Hors collection - Le droit face à la disruption numérique - 1re - 75

CHAPITRE 2 - LE

DROIT PÉNAL FACE AU NUMÉRIQUE

sites fictifs basés à l'étranger afin de créer du trafic et de se rémunérer sur des recettes publicitaires ou
l'opérateur (rentabiliweb, allopass, etc.).
237. Les destinations des communications qui génèrent un coût macro-économique important sont
très variées (Diego Garcia, Kosovo, Afghanistan, Guinée, l'Erythrée, Sierra Leone, Niue dans le
Pacifique, Aruba, Bosnie Herzégovine, Lettonie, Cuba, Birmanie, Azerbaïdjan, Monaco Egypte,
Timor, République de Nauru, Gambie, Sénégal).
238. Les fraudes sont liées à une carence d'installation et de gestion du système d'information (SI) et
non la conséquence de réelles vulnérabilités techniques du système. Les autocommutateurs sont livrés
toutes fonctionnalités ouvertes et il revient au titulaire du traitement de refermer celles considérées
comme risquées notamment eu égard aux données à caractère personnel (DCP).
239. Il ne s'agit en général pas d'attaques cybercriminelles, mais de fraudes dont les faits peuvent être
qualifiés d'escroquerie simple voire en bande organisée. Les infractions spécifiques aux technologies de
l'information et de la communication parmi lesquelles les atteintes aux systèmes de traitement Automatisé de données (STAD) sanctionnées par les articles 323-1 et suivants du Code pénal peuvent être
également retenues au cas par cas. Alors que le phénomène est en constante augmentation avec des
préjudices parfois très importants souvent de plusieurs millions d'euros, le taux d'élucidation reste
encore faible.
240. L'enquête de police doit étudier les numéros entrants qui permettent aux pirates de s'infiltrer
dans le système et de prendre le contrôle du commutateur, les numéros sortants et l'analyse des
commutateurs. Une fois connecté, le fraudeur va pouvoir reparamétrer le système et renvoyer les
appels entrants vers des numéros surtaxés. La composante internationale est très régulièrement
présente : si les appels entrants sur le PABX sont étrangers, l'identification du titulaire de la ligne
passe par une demande de coopération internationale.
241. S'il s'agit d'un opérateur français, il devra être requis pour tenter de déterminer l'origine de
l'appel. L'un des obstacles majeurs est l'utilisation du spoofing téléphonique qui permet d'usurper
l'identité réelle de l'appelant. L'analyse du numéro appelant, si elle peut être utile, n'apporte que peu
de garanties d'aboutir à l'identité de l'escroc. Il en est de même des numéros sortants d'appels qui
peuvent transiter par plusieurs pays avant d'aboutir.
En la matière, l'entraide pénale internationale ne permet pas d'aboutir à des résultats satisfaisants.
L'analyse des standards téléphoniques ne permet généralement pas d'apporter des éléments utiles à
l'orientation des enquêtes. Les journaux d'évènement qui permettraient de tracer l'ensemble des
actions opérées sur ces équipements sont en effet souvent inexistants, réduisant d'autant les possibilités
d'identification de l'auteur du piratage.
242. En conséquence, la sensibilisation des détenteurs et utilisateurs de PABX est essentielle et il y a
lieu de mettre en place les règles de sécurité nécessaires telles que limiter les appels vers l'international,
bloquer les appels sortants (hors appels d'urgence) pendant les périodes de fermeture (congés,
week-end...), protéger la configuration du PABX, adapter les configurations aux usages des personnels
de l'entreprise. Le PABX est un équipement qui reste la propriété du client.
243. Il est indispensable de complexifier le mot de passe nécessaire à l'administrateur pour modifier la
programmation du PABX. Il semble que beaucoup de PABX restent accessibles grâce au mot de passe
constructeur initial. De plus, le changement régulier de ce mot de passe renforce la sécurité. Chaque
poste de travail doit être paramétré afin de ne proposer que les fonctionnalités utiles au collaborateur :
international ou non, messagerie vocale ou non, renvoi d'appel ou non, etc. Il doit être régulièrement

Table des matières de la publication Hors collection - Le droit face à la disruption numérique - 1re