REVUE

droit
réGImE JurIDIQuE Du rAnSomWArE ou PrISE D'oTAGE numérIQuE
(7) « Lorsque les infractions
prévues aux deux premiers
alinéas ont été commises à
l'encontre d'un système de
traitement automatisé de
données à caractère
personnel mis en œuvre par
l'Etat, la peine est portée à
cinq ans d'emprisonnement
et à 150 000 € d'amende. »
(8) « Lorsque cette infraction
a été commise à l'encontre
d'un système de traitement
automatisé de données à
caractère personnel mis en
œuvre par l'Etat, la peine est
portée à sept ans
d'emprisonnement et à 300
000 € d'amende ».
(9) CA Paris, pôle 4, ch. 10,
5 févr. 2014, n° 13/04833 :
Comm. com. électr. 2014,
comm. 40, éric A. Caprioli. ;
Cass. Crim. 20 mai 2015, n°
de pourvoi : 14-81.336,
JurisData n° 2015-011834 ;
Comm. com. électr.
septembre 2015, comm.
74, éric A. Caprioli.
« le fait d’introduire
frauduleusement des
données » dans un
SI, « d'extraire, de
détenir, de
reproduire, de
transmettre, de
supprimer ou de
modifier
frauduleusement les
données qu'il
contient », puisqu'il y
a modification
lorsque les données
sont chiffrées par un
tiers de sorte
qu’elles soient
inutilisables. L’introduction frauduleuse de
données est réalisée (les données de
chiffrement). En revanche, la qualification
de vol, telle que l’a consacrée la Cour de
cassation le 20 mai 2015 9 n’est pas
possible car en l’espèce, il n’y a ni
soustraction, ni reproduction des
données contenues dans le système.
D’un autre côté, il semble également
envisageable de s’appuyer sur l’article
323-3-1 du Code pénal qui permet de
sanctionner l’offre, l’importation, la
détention, la mise à disposition ou la
cession de programme malveillant si tant
est que l’on puisse saisir « un
équipement, un instrument, un
programme informatique ou toute donnée
conçus ou spécialement adaptés pour
commettre une ou plusieurs des
infractions prévues par les articles 323-1
à 323-3 ».
De plus, ces infractions sont encore plus
sévèrement réprimées dès lors que la
préparation s’effectue en groupe ou
qu’elles sont commises en bandes
organisées, ce qui est souvent le cas des
attaques de type ramsonware (ex : près
de 325 millions de dollars au même
groupe de cybercriminels avec cryptoWall
3.0).
Deux autres délits non spécifiques au
numérique pourraient trouver à
s’appliquer : l’extorsion de fonds et le
chantage. S’agissant du premier, l’article
312-1 du Code pénal dispose :
« L'extorsion est le fait d'obtenir par
violence, menace de violences ou
contrainte soit une signature, un
engagement ou une renonciation, soit la
révélation d'un secret, soit la remise de
fonds, de valeurs ou d'un bien
quelconque. L'extorsion est punie de sept
ans d'emprisonnement et de 100 000
euros d'amende. » La qualification semble
délicate à établir dans la mesure où il sera
difficile de considérer que le fait de chiffrer
des données appartenant à autrui soit de
la violence ou une menace de violence ou
encore une contrainte. L’action réalisée
avec le ransomware est d’un autre type
non prévu par le texte. En ce qui
concerne le chantage, là encore, la
formulation du délit n’est pas adaptée au
cas de prise d’otage de données
numériques. Ce délit est réprimé à l’article
4 e trimestre 2016 Revue de la Gendarmerie Nationale
183