Archives EXPERTISES

Sylvie Rozenfeld : Vous êtes commissaire divisionnaire et chef de la Befti (Brigade d’enquête sur les fraudes aux technologies de l’information) depuis décembre 2008. Vous étiez auparavant chef adjoint de la brigade de répression de la délinquance astucieuse (abus de confiance, les escroqueries, les abus de faiblesse, les faux en écriture, faux certificats et attestations, etc.). Est-ce difficile de passer d’un monde très physique à un univers immatériel ?
Anne Souvira : J’étais à la brigade de la délinquance astucieuse de 2000 à 2003. J’ai ensuite été chargée de la brigade d’enquête sur les atteintes aux personnes, puis je suis devenue chef du GIR (groupe d’intervention régional) du Val-de-Marne. Ce groupe a pour mission de lutter contre les économies souterraines, avec l’aide d’autres services, de façon à pouvoir repérer les malfaiteurs dans les cités sensibles. Quand on passe de l’escroquerie au virtuel, ce n’est que le vecteur de l’infraction qui change. A la Befti, nous ne traitons que les infractions commises contre les réseaux (loi Informatique et libertés, la fraude informatique, captation frauduleuse de programmes télévisés) mais aussi le crack de protection de DVD et de logiciels, la contrefaçon numérique, etc.

Et les infractions commises sur les réseaux de type escroquerie ?
Non. Cette mission n’est pas de notre ressort.

Même si l’escroquerie est commise sur internet ?
Cela relève de l’Office central de lutte contre la criminalité liée aux technologies de l’information et de la communication (OCLCTIC). Mais au plan régional, qui est celui de la Befti, d’autres services s’en occupent. Il n’y a pas de spécificités techniques réelles.

Vous n’avez pas trouvé de différences de nature entre ce que vous faisiez avant et votre action au sein de la Befti. Il y a néanmoins des techniques et des mécanismes à comprendre.
Ce qu’il faut comprendre ce sont les éléments constitutifs de l’infraction. Ce sont en fait des infractions classiques qui s’appliquent au numérique. Il convient d’abord d’élucider les modes opératoires, puis techniquement de remonter aux personnes qui les ont commises. Nous avons des investigateurs qui sont formés par l’Office central. Ils allient leur formation d’officier de police judiciaire à leur formation technique d’un niveau parfois très élevé, de façon à permettre à la Befti, soit dans ses propres dossiers soit en assistance à d’autres services, de remonter jusqu’aux auteurs des infractions.

L’articulation entre les rôles de la Befti et de l’OCLCTIC n’est pas très claire dans mon esprit. Est-ce qu’il existe une certaine concurrence entre vous, notamment du fait que votre compétence peut être étendue au niveau national ?
Il n’y a aucune concurrence entre nous. Bien sûr notre compétence, limitée à Paris et la petite couronne, peut être étendue sur le plan national en fonction des affaires et de l’endroit où se trouve le mis en cause, ou le supposé mis en cause, car parfois nous avons affaire à des machines zombies, rebonds.
De façon générale, la compétence territoriale est toujours la première question que l’on se pose dans un dossier numérique. Les compétences d’attribution de la police dépendent toujours du parquet dont il relève. La cour d’appel de Paris est compétente pour les départements 75, 93 et 94, la Cour d’Appel de Versailles pour le 92. La DRPJ (Direction régionale de la police judiciaire) traite avec les magistrats des parquets afférents aux départements qui sont compétents en fonction du domicile de l’auteur, du lieu des faits, et éventuellement du lieu d’arrestation ou de détention de l’auteur mais pas du domicile de la victime. Toutefois, un arrêt du 30 mai 2008 de la cour d’appel de Paris dit que lorsque un système informatique est atteint et qu’on ne peut pas savoir où l’infraction a été commise, celle-ci est réputée l’être au lieu du maître du système, donc souvent le siège d’une société ou le domicile du particulier. Cela permet aux forces de l’ordre de se considérer comme valablement saisies.

Et par rapport aux domaines respectifs des deux organismes de cybercriminalité ?
L’Office gère au plan national les mêmes infractions que la Befti au plan régional, mais en relation avec les directions interrégionales de police judiciaire, les anciens SRPJ qui sont rassemblés en entité plus vaste. Il est chargé des relations internationales, de la formation, de proposer de nouvelles normes nécessaires. Il a un rôle de support et il effectue quelques enquêtes à vocation internationale ou qui nécessitent de rassembler les forces en France, voire en Europe.

Les enquêtes sont en fait réalisées à l’échelon local, le vôtre.
Exactement. L’Office a quelques dossiers en propre, comme tous les offices, mais il possède un champ d’intervention plus large puisqu’il traite des escroqueries, des fraudes aux cartes bancaires, le carding, etc. Alors que nous, à la préfecture de police de Paris, nous avons la chance d’avoir divers services spécialisés comme, par exemple, la brigade des fraudes aux moyens de paiement. Nous sommes plus opérationnels car davantage soumis à l’actualité. On travaille aussi plus dans l’urgence. Nous prenons les plaintes, comme n’importe quel commissariat, dès l’instant qu’elles sont techniques. Nous avons aussi un rôle de support et d’assistance aux autres services. Nous disposons d’une hot-line accessible de 9 à 19h, aux particuliers, aux entreprises ou aux commissariats ainsi qu’aux magistrats qui nous appellent pour évaluer s’ils peuvent traiter le problème ou nous le transférer.

Vous êtes donc une sorte de filtre.
Exactement. Nous prenons plus d’un millier d’appels par an. De la même façon, Pharos, le portail officiel de signalement, ou Info Escroquerie rendent aussi ce type de service mais dans une quantité multipliée par 1 000. Nous avons également une adresse email qui figure sur le site de la préfecture de police sur laquelle on peut nous écrire pour nous alerter. Avant de répondre aux internautes, on leur demande de nous dire où ils sont pour les orienter correctement. Par ce biais, il peut arriver que nous obtenions des informations.

Les chiffres de la cybercriminalité sont très sous-estimés car les victimes, notamment, les entreprises ne portent pas plainte. Est-ce que le nombre d’enquêtes qui vous est soumis est en augmentation ?
Il y a encore beaucoup d’entreprises qui ne viennent pas nous trouver. Mais elles le font davantage qu’avant. Car à force de prêcher la bonne parole, le message commence à passer.
Nous avons encore quelques dossiers concernant des salariés, des syndicats, de malveillance, des problèmes de couple, d’usurpation d’identité, etc. Mais les entreprises viennent surtout nous trouver quand elles se rendent compte qu’elles sont démunies face à la cybercriminalité. Elles ne peuvent pas se faire justice elle-même. Dans ce genre d’affaires, nous leur demandons de prendre conseil auprès de nous. Après, elles restent libres de déposer plainte.
Des dénonciations peuvent aussi nous amener à découvrir que des comptes de clients d’entreprises sont compromis ou que des bases de données entières de sociétés sont reproduites sur certains sites. Dans ce cas, nous faisons un énorme travail de prévention auprès du carnet d’adresses que nous avons constitué à l’occasion de nos nombreuses sorties dans des conférences, des sessions de formation, etc. Cela nous permet d’avoir des correspondants privilégiés d’un niveau de confidentialité très élevé dans l’entreprise ou chez leurs avocats pour qu’ils puissent joindre les personnes ou les entreprises dont les données ont été compromises.

Donc en dehors d’une enquête officielle, il vous arrive de dénouer une affaire de manière informelle.
Nous avons une action préventive, quand nous découvrons une information dans le cadre d’une enquête, de notre propre veille ou par dénonciation. Encore une fois, la victime a la liberté de porter plainte.

Quelle est la part d’affaires que vous traitez de votre propre initiative, sur commission rogatoire, sur instruction du parquet ?
La part de la pure initiative est plutôt mince, ce sont en général de gros dossiers. Il y a beaucoup d’affaires flagrantes suite à des plaintes. Concernant la répartition : de janvier à fin octobre, nous avons eu 25 commissions rogatoires, 128 affaires dont celles d’initiatives et les enquêtes préliminaires sur instruction du Parquet. En tout, cela représente 294 dossiers correspondant à 535 faits traités. Par dossier, il y a environ trois faits. Par exemple, dans une affaire vous pouvez avoir une intrusion et une collecte frauduleuse de données à caractère personnel. On estime que moins de 10% des personnes repartent sans aucune réponse judiciaire car nous n’avons pas réussi à les mettre en cause. C’est peu. On déferre aussi peu de personnes. Il y en a eu cinq car dans ce type d’affaires, malgré la gravité des faits, la réponse judiciaire s’effectue très souvent sous forme de convocation par l’OPJ directement devant le tribunal. Nous avons encore peu de jugements, mais il y en a de plus en plus. Les magistrats semblent commencer à prendre la mesure du phénomène et condamner à du sursis mais avec des confiscations de matériel.

Vous êtes également compétente sur les questions touchant aux bases de données. Elles sont vitales pour les entreprises, elles représentent un actif essentiel. De plus en plus de décisions les concernent.
La propriété intellectuelle représente une grosse partie de notre travail. Et les bases de données sont présentes partout. Difficile de savoir s’il y a plus de copies de bases de données ou si les victimes se tournent davantage vers nous. Aujourd’hui, les entreprises sont peut-être davantage conscientes de leur valeur patrimoniale.

Quels sont les dossiers récurrents ?
Les fraudes aux autocommutateurs téléphoniques nous préoccupent beaucoup. Nous avons 25 à 30 dossiers actifs. L’équipementier, l’installateur et l’entreprise qui possèdent l’autocommutateur n’ont pas les mêmes visions. Il suffit de rentrer dans cet autocommutateur pour faire supporter la charge des communications à son propriétaire. On y rentre malheureusement car les codes par défaut y ont été laissés, des lignes de télémaintenance sont restées ouvertes, on n’a pas contrôlé les flux, on n’a pas fermé les boîtes de messageries qui existent mais qui ne sont affectées à aucun poste, etc. Parfois, les codes de télémaintenance sont en clair sur internet, d’où la nécessité de ne pas laisser les codes par défaut pour la maintenance à distance. En plus de faire supporter le coût des communications au propriétaire de l’autocommutateur, ce type de fraude va également servir à masquer l’identité d’un cyberdélinquant. Généralement, nous ne pourrons pas remonter jusqu’à la source car, la plupart du temps, nous ne possédons pas les numéros entrants. Ils viennent souvent de l’étranger or les opérateurs ne sont pas encore tenus d’identifier les numéros entrants de l’international. Les fraudes peuvent être minimes, comme par exemple des communications de 500€ pour des appels de numéros de voyance. Cela peut porter aussi sur des centaines de milliers d’euros. Si chaque professionnel avait de bonnes pratiques, on éviterait ces fraudes basiques. Nous aurions ainsi 80% de dossiers en moins voire plus. Les installateurs sont rarement en cause. D’ailleurs, nous travaillons avec leur syndicat pour les aider à responsabiliser chacun des acteurs. Là, nous assurons une mission pédagogique et de sensibilisation pour limiter les cas de fraude.

Je suis allée voir la page Wikipedia relative à la Befti. Evidemment, elle n’est pas officielle. Elle parle de votre action en matière de fraude informatique. Et on peut y lire que « encore applicable à l’heure actuelle, la loi Godfrain souffrant quelque peu de son âge ». Etes-vous d’accord avec cette affirmation ?
La loi Godfrain a été précurseur. Elle reste parfaitement adaptée au contexte actuel. « Souffrant de son âge » voudrait dire qu’aujourd’hui nous n’arrivons plus à punir ceux qui s’introduisent dans les systèmes ? La loi est suffisamment générale pour couvrir des situations qui évoluent. Je n’ai aucun mal à appliquer la loi Godfrain, ni en élément matériel, ni en élément moral. Je trouve qu’elle est plus que jamais d’actualité. Cette loi a vingt ans et elle est désormais bien implantée dans les esprits.

Un autre sujet est de plus en plus prégnant, c’est la preuve numérique. Elle est au cœur de nombreuses enquêtes judiciaires et elle est sollicitée dans de nombreuses affaires qui n’ont rien de technologiques. Est-ce qu’on fait davantage appel à vos services pour rechercher cette preuve ?
De plus en plus, mais c’est difficile à dire car les entreprises savent souvent rechercher cette preuve numérique elles-mêmes et ne nous sollicitent plus. Par ailleurs, il y a d’autres services qui ont été formés. Il y a presque 300 investigateurs en cybercriminalité de la police sur tout le territoire et plus de 150 chez les gendarmes. Nous sommes bien sûr sollicités pour administrer la preuve qui doit être incontestable. Alors pourquoi incontestable ? Car le jugement va reposer sur ces éléments. La seule chose que nous ignorons est de savoir qui était derrière l’ordinateur. Mais nous savons que les faits ont été commis sur cette machine et selon quelle manière. Si le recueil de la preuve a été opéré dans des conditions incontestables, le juge pourra l’accueillir pour asseoir sa conviction.

Parfois, il peut vous manquer certains éléments, comme les logs de connexion qui n’auraient pas été conservés.
En effet, la preuve n’est pas toujours disponible. On fait justement de la prévention pour expliquer aux entreprises la nécessité de se ménager a priori ces moyens de preuve.

Le décret du 25 février 2011 relatif à la conservation et à la communication des données permettant d’identifier toute personne ayant contribué à la création d’un contenu mis en ligne qui prévoit une durée de stockage d’un an ne concerne que les prestataires techniques de l’internet et les entreprises qui assurent ce type d’activité en leur sein. Est-ce que ce texte a eu pour effet de sensibiliser les autres acteurs sur la conservation des logs ? Est-ce que ces données sont davantage conservées ?
Tout au début de mon arrivée à la Befti, je me suis rendue compte que les entreprises ne savaient pas ce qu’elles devaient conserver. Je pense qu’aujourd’hui encore ce n’est pas très clair dans leur esprit. Certes elles ne sont pas prestataires, mais elles ont des messageries dont elles sont responsables. Elles sont néanmoins de plus en plus conscientes de la nécessité de se ménager des moyens de preuve. Mais le directeur des systèmes d’information a rarement des compétences juridiques. Certains possèdent des politiques d’archivage des données mais ne le font pas de manière très rigoureuse. Chez d’autres, les données sont progressivement effacées ou sauvegardées un jour sur deux. C’est déjà arrivé que l’on ait besoin des données du jour où les données n’avaient pas été conservées.

J’ai lu qu’en 2006, 25% des plaintes auprès de la Befti n’aboutissaient pas faute de logs suffisants. Est-ce encore vrai ?
Ce n’est pas marginal mais ce n’est pas si fréquent. On parle toujours des trains qui n’arrivent pas à l’heure. La situation s’est considérablement améliorée depuis. Il y a eu beaucoup de communication dans ce sens, notamment de notre part mais aussi de celle de l’ANSSI (Agence nationale de la sécurité des systèmes d’information).

Vous parlez souvent de sensibilisation ? Cette mission vous occupe-t-elle beaucoup ?
Oui beaucoup. Au mois de septembre, j’ai fait quatre interventions. Et puis, nous délivrons une formation aux fonctionnaires premiers intervenants.

Et vous en tant que responsable de la Befti, votre rôle ne relève-t-il pas davantage du chef d’orchestre ?
Oui et de vérifier que les opérations sont effectuées en conformité avec l’état de l’art en matière de procédure. Mon rôle consiste à être une interface entre la magistrature pour l’application de la politique pénale dans ce domaine et les enquêteurs. A l’occasion, on sensibilise et on forme les magistrats, notamment sur l’administration de la preuve numérique. On les oriente pour saisir la Befti.

Les magistrats ne sont-il pas plus au courant ?
Nous avons des magistrats référents : dans les Hauts-de-Seine, en Seine Saint-Denis et dans le Val-de-Marne. A Paris, il y a une section entière en charge de la cybercriminalité et qui s’occupe aussi d’escroquerie. Nous avons un très bon contact avec les magistrats, ils sont demandeurs d’explications. Nous avons de bonnes relations de confiance et d’échanges.

Les experts, policiers ou gendarmes évoquent souvent leur crainte à l’égard du cloud computing dans le cadre d’une enquête.
Normalement, la loi interdit d’héberger des données personnelles dans des pays qui n’ont pas de législations conformes à la nôtre. Et c’est souvent là, que celles-ci sont compromises. Avec le cloud, nous ne savons pas où se trouvent les données, sauf si on dispose d’un cloud privé. Le fait de ne pas savoir où la donnée est localisée pose un problème à celui qui va enquêter. Mais comme on l’a vu, à partir du moment où c’est le maître du système qui s’est fait dérober ses données, l’infraction est réputée commise en France. Pour la retrouver, il faut « tirer les fils » et regarder le contrat de cloud pour voir où sont situés les divers serveurs, en vue d’actionner la coopération internationale. Malheureusement, très peu de pays pratiquent la coopération policière sur ce type de demande. Ils exigent une demande d’entraide pénale internationale, que l’on appelle communément commission rogatoire internationale. Cela va prendre du temps, nécessiter une traduction, la proposer au magistrat car c’est lui qui met en œuvre la procédure. Même s’il y a des magistrats de liaison, se posent parfois des problèmes politiques qu’on ne dépasse pas. Il faudrait d’abord que la convention de Budapest sur la cybercriminalité de 2001 soit signée par tous les Etats. Elle permet d’avoir accès à certaines données. Généralement, il n’y a guère de volonté d’entraide, chacun reste sur sa petite souveraineté. Avec le cloud, c’est encore pire car il faut que les collègues étrangers identifient les lieux d’hébergement. Si vous avez mis trois mois pour obtenir votre entraide, il se peut que les données n’y soient plus.

Que préconiseriez-vous aux entreprises qui optent pour le cloud ?
Ne pas choisir le cloud pour les données sensibles. Mais ce n’est pas gagné car l’intérêt pour l’entreprise est de réduire les coûts d’utilisation des systèmes physiques d’ordinateurs. Ce qui entraîne un risque de perte de contrôle sur ses données. Il faudrait que l’entreprise sache où ses données sont localisées de façon contractuelle et vérifie que les Etats où elles sont stockées sont démocratiques.

Vous êtes-vous déjà retrouvée confrontée à une affaire de cloud computing ?
Oui relativement à la dispersion des données hors la France de type hébergement Idisk d’Apple. Mais n’avons pas encore été saisis dans des cas où l’hébergement en nuage aurait constitué une difficulté de récupération, à moins que nous ne l’ayons pas su. Cependant nous n’avons pas encore eu de cas de plan de continuité dans le cadre duquel une entreprise ne récupère pas ses données.

En matière de fraude et de malveillance informatique, on évoque toujours le risque de l’intérieur, de salariés.
Cela reste vrai. Quand vous avez l’outil de la fraude à votre disposition, il peut être tentant de s’en servir. Nous avons beaucoup de dossiers qui impliquent les détenteurs de code admin, de code root, l’informaticien qui agit pour son compte ou qui a été circonvenu par son chef. De la même manière que le recel est aggravé par la profession de brocanteur ou d’antiquaire, on devrait avoir une infraction aggravée par la qualité de détendeur du code d’administration. Dans ce cas aussi, la commission de l’infraction est en effet facilitée par l’exercice de la profession.

Mais les informaticiens ne sont pas les seuls concernés, l’acte malveillant peut provenir de n’importe quel salarié
.
Le stagiaire, le salarié qui vole des informations. C’est facile d’accès, c’est virtuel, il n’y a pas de violence ni de sang. Le risque interne ne baisse pas, c’est la raison pour laquelle les entreprises doivent mettre en place des contrôles, des chartes informatiques signées et annexées au contrat de travail, une formation continue sur l’informatique et ses risques, ainsi que sur la politique de sécurité de la société. Le responsable de l’entreprise doit être transparent et informer les salariés sur les moyens de surveillance mis en place de façon légale. Nous avons une génération qui est née avec la machine mais qui n’a pas été formée à ses conditions légales d’usage et aux risques que cela comporte. Il y a un effort de pédagogie à produire, dès la maternelle. Il faut sensibiliser, informer. Il faut leur donner à voir ce qui est virtuel avec des photos, des webcams, etc. pour comprendre et construire une culture de la vigilance.
Il existe de réels dangers pourtant immatériels qui doivent être écartés par une bonne appréhension et une bonne maîtrise des risques.

Et les téléperquisitions ?
Nous les pratiquons depuis longtemps dans le cadre de l’article 57-1 du code de procédure pénale. Elles nous permettent de récupérer à distance des données, à condition que nous ayons la certitude qu’elles ne sont pas localisées à l’étranger. Dans ce cas, le législateur nous interdit de poursuivre ainsi notre enquête.

Le législateur aurait-il pu l’autoriser ?
Les Américains font bien ce qu’ils veulent grâce au Patriot Act. Tout le monde s’y soumet.

Maintenant, vous avez le droit d’utiliser des key loggers.
Oui mais aussi des outils d’un autre niveau. Cela concerne peu d’affaires, mais des affaires importantes. Placer un mouchard, cela veut dire s’introduire dans le système informatique sans qu’il soit détecté. Cela fait partie de notre boîte à outils, mais ce n’est ni facile d’accès ni d’exercice. Pour l’instant, on ne s’en sert pas à la Befti, la loi est trop récente et les affaires ne le nécessitent pas.

Et les blocages de sites qui ont été prévus par la Loppsi 2 mais qui doivent être maniés avec précaution car ils peuvent provoquer des dommages collatéraux ?
Encore une fois, c’est ce qu’on dit. Il faut se demander si le dommage collatéral est plus grave que celui que cause le site litigieux. Faut-il laisser les sites porno accessibles aux jeunes enfants ou les sites pédophiles, sous prétexte qu’on risquerait de bloquer un autre site ? Les blocages de sites ou d’adresses IP se pratiquent tout le temps. Et cela ne gène personne. Quand vous signalez à votre opérateur des emails indésirables que vous recevez, que croyez-vous qu’il fasse avec l’adresse IP. Il bloque de lui-même les contenus signalés par son client car ce n’est pas conforme aux conditions générales d’utilisations du service. Le blocage prévu par la loi concerne seulement des contenus illicites graves, comme la pédopornographie. Il faudrait arrêter d’agiter le chiffon rouge.

Il y a deux femmes à la tête de l’Office et de la Brigade, et deux adjointes, est-ce que cela donne une autre manière d’appréhender les problèmes ou est-ce neutre ?
On peut déjà s’intéresser au fait qu’il y ait des femmes à ces postes. Peut-être n’y a-t-il pas assez d’hommes qui veulent les prendre. Nous, les femmes, nous avons une autre manière d’appréhender les problèmes. Nous faisons un travail de fond qui n’est pas que technique, mais aussi d’anticipation juridique. Et puis une femme dans la police a toujours eu l’habitude de travailler dans un monde d’hommes. Est-ce neutre avec nos partenaires ? je le pense, cela fonctionne aussi bien que dans la configuration inverse me semble-t-il.

Y-a-t-il une disposition légale qui vous manque ?
Je souhaiterais qu’il y ait un chapitre dédié à la cybercriminalité sous l’angle du piratage et des infractions résultant des systèmes informatiques dans le code pénal, ainsi que dans le code de procédure pénale. Il faudrait aussi que les textes applicables aux procédures en matière de cybercriminalité soient clarifiés. Par exemple, on analyse des disques durs qui sont de plus en plus volumineux. Nous devons le faire aux côtés de la personne présente lors de la saisie. Mais aujourd’hui ce n’est plus possible, en raison du temps que cela prend Il faudrait donc prendre acte que cette matière doit être traitée différemment mais avec des gardes-fous. Quand je fais une réquisition à personne qualifiée, celle-ci peut ouvrir un scellé sans la présence de la personne. Lors d’une information judiciaire le juge est-il obligé de faire désigner un expert pour faire ouvrir un scellé et copier un CD ou un DVD sans la présence de la personne ? Qu’apporte l’expert ? Répond-il alors à une question d’interprétation qui est son vrai rôle ? En combinant différents articles, (151, 81, 60 du CPP) on peut, à mon sens, et selon la voie montrée par la Cour de cassation dans sa décision du 21 juin 2006, (sous réserve des dispositions de l’article 97 relatives au mis en examen pour l’instant) requérir la personne qualifiée et se dispenser de la présence de la personne pour ouvrir un scellé. Les personnes requises étant spécialement qualifiées, les garanties nécessaires existent d’autant qu’elles prêtent serment. Ce serait plus simple de clarifier la façon de faire dans tous les cadres juridiques, sans être trop précis. Car la loi doit rester générale.
Tous les acteurs judiciaires en investigations numériques appellent cette clarification de leurs vœux, c’est un sujet de discussion quotidien entre nous.

Propos recueillis par Sylvie Rozenfeld