Adrien Basdevant
La cybercriminalité se « démocratise ». Loin de cibler uniquement les grands groupes, elle atteint aujourd'hui indifféremment les petites et moyennes entreprises, les collectivités, les hôpitaux, et les centrales nucléaires, pour ne citer qu'eux. Tous les secteurs sont concernés, de l'agriculture à l'éducation en passant par l'industrie lourde, la quasi-totalité de nos activités et interactions sont reliées à un système d'information, pourtant vulnérable aux intrusions et piratages.
Si la révolution numérique concernait en premier lieu les industries et les services recourant à l'usage des nombres, texte, son, images et vidéos, ce qui ne pouvait qu'induire une transformation des secteurs connexes, tels que la banque, l'édition, la musique, la photo et le cinéma. Notre monde de données connecte désormais dans un vaste écosystème réticulaire individus, objets, robots, capteurs. À en croire une étude du cabinet IDC, nous atteindrons 80 milliards d'objets connectés en 2020 (contre 4 milliards seulement en 2010). Cette transformation gagne ainsi à son tour les biens physiques mobiliers et immobiliers, que ce soient les maisons, les voitures, et tous les biens de consommation courante (brosses à dent connectée, frigidaire, etc.). Dès lors, chaque organisation, quel que soit son secteur, devient une entreprise de technologie de l'information dont les données constituent une richesse convoitée.
Qu'est-ce que la cybercriminalité ? Ses facettes sont multiples. À défaut de l'existence d'une définition légale consacrée, la cybercriminalité recouvre l'ensemble des infractions pénales tentées ou commises à l'encontre ou au moyen d'un système d'information et de communication, principalement via internet. Elle s'étend de l'escroquerie, aux vols de données, en passant par l'usurpation d'identité, mais renvoie également à la pédopornographie, la diffusion de contenus illicites ou malveillants, l'espionnage de sociétés ou encore la saturation de sites internet. Cette activité peut s'avérer très lucrative. En trois ans, Silk Road, le plus grand site de vente de drogues au monde, aurait généré un trafic évalué à 1,2 milliard de dollars avec des commissions de l'ordre de 80 millions de dollars.
Rien qu'en un an, il a progressé de 67 %, quand son coût pour l'économie globale est estimé entre 375 et 575 milliards de dollars. Combien d'attaques informatiques révélées, de réseaux en lignes démantelés suffiront à nous en faire prendre pleinement conscience ? À l'heure où l'ensemble de notre société et de notre économie est mise en données, le risque réside dans l'explosion de cette délinquance, alors qu'un sentiment d'impunité persiste.
Ce constat inquiétant révèle un déficit de sensibilisation et de connaissance minorant sa gravité. Les contremesures proposées sont aujourd'hui insuffisantes. Dans ce contexte, il devient urgent de réfléchir aux modalités d'organisations collectives pour lutter contre ces menaces, encore peu maîtrisées, mais qui deviendront à n'en pas douter notre quotidien de demain. Cette nouvelle forme de délinquance fait fi des frontières et ne peut être appréhendée qu'à travers son aspect transnational de sorte que la première nécessité réside dans la mise en place d'une coopération internationale efficace. Elle présente en outre un degré de complexité rendant nécessaire une spécialisation pointue des acteurs et des outils afin de mieux saisir les mécanismes employés, comme dans le cas d'emploi de processus d'anonymisation par le navigateur TOR (The Onion Router) ou de demandes de rançon en bitcoin.
L’actualité qui compte pour vous, chaque jour dans votre boîte mail.
Fermé par le FBI en novembre 2014, le site « route de la Soie » constitue un exemple topique. Silk Road proposait, entre autres, d'après l'accusation, la vente et l'achat, uniquement en bitcoin, de drogues, armes, faux papiers, et des services de tueurs à gages. Durant le procès, les avocats de Ross Ulbricht - poursuivi pour avoir dirigé ce marché noir et finalement condamné en mai 2017 à la réclusion criminelle à perpétuité - ont remis en cause plusieurs aspects de l'enquête, en particulier le comportement de deux agents fédéraux qui ont tenté d'extorquer et faire chanter l'accusé. Shaun Bridges, membre des services secrets américains, a ainsi été condamné après avoir plaidé coupable du détournement de 800.000 dollars en devise électronique bitcoin. Quand Carl Mark Force, agent de la DEA (service de la Justice américaine en charge de la lutte contre les stupéfiants - Drug Enforcement Administration en anglais) a écopé de 78 mois de prison pour extorsion de fonds et blanchiment d'argent. Cette affaire complexe souligne les spécificités inhérentes aux technologies, et la nécessité de former les prochaines générations d'enquêteurs, de juges et d'avocats pour en appréhender toutes les subtilités. Une spécialisation de l'ensemble de la chaîne pénale paraît nécessaire : de l'enquête, à l'instruction, jusqu'à la phase de jugement.
Les limites actuelles pour lutter contre la cybercriminalité ressemblent à celles qui existaient en matière économique et financière avant la création, en 2014, du Parquet National Financier : aggravation et complexification de la délinquance économique, absence d'interlocuteur précisément déterminé au niveau national et international, spécialisation insuffisante des magistrats, insuffisance des moyens humains et techniques, coût du manque à gagner résultant de la fraude. Le Parquet National Financier pourrait ainsi servir d'exemple. La création d'un Parquet spécialisé dans le numérique permettrait de répondre aux problématiques posées par les infractions propres aux réseaux électroniques, notamment les attaques visant les systèmes d'information, le déni de service et le piratage ainsi que celles commises à l'aide des réseaux de communication électroniques et de systèmes d'information lorsque celles-ci atteignent un certain degré de complexité ou constituent des atteintes particulièrement graves. Son niveau élevé de spécialisation et les outils de pointe qui lui seraient confiés permettraient par exemple d'identifier les auteurs ayant recours à des processus de chiffrement et de récolter des preuves rendues plus difficiles à obtenir par des technologies avancées. Certaines initiatives ont déjà été déployées dans l'État de Rio au Brésil, ou en Espagne où existe un Procureur Général en charge de la cybercriminalité qui bénéficie de l'aide de 70 parquetiers réunis au sein d'un parquet spécifique dédié à ce type de criminalité.
La création d'une filière judiciaire numérique suppose de débattre en amont du type de spécialisation des magistrats, de leur nombre, de la centralisation ou la décentralisation d'un tel parquet, voire de la possibilité de mettre en œuvre un parquet au niveau européen. Un enjeu majeur sera alors de coordonner l'action du Parquet du Numérique avec les différents services spécialisés existants, le numérique étant souvent un moyen permettant à la grande délinquance organisée de blanchir l'argent ou de financer des réseaux terroristes, pour lesquels d'autres organes sont déjà compétents. A terme, la création une 33e Chambre correctionnelle spécialisée et exclusivement dédiée au jugement des infractions instruites par le Parquet National du Numérique - à l'image de la 32e Chambre correctionnelle, dédiée aux affaires émanant du Parquet National Financier (Affaire Cahuzac, Wildenstein, Fillon, etc.) - pourrait s'avérer pertinente.
L'urgence nous commande dès à présent de réfléchir à l'évolution du contentieux lié au numérique. C'est avant tout une question de conduite du changement, de sensibilisation, d'éducation qui permettra d'insuffler une culture du numérique. Cette évolution paraîtra prospective pour certains. L'anticiper est pourtant primordial. La conduite du changement est un long processus. Mais inéluctablement cela sera l'unique façon de disposer demain de parquetiers, de services d'enquêtes disposant des connaissances et des moyens nécessaires pour aborder les affaires de cybercriminalité. Définissons une politique pénale nationale en matière de cybercriminalité et dotons-la de réels moyens.
Adrien Basdevant
