Cybercriminalité : l'article 323-1 et les atteintes aux systèmes

La cybercriminalité regroupe les infractions pénales qui visent les systèmes d'information (intrusion, sabotage, vol de données) et celles qui sont commises au moyen des réseaux (escroquerie en ligne, usurpation d'identité). En France, les atteintes aux systèmes sont réprimées par les articles 323-1 à 323-8 du Code pénal, issus de la loi Godfrain du 5 janvier 1988 : l'article 323-1 punit l'accès ou le maintien frauduleux dans un système de traitement automatisé de données. Ce chapitre détaille ces infractions, leurs peines, la place des tests d'intrusion et la conduite à tenir quand on est victime.

Le système de traitement automatisé de données (STAD)

Le Code pénal ne parle pas d'ordinateur ni de réseau, mais de système de traitement automatisé de données (STAD). La loi ne le définit pas, et les tribunaux l'entendent largement : un serveur, un site web, une base de données, une messagerie, un téléphone, une box Internet, un automate industriel, l'ordinateur de bord d'un véhicule, un réseau entier. Cette notion technique neutre explique que des textes de 1988 s'appliquent encore aux attaques de 2026.

Les infractions des articles 323-1 à 323-8

Des peines complémentaires sont prévues (article 323-5) : interdiction d'exercer l'activité professionnelle dans laquelle l'infraction a été commise, confiscation du matériel, affichage de la décision. Une personne morale encourt une amende jusqu'au quintuple de celle d'une personne physique (article 323-6), soit 500 000 € pour un accès frauduleux simple, et d'autres peines comme l'exclusion des marchés publics.

Ce que veut dire « frauduleusement »

L'accès est frauduleux quand la personne sait qu'elle n'a pas le droit d'accéder au système ou à la partie du système concernée. Trois conséquences reviennent souvent à l'examen :

• L'absence de protection n'autorise pas l'accès. Un serveur mal sécurisé reste protégé par la loi. Dans l'affaire dite Bluetouff, un internaute avait trouvé par un moteur de recherche des documents d'une agence publique, accessibles sans mot de passe sur un extranet mal configuré. Il avait vu, en remontant à la page d'accueil, que l'extranet demandait une authentification, et avait pourtant téléchargé des milliers de documents. La Cour de cassation a confirmé sa condamnation pour maintien frauduleux et soustraction des données (chambre criminelle, 20 mai 2015, n° 14-81.336). Depuis 2014, l'extraction et la copie de données sont expressément visées par l'article 323-3.
• Le maintien est punissable même si l'accès était permis. Un salarié dont le contrat est rompu, un prestataire dont la mission est terminée, un utilisateur entré par erreur qui s'aperçoit qu'il n'a rien à faire là et continue : ils se maintiennent frauduleusement.
• Dépasser ses habilitations peut être frauduleux. Un technicien habilité à administrer un serveur n'est pas autorisé à lire la messagerie de la direction. Le juge regarde ce que l'organisation avait autorisé : d'où l'importance d'une politique d'habilitation et d'une charte écrites (chapitre 11).

L'élément intentionnel exige la conscience d'agir sans droit, pas l'intention de nuire : « je voulais juste vérifier que c'était possible » n'est pas une excuse.

Les autres infractions du numérique

Tests d'intrusion, recherche de failles et signalement

Le test d'intrusion (pentest) consiste à attaquer un système avec l'accord de son responsable pour en trouver les failles. Sans autorisation, c'est exactement l'infraction de l'article 323-1. Ce qui sépare l'auditeur du pirate, c'est un document écrit :

• une convention d'audit ou un ordre de mission signé par une personne qui a le pouvoir d'autoriser (le représentant de l'organisation, pas un salarié quelconque) ;
• un périmètre précis : adresses IP, domaines, applications, comptes de test ; ce qui est exclu ;
• une période et des horaires, les techniques autorisées ou interdites (déni de service, ingénierie sociale), les contacts d'urgence ;
• les règles de confidentialité des résultats et le sort des données consultées.

L'article 323-3-1 punit la détention d'outils d'attaque « sans motif légitime, notamment de recherche ou de sécurité informatique » : un auditeur, un enseignant, un étudiant qui utilise nmap, Metasploit ou Burp Suite dans un laboratoire ou dans le cadre d'une mission autorisée a un motif légitime. Le même outil lancé contre le site du lycée voisin, non.

Les programmes de prime aux bogues (bug bounty) sont une autorisation encadrée : l'organisation publie ses règles, son périmètre, et rémunère les failles signalées selon ces règles. Hors périmètre, l'autorisation disparaît.

Signaler une faille découverte par hasard se fait de bonne foi auprès du responsable du système, ou de l'ANSSI : quand elle est informée par une personne de bonne foi d'une vulnérabilité, l'ANSSI n'est pas tenue de la dénoncer au procureur et préserve la confidentialité de son identité (article L2321-4 du Code de la défense, issu de la loi pour une République numérique de 2016). Cela ne protège pas celui qui a exploité la faille au-delà de ce qui était nécessaire pour la constater.

Être victime : la conduite à tenir

1. Contenir l'attaque sans détruire les traces : isoler les machines du réseau plutôt que les éteindre, changer les mots de passe compromis, bloquer les accès.
2. Préserver les preuves : journaux système et réseau, journaux du pare-feu et du proxy, copies des messages frauduleux avec leurs en-têtes, captures d'écran datées, images disques si possible. Pour un contenu en ligne, un constat de commissaire de justice est plus solide qu'une capture (chapitre 12).
3. Se faire aider : cybermalveillance.gouv.fr ou le 17Cyber, le CERT-FR de l'ANSSI, un prestataire de réponse aux incidents.
4. Porter plainte auprès de la police, de la gendarmerie ou du procureur, au plus tard 72 heures après la découverte pour être indemnisé par une assurance cyber. Les escroqueries en ligne peuvent faire l'objet d'une plainte en ligne sur la plateforme THESEE ; les contenus illicites se signalent sur Pharos.
5. Notifier ce qui doit l'être : CNIL sous 72 heures en cas de violation de données personnelles, ANSSI pour les entités soumises à NIS 2 (chapitre 6).

Payer la rançon ? Le paiement n'est pas interdit en France, mais l'ANSSI et les forces de l'ordre le déconseillent : rien ne garantit la remise de la clé ni la suppression des données volées, et il finance les groupes criminels. Une assurance peut couvrir une rançon, à condition qu'une plainte ait été déposée dans les 72 heures.

L'organisation victime n'est pas toujours innocente : si l'attaque a réussi parce que la sécurité était manifestement insuffisante (mots de passe par défaut, correctifs absents depuis des mois, comptes d'anciens salariés actifs), la CNIL peut la sanctionner pour manquement à l'article 32 du RGPD, et ses clients peuvent engager sa responsabilité civile.

Pour aller plus loin. Les attaques que ces textes répriment sont présentées dans le chapitre Les types de cyberattaques, et la constitution d'une preuve recevable dans le chapitre Preuves numériques et analyse forensique.

Exercices

Exercice 1 sur 3 Qualifier les faits Réussi À revoir

Pour chaque situation, indique la ou les infractions et la peine maximale.

1. Un ancien technicien de Cèdre Habitat, licencié, utilise un compte VPN qui n'a pas été désactivé pour consulter les fichiers du service RH.
2. Un étudiant lance une attaque par déni de service contre le portail locataires, qui reste inaccessible deux heures.
3. Un pirate exploite une injection SQL sur le site, copie la table des locataires et la met en vente.
4. Un groupe criminel organisé chiffre les serveurs d'un hôpital et exige une rançon ; les urgences doivent rediriger les patients.
5. Un collègue lit la messagerie de Nadia, restée ouverte sur son poste, et transfère un courriel personnel à d'autres salariés.

Voir la réponseMasquer la réponse de l'exercice 1

1. Accès et maintien frauduleux (323-1, alinéa 1) : 3 ans et 100 000 €. Le compte non désactivé ne vaut pas autorisation. S'il copie des fichiers : extraction et reproduction frauduleuses de données (323-3), 5 ans et 150 000 €. Cèdre Habitat a manqué à son obligation de sécurité (révocation des accès au départ).
2. Entrave au fonctionnement d'un STAD (323-2) : 5 ans et 150 000 €.
3. Accès frauduleux (323-1), extraction et transmission frauduleuses de données (323-3), éventuellement collecte frauduleuse de données personnelles (226-18). La peine la plus haute encourue est 5 ans et 300 000 € (226-18).
4. Entrave (323-2) et modification de données (323-3) commises en bande organisée (323-4-1) et exposant autrui à un risque immédiat de mort ou de blessures graves (323-4-2) : 10 ans et 300 000 €, plus l'extorsion (312-1), elle-même aggravée en bande organisée.
5. Atteinte au secret des correspondances (226-15) : 1 an et 45 000 €. L'accès à une session ouverte peut aussi constituer un maintien frauduleux dans la partie du système réservée à Nadia (323-1). C'est aussi une faute disciplinaire.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 2 sur 3 Un test d'intrusion Réussi À revoir

Sarah Haddad, alternante, veut montrer à Inès Garnier que le serveur web est vulnérable. Un soir, depuis chez elle, elle lance un scan de ports et un outil de recherche d'injections SQL contre le portail, et trouve une faille. Le lendemain, elle présente fièrement ses résultats.

1. Sarah a-t-elle commis une infraction ?
2. Comment aurait-elle dû procéder ?

Voir la réponseMasquer la réponse de l'exercice 2

1. Oui, potentiellement. Son contrat d'alternance ne l'autorise pas à attaquer le système : en exploitant la faille, elle s'est introduite sans droit dans une partie du système (323-1) ; si l'outil a injecté des requêtes, elle a pu introduire des données (323-3) ; utiliser ces outils hors de toute autorisation lui retire le « motif légitime » de l'article 323-3-1. Sa bonne intention ne supprime pas l'élément intentionnel : elle savait qu'elle n'y était pas autorisée. En pratique, Cèdre Habitat ne portera sans doute pas plainte, mais une sanction disciplinaire est possible.
2. Proposer le test à Inès, obtenir une autorisation écrite signée par une personne habilitée, avec le périmètre (le portail, sur un environnement de recette de préférence), la période, les techniques permises et le traitement des résultats ; mener le test depuis le réseau de l'entreprise ; consigner chaque action ; remettre un rapport confidentiel.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 3 sur 3 La victime Réussi À revoir

Le lundi 8 mars 2027 à 8 h, les salariés de Cèdre Habitat découvrent un message de rançon sur leurs écrans. Classe dans l'ordre les actions suivantes et indique les délais à respecter : porter plainte ; notifier la CNIL ; isoler les serveurs du réseau ; réinstaller les serveurs à partir des sauvegardes ; copier les journaux et le message de rançon ; contacter cybermalveillance.gouv.fr ou un prestataire ; prévenir l'assureur.

Voir la réponseMasquer la réponse de l'exercice 3

1. Isoler les serveurs du réseau, sans les éteindre (la mémoire contient des traces).
2. Copier les journaux, le message de rançon et, si possible, les images des disques.
3. Contacter cybermalveillance.gouv.fr, le 17Cyber ou un prestataire de réponse aux incidents, et prévenir l'assureur selon le contrat.
4. Porter plainte au plus tard le jeudi 11 mars 2027 à 8 h (72 heures) pour conserver l'indemnisation de l'assurance.
5. Notifier la CNIL dans les 72 heures après avoir établi que des données personnelles sont touchées (au plus tard le 11 mars à 8 h si c'est établi dès la découverte), en complétant ensuite.
6. Réinstaller à partir de sauvegardes saines, après avoir compris le mode d'entrée de l'attaquant ; sinon il reviendra.

Tu avais trouvé ?

Oui, j'avais bonPas encore