Le piratage de comptes en ligne : manifestations, finalités et incriminations

 

Par Arnaud Nadinga

 

Le piratage informatique désigne l’accès frauduleux, l’utilisation frauduleuse ou la prise de contrôle d’un compte contre le gré de son propriétaire légitime. Sous nos cieux, il s’observe principalement sur les réseaux sociaux et les applications de messagerie, mais il peut également concerner les sites web.

1.- Manifestations

Il se manifeste à travers des problèmes divers : la victime a du mal à se connecter à son compte, ses contacts affirment avoir reçu d’elle des messages qu’elle ne se souvient pas avoir envoyés, des posts sont réalisés sur son profil à son insu, elle reçoit des notifications de tentatives de connexion à partir d’autres appareils à d’autres adresses, des informations personnelles ou des paramétrages de son compte ont été modifiés à son insu ou des correspondances avec un contact sont rendues publiques par un tiers. 

2.- Finalités

Les objectifs sont aussi de tout poil. Il s’agit soit de porter atteinte à la réputation de la victime (en postant sur son compte des publications obscènes ou qui ne sont pas dans sa ligne de communication, en divulguant sa correspondance ou en envoyant des messages déshonorants comme des demandes de soutiens financiers à ses contacts), de porter atteinte à sa vie privée (en prenant connaissance de ses correspondances ou de toute autre information présente dans son compte), de troubler sa tranquillité ou celle des tiers (chantages, menaces, appels ou messages malveillants…), d’attenter à son patrimoine (en exploitant ses informations bancaires…) ou à celui de tiers (demandes d’aides, réclamations de frais de dossier pour faux soutiens…).

3.- Incriminations

En droit burkinabè, suivant le Code pénal, au moins quatre infractions sont susceptibles d’être retenues en fonction des manifestations du piratage.

a. Usurpation d’identité (article 711-12 du Code pénal)

C’est l’opération la plus courante sur les réseaux sociaux et qui consiste à se faire passe pour autrui en vue d’un résultat déterminé (extorquer des fonds à des tiers, livrer la victime à la vindicte des internautes, ruiner sa réputation…). Elle désigne le fait pour une personne d’utiliser à dessein « l’identité numérique » d’un tiers, « une ou plusieurs données de toute nature permettant de l’identifier » dans l’intention de troubler sa tranquillité, de porter atteinte à son honneur, à sa vie privée, à son patrimoine ou à celui d’un tiers. Le champ de l’incrimination est large. Il comprend l’utilisation de l’identité numérique de la victime (adresse électronique, identifiant de connexion ou de réseau social, pseudonyme, numéro de téléphone…) ou toute information qui permet de l’identifier (nom et prénoms, image, logo, URL…). Sont à la fois concernés les prises de contrôle de comptes, les faux profils, les faux sites web, les fausses adresses mail dans l’intention de se faire passer pour autrui et de créer la confusion dans l’esprit des tiers. Cet usage doit être fait dans l’intention précise de troubler la tranquillité de la victime, de compromettre son honneur, d’attenter à sa vie privée, à son patrimoine ou à celui d’un tiers. Lorsque les conditions sont réunies, le délinquant est puni d’une peine d’emprisonnement de un (1) an à cinq (5) ans et d’une amende d’un million (1 000 000) à cinq millions (5 000 000) de francs CFA.

b. Violation du secret des correspondances (article 525-4 du Code pénal)

Si dans le cadre de son forfait, le pirate, « de mauvaise foi » ouvre ou supprime des « lettres ou correspondances adressées à des tiers », il peut être retenu contre lui, l’infraction de violation du secret des correspondances. Entrent aussi dans cette infraction, le fait de retarder ou de détourner des correspondances arrivées ou non à destination et adressées à des tiers ; de prendre frauduleusement connaissance du contenu ; d’intercepter, de détourner, d’utiliser ou de divulguer des correspondances émises, transmises ou reçues par la voie électronique ou de procéder à l’installation d’appareils conçus pour réaliser de telles interceptions. Ces faits sont punis d’un emprisonnement de deux (2) mois à un (1) an et d’une amende de deux-cent-cinquante-mille (250 000) à six-cent-mille (600 000) francs CFA.

 

c. Accès et maintien frauduleux dans un système informatique (articles 711-1 et 711-2 du Code pénal)

Le Code pénal incrimine le fait d’accéder ou de se maintenir frauduleusement (« intentionnellement et sans droit) dans tout ou partie d’un système informatique. C’est le fait, pour une personne non habilitée, de pénétrer dans un système de traitement automatisé de données tout en sachant qu’elle est dépourvue d’autorisation ou de se maintenir dans le système informatique tout en sachant que la validité de son autorisation a expirée. Sont concernés notamment, le fait d’utiliser les identifiants d’un tiers sans son autorisation pour accéder à son compte internet ou à une base de données professionnelle, le fait d’utiliser des identifiants fournis pour une période donnée (durant un contrat de travail par exemple) au-delà de cette période et sans autorisation ou encore le fait d’accéder au compte d’un tiers au moyen du phishing. Ces faits sont punis d’une peine d’emprisonnement de deux (2) mois à deux (2) ans et d’une amende de deux-cent-cinquante-mille (250 000) à six-cent-mille (600 000) francs CFA ». S’il en résulte soit la suppression, la modification ou l’altération des données contenues dans le système soit une altération du fonctionnement de ce système, l’accès frauduleux est sanctionné d’un emprisonnement de un (1) an à cinq (5) ans et d’une amende d’un million (1 000 000) à cinq millions (5 000 000) de francs CFA et le maintien frauduleux d’un emprisonnement de deux (2) mois à trois (3) ans et d’une amende de six-cent-mille (600 000) à deux millions (2 000 000) de francs CFA.

 

d. Accès ou communication illicite de données personnelles (article 712-6 du Code pénal)

Peut également être retenue l’infraction d’accès ou de communication illicite de données personnelles, si le pirate accède et collecte des données personnelles de tiers dans le cadre de son forfait. En effet, le Code pénal incrimine « le fait de communiquer à des tiers non autorisés ou d’accéder sans autorisation ou de façon illicite aux données à caractère personnel d’autrui ». Il est puni d’une peine d’emprisonnement de un (1) an à cinq (5) ans et d’une amende d’un million (1 000 000) à trois millions (3 000 000) de francs CFA.

4.- Comment s’en protéger

Pour s’en prémunir, quelques précautions sont nécessaires : créer un mot de passe fort (combinaison de lettres, de chiffres et de caractères spéciaux), différent pour chaque compte et ne jamais communiquer son mot de passe à qui que ce soit (cela rend difficile son déchiffrement et évite qu’une fois un compte piraté son mot de passe ne puisse servir à pirater tous vos autres comptes) ; ne jamais ouvrir les pièces ou les liens joints aux mails et messages provenant de personnes inconnues ; toujours faire attention à l’adresse web exacte du site web auquel l’on se connecte (certains pirates créent de faux sites internet quasiment identiques, à quelques exceptions près pour voler des informations sensibles) ; activer la double authentification si elle est disponible et s’assurer d’avoir toujours le contrôle sur son numéro d’authentification (numéro de téléphone pour l’authentification SMS) ou son application d’authentification ; installez un antivirus et les mises à jour de sécurité de son appareil de connexion ; éviter les wifis publics et les ordinateurs publics ; éviter les sites web non sécurisés (http :)…

Portez plainte à la Police ou à la Gendarmerie si vous en êtes victime ! 

 

Cercle d’études et de réflexion en droit du numérique-CERDN (29 janvier 2024)