Rançongiciel et blocage du système
Le système est chiffré ou paralysé, une rançon est réclamée.
Ce que dit le droit
Entrave au fonctionnement d’un système (art. 323-2 C. pén.) et extorsion (art. 312-1)
Cybercriminalité · Droit pénal · Victimes et mis en cause
Avocat en cybercriminalité
Intrusion, rançongiciel, ancien salarié qui a gardé ses accès, données copiées, ou entreprise désignée par une adresse IP : ce qui se décide dans les premières heures détermine ce qui pourra être prouvé devant le juge. Le cabinet construit la plainte — ou la défense.
PME et ETI · Paris et toute la France
Avant d’agir
Les quatre questions que le cabinet se pose d’abord
Leurs réponses déterminent ce qui pourra être prouvé et défendu devant la justice.
01Que s’est-il réellement passé ?
Les traces de connexion et les messages prouvent certaines choses, pas d’autres. Le cabinet distingue ce qui est établi de ce qui n’est qu’une supposition.
02Qui avait le droit d’accéder au système ?
Un ancien salarié dont l’accès n’a pas été coupé n’est pas dans la même situation qu’un pirate extérieur. Le dossier se joue souvent sur ce point.
03Qu’est-ce qui a été conservé, et comment ?
Une preuve mal recueillie peut être écartée. Il faut savoir quoi garder et comment le garder avant de remettre les systèmes en marche.
04Êtes-vous victime ou mis en cause ?
La stratégie, le calendrier et ce que l’on peut demander à la justice en dépendent.
Vous cherchez plutôt à prévenir une attaque ? Voir notre accompagnement en cybersécurité.
Assurance cyber : 72 heures pour porter plainte.
Appeler — 01 81 70 62 00Pour les entreprises et les professionnels, l’indemnisation des pertes liées à une cyberattaque par l’assureur est subordonnée au dépôt d’une plainte dans les 72 heures suivant la connaissance de l’attaque (art. L. 12-10-1 du code des assurances).
Situations
Quand une affaire informatique devient une affaire pénale
La qualification retenue oriente l’enquête et ce qui peut être demandé à la justice. Elle se discute.
Ancien salarié encore connecté
Ses accès n’ont pas été coupés à son départ. Entrer était légitime ; rester ne l’est plus.
Ce que dit le droit
Maintien frauduleux dans un système (art. 323-1)
Base clients partie avec un collaborateur
Des fichiers ont été copiés avant la fin du contrat. La voie pénale et la protection du secret des affaires ne suivent pas le même calendrier.
Ce que dit le droit
Extraction frauduleuse de données (art. 323-3) ; vol ou abus de confiance selon les cas
Comptes compromis en masse
Des milliers de comptes utilisés en quelques heures. Toute la question est de savoir ce que le système permettait réellement.
Ce que dit le droit
Accès frauduleux (art. 323-1) ; extraction de données (art. 323-3)
Détournement de virement
Un ordre de paiement obtenu par une manœuvre, exécuté vers un compte tiers.
Ce que dit le droit
Escroquerie (art. 313-1)
Entreprise ou dirigeant mis en cause
Une adresse IP, un journal ou un témoignage désignent l’entreprise. La défense se construit sur les éléments techniques du dossier.
Ce que dit le droit
Les mêmes textes, discutés en défense
Un virement détourné relève aussi de la page fraude bancaire et escroquerie, pour les recours contre les banques.
Un dossier pénal se joue en mois, mais ce qui se décide le premier jour détermine ce qui pourra être établi à l’audience.
Deux positions · 1
Vous êtes victime
- 01Conserver les éléments techniques avant la remise en service
- 02Choisir la voie : plainte simple, plainte avec constitution de partie civile ou citation directe
- 03Rédiger une plainte documentée et demander les actes d’enquête utiles
- 04Suivre la procédure et relancer
- 05Obtenir réparation
En clair. La constitution de partie civile saisit un juge d’instruction de la plainte ; la citation directe saisit le tribunal sans enquête préalable. Le choix dépend de ce que le dossier permet déjà d’établir.
Deux positions · 2
Vous êtes mis en cause
- 01Obtenir l’accès à l’ensemble des éléments techniques du dossier
- 02Discuter la qualification retenue
- 03Demander une expertise ou une contre-expertise
- 04Assister l’entreprise ou le dirigeant en audition libre ou en garde à vue
- 05Défendre devant le tribunal
En clair. Convocation par la police ou la gendarmerie : la personne entendue peut être assistée d’un avocat. Mieux vaut le prévoir avant l’audition qu’après.
Une cyberattaque est un incident informatique.
Jusqu’au moment où elle devient une affaire judiciaire.
Dossiers
Trois dossiers représentatifs
Dossier 01 · Victime
Ancien salarié, accès administrateur
L’enjeu prouver que les demandes de paiement venaient de l’ancienne administratrice.
- Situation
- Après son départ, une administratrice système conserve ses accès. Des comptes sont désactivés, des services coupés, et l’entreprise reçoit des demandes de paiement.
- Intervention
- Journaux conservés avant toute remise en service ; plainte pour maintien frauduleux et extorsion ; rapprochement heure par heure des connexions et des messages.
Dossier 02 · Victime, puis interrogée
Compromission de comptes et de données
L’enjeu l’entreprise victime se retrouve interrogée sur sa propre sécurité.
- Situation
- Des milliers de comptes utilisés en quelques heures par des outils automatisés.
- Intervention
- Reconstitution des conditions d’accès ; distinction entre données réellement atteintes et données seulement exposées ; volet pénal articulé avec les obligations relatives aux données personnelles.
Dossier 03 · Mis en cause
Mise en cause fondée sur une adresse IP
L’enjeu une adresse IP identifie un abonnement à un instant donné, pas une personne.
- Situation
- Une entreprise est désignée par une adresse IP dans une procédure d’intrusion.
- Intervention
- Accès à l’intégralité des éléments techniques ; contrôle des conditions de collecte ; chronologie de l’enquête confrontée à celle des journaux.
L’équipe
Des pénalistes du numérique, appuyés par un technicien
Qualifier l’infraction et sécuriser les éléments techniques dès les premières heures suppose de traiter ensemble le droit pénal et la matière informatique.
Me Alexandre Lazarègue
Droit pénal du numérique
Me Amir Ben Majed
Contentieux informatique et pénal
Me Sarah Hinderer
Données personnelles et pénal
Khalid Sookia
Analyse des journaux, accès et configurations
Questions directes
Questions fréquentes
01 Quel est le rôle d'un avocat en cas de cyberattaque ?
Il sécurise d'abord ce qui deviendra la preuve : quoi conserver, sous quelle forme, avec quelle traçabilité, avant que la remise en service n'efface les traces. Il détermine ensuite la qualification pénale, qui oriente l'enquête et les actes pouvant être demandés. Il devient enfin l'interlocuteur unique face au parquet, à l'assureur et au prestataire technique.
02 Faut-il déposer plainte après une cyberattaque ?
Le dépôt de plainte n'est pas obligatoire, mais il est souvent exigé par l'assureur et il conditionne l'ouverture d'une procédure pénale. Pour être indemnisée par son assurance cyber, l'entreprise doit porter plainte dans les 72 heures. Une plainte sommaire ne permet pas aux enquêteurs d'identifier les faits, les qualifications envisageables et les investigations utiles. L'enjeu n'est pas de déposer plainte, mais de déposer une plainte documentée.
03 Un ancien salarié est parti avec notre base clients.
Plusieurs qualifications peuvent être envisagées selon les circonstances : maintien frauduleux dans le système si les accès ont été conservés après le départ, extraction frauduleuse de données, vol ou abus de confiance. S'y ajoute le volet civil du secret des affaires. Le choix dépend de ce que les journaux permettent d'établir, ce qui suppose de les conserver avant toute réattribution du poste.
04 On nous accuse d'une intrusion. Une adresse IP nous désigne.
Une adresse IP identifie un abonnement à un instant donné, pas une personne ni une intention. Partage de connexion, relais, machine compromise, adresse usurpée : les hypothèses alternatives se discutent sur pièces. Le travail consiste à obtenir l'intégralité des éléments techniques, à vérifier leurs conditions de collecte et à confronter la chronologie retenue par l'enquête à celle des journaux.
05 Les serveurs sont à l'étranger, peut-on agir ?
La localisation d'un serveur ne fait pas obstacle à la compétence des juridictions françaises dès lors que les faits ou leurs effets se situent en France. L'entraide pénale internationale et les réquisitions adressées aux opérateurs et aux plateformes permettent d'atteindre des éléments hébergés hors du territoire. Les délais s'allongent, la voie ne se ferme pas.
06 Notre assureur impose son prestataire. Pouvons-nous choisir notre avocat ?
Lorsque le contrat comporte une garantie de protection juridique, le libre choix de l'avocat s'impose à l'assureur (art. L. 127-3 du code des assurances). L'assureur peut proposer un intervenant, il ne peut pas l'imposer. La distinction est utile : le prestataire de réponse à incident travaille à restaurer le service, l'avocat à construire un dossier. Les deux objectifs sont légitimes et ne commandent pas les mêmes gestes dans les premières heures.
Sujets liés
Poursuivre la lecture
Cybersécurité →
Prévention, conformité et organisation de la réponse à incident.
Données personnelles →
Violation de données, notification et contrôle de l’autorité.
Contentieux informatique →
Mise en cause du prestataire, expertise et responsabilité.
Escroquerie et fraude →
Virement frauduleux et recours des particuliers contre les banques.
Prendre contact
Parlons de votre situation
Décrivez les faits et les éléments déjà disponibles. Le cabinet vous indiquera les informations nécessaires à l’examen de la plainte ou de la défense.