courrier de phishing en tant que faux document digital remplit les fonctions de perpétuité, de preuves et de garantie de l’identité de l’auteur et doit être considérer comme un faux matériel car le véritable auteur du titre ne correspond pas à l’auteur apparent.¹²⁰ Il en va de même en cas de faux grossier, aisément reconnaissable.¹²¹ Il n’est pas nécessaire à cet égard, que la dupe ait pris connaissance du courrier pour que l’infraction soit consommée.¹²² S’agissant d’un site web falsifié pour Boog et Müller, il s’agit là également d’un faux matériel s’il permet à la dupe d’ouvrir une session de e-banking d’apparence identique à une ouverte sur le site web de l’institution bancaire légitime.¹²³ Subjectivement, l’intention de l’auteur doit être reconnaissable dans le courrier envoyé. Il doit ainsi avoir su et voulu créer un faux document digital, à partir du moment où il usurpe l’identité d’une institution légitime, par exemple une institution bancaire. L’avantage illicite pouvant être de n’importe quelle nature, l’auteur du phishing réalise cette condition s’il agit dans le but d’obtenir des renseignements de la part de sa victime afin de les utiliser ou de les revendre, indépendamment de vouloir payer des biens et des services.¹²⁴

Les e-wallets, à savoir les porte-monnaies digitaux en ligne de crypto-monnaies constituent une cible privilégiée des auteurs de phishing.¹²⁵ Au premier plan, en considérant l’anonymat conféré par la technologie des registres distribués de type blockchain¹²⁶, il est primordial pour les utilisateurs de protéger la clé d’authentification privée d’être divulguée à des tiers non-autorisés.¹²⁷ Selon la juridiction concernée, un vide juridique peut néanmoins subsister notamment quant à la surveillance des prestataires de services liés aux crypto-monnaies, ainsi qu’aux standards de sécurité informatique à adopter et à l’efficacité de la protection de leurs utilisateurs.¹²⁸ À défaut de tels standards applicables, la sécurité informatique des services offerts par les prestataires de services liés aux crypto-monnaies est délaissée à la responsabilité purement privée des prestataires de services et de leurs utilisateurs.¹²⁹

Parallèlement, le recours à des agents financiers et à des personnes morales établies à l’étranger ainsi que les nombreuses possibilités d’internationaliser les infractions préalables et le blanchiment d’argent connexe à un phishing liés aux crypto-monnaies constituent les principales vulnérabilités.¹³⁰ Le recouvrement des valeurs patrimoniales en temps opportun ou la preuve d’une infraction préalable constituent un défi pour les autorités de poursuite pénale.¹³¹ Il s’ensuit alors de longues procédures d’entraide pénale internationale.¹³²

Aux vues des aspects internationaux de la cybercriminalité à plus fortes raisons de la criminalité par le biais d’internet, les demandes d’entraides judiciaires auprès de l’OFJ seront nécessaires.¹³³ Les sites de phishing sont souvent hebergés à l’étranger sur des serveurs piratés d’utilisateurs tiers. Les auteurs passent également par des services de proxy établi à l’étranger pour créer les pages de phishing. Les données volées sont souvent distribuées à d’autres personne dans l’optique d’un réemploi sur le marché noir.¹³⁴ Par conséquent, il y a une multiplication des juridictions touchées et potentiellement compétentes pour traiter ou enquêter sur les infractions d’un auteur de phishing. La CCC constitue donc une première réponse envers la cybercriminalité internationale et un renforcement de la coopération internationale ayant permi l’introduction de l’art. 18b EIMP en droit suisse.

Plus intéressant à cet égard, le Conseil fédéral dans son message daté de 2010 considère qu’il faille à l’avenir doté les offices compétents de services spécialisés car ils représenteront un atout sur le plan pratique dans la lutte contre la cybercriminalité.¹³⁵ Plus généralement, l’emprise des technologies modernes et la propagation de la cybercriminalité solliciteront progressivement les forces de police et les autorités de poursuite pénale.¹³⁶ Au niveau Suisse pour lutter contre les fraudes sur internet, la Centrale d’enregistrement et d’analyse pour la sûreté de l’informatique (MELANI) a été missionnée de recenser les modes opératoires et émettre des recommandations de sécurité informatique.¹³⁷ MELANI offre des réponses adaptées à chaque nouvelle fraude. Il en va également de même pour le Service national de coordination de la lutte contre la criminalité sur internet (SCOCI), de la Prévention Suisse de la Criminalité (PSC) ainsi que le Préposé fédéral à la protection des données et à la transparence (PFPDT).¹³⁸

Auteur: Fabian Teichmann, Teichmann International (Schweiz) AG.

Co-auteur: Léonard Gerber, Teichmann International (Schweiz) AG.