Cybercriminalité

Usurpation d’identité, Jeux dangereux

Assemblée nationale (Photo: GPL)

Le débat sur la LOPPSI s’achève bientôt en première lecture à l’Assemblée Nationale. L’objet de ce billet est d’aborder deux dispositions de ce texte, telles qu’elles ont été votées aujourd’hui 11 février 2010: l’usurpation de l’identité sur Internet et la diffusion de messages incitant aux jeux dangereux pour les enfants (le « jeu du foulard » par exemple).

L’usurpation d’identité en ligne

L’article 2 de ce projet de loi prévoit une nouvelle incrimination pour certaines formes d’usurpation d’identité commises sur les réseaux de communications électroniques. Le texte issu du vote d’aujourd’hui est le suivant:

Art. 222-16-1. – Le fait de faire usage, ~~de manière réitérée,~~ sur un réseau de communications électroniques, de l’identité d’un tiers ou de données de toute nature permettant de l’identifier, en vue de troubler la tranquillité de cette personne ou d’autrui, est puni d’un an d’emprisonnement et de 15 000 € d’amende.
Est puni de la même peine le fait de faire usage, sur un réseau de communications électroniques, de l’identité d’un tiers ou de données de toute nature permettant de l’identifier, en vue de porter atteinte à son honneur ou à sa considération.

Ainsi, deux modifications ont été apportées au projet issu de la commission des lois de l’assemblée nationale:

La suppression de la notion de réitération. En effet, l’objectif assigné au texte est de réprimer l’usurpation de l’identité dès lors qu’elle a pour intention de troubler la tranquillité d’une personne, ce qu’un seul de ces abus peut entraîner grâce à l’effet multiplicateur d’Internet.
La modification de la mention qui visait à recouvrir les formes de l’identité qui sont utilisées sur les réseaux de communication (pseudonymes, adresses de courrier électronique, …) pour la formule soulignée ci-dessus: « données de toute nature permettant de l’identifier ».

Plusieurs questions sont apparues dans le débat qui feront peut-être l’objet de clarifications lors des prochaines étapes du travail parlementaire:

Couvre-t-on le cas des services de communication au public en ligne ? Les réseaux sociaux notamment ?
De même, que penser des identifiants qui ne sont pas spécifiques à une personne ? En effet, le même pseudonyme peut-être utilisé par plusieurs personnes, dans des contextes ou à des moments différents, sans qu’il y ait d’intentions malhonnêtes, juste par le fait du hasard.
L’objectif étant de viser l’usurpation d’identité sur les réseaux, n’interdit-on pas par la même occasion la possibilité d’utiliser l’image d’une personne à des fins légitimes ?

Sur le premier point, l’ensemble de ces services étant supportés par des réseaux de communications électroniques (la communication au public en ligne est en réalité une forme de communication supportée par les réseaux de communications électroniques), les réseaux sociaux et autres formes de communications en ligne sont couverts.

Sur le second point, je pense que les preuves collectées en vue de déterminer l’élément intentionnel de l’infraction devront effectivement démontrer la volonté d’abuser de l’identité d’un tiers en particulier, donc cet écueil semble écarté en première analyse.

Sur le troisième point, l’intention du législateur semble suffisamment claire pour que le contexte de l’usurpation d’identité sur les réseaux soit l’unique motivation retenue.

Les jeux dangereux pour les enfants

Le « jeu du foulard » et d’autres formes de jeux dangereux pratiqués par les jeunes adolescents et parfois de plus jeunes enfants occupe trop régulièrement l’actualité et de même qu’il est reproché la diffusion de certains messages incitant à des pratiques alimentaires dangereuses (anorexie), ou l’assistance au suicide (situation déjà réprimée par les articles 223-13 et suivants du code pénal), la publication de messages ou de vidéos faisant la promotion de ces jeux dangereux a été identifiée comme une cause possible de leur développement.

Ainsi, en octobre 2009, deux députés du groupe UMP de l’Assemblée nationale, Patrice Verchère et Cécile Dumoulin ont publié un rapport sur ce sujet qui faisait un certain nombre de propositions, dont des mesures de sensibilisation qui sont évidemment nécessaires pour prévenir ces actes, mais aussi l’aménagement de l’article 227-24 du code pénal pour réprimer la diffusion de ces contenus vers les plus jeunes.

Le texte, issu de l’amendement n°185 discuté aujourd’hui, aurait cette forme:

Le fait soit de fabriquer, de transporter, de diffuser par quelque moyen que ce soit et quel qu’en soit le support un message à caractère violent ou pornographique ou de nature à porter gravement atteinte à la dignité humaine ou à inciter des mineurs à se livrer à des jeux les mettant physiquement en danger, soit de faire commerce d’un tel message, est puni de trois ans d’emprisonnement et de 75000 euros d’amende lorsque ce message est susceptible d’être vu ou perçu par un mineur.

Lorsque les infractions prévues au présent article sont soumises par la voie de la presse écrite ou audiovisuelle ou de la communication au public en ligne, les dispositions particulières des lois qui régissent ces matières sont applicables en ce qui concerne la détermination des personnes responsables.

A noter que cette disposition a été votée à l’unanimité des députés présents, avec l’avis favorable du gouvernement et du rapporteur, M. Eric Ciotti. (L’amendement n°8 qui voulait étendre le blocage des sites pédopornographiques aux contenus relevant de l’infraction de l’article 227-24 a été retiré au cours des débats).

En clair, de tels messages ne sont pas illégaux, mais on doit empêcher les mineurs d’y accéder, ce sont bien eux qu’on cherche à protéger.

Les difficultés habituellement rencontrées dans l’application de l’article 227-24 subsistent toutefois. Comme le Forum des droits de l’Internet le rappelait les recommandations du groupe de travail « Les enfants du Net », il est difficile aujourd’hui de mettre en œuvre des solutions adaptées au contrôle de la majorité des visiteurs sur un site Internet. Toutefois, cela incitera – pénalement – les professionnels qui seraient amenés à héberger de tels contenus de prendre les mêmes mesures qu’ils prennent pour empêcher les mineurs d’y accéder (absence de publicité pour ces sites destinée aux mineurs, messages d’avertissements, marquage des pages pour en faciliter la détection par les logiciels de contrôle parental, etc.).

La suite donc sur ces deux nouveaux types d’infraction lors des débats au Sénat, qui pourrait se tenir à la mi-avril.

Blocage des sites pédopornographiques (suite)

Assemblée nationale (Photo: GPL)

Préambule

En préambule, je tiens à rappeler certains éléments de contexte sur le projet de blocage des sites pédopornographiques:

L’idée n’est pas née en France, mais est défendue par ses services spécialisés suite à plusieurs années d’échanges avec nos collègues, en Europe notamment, qui ont initié le même type de projets (voir le site Web du projet CIRCAMP);
Le blocage n’est pas une fin en soi. L’objectif est de contribuer à la lutte contre la diffusion des contenus pédopornographiques, dont j’ai déjà expliqué ici qu’il comportait de nombreuses facettes;
Si ce dispositif spécifique était décidé par le législateur, nous ne déclarerons nullement victoire, car il y a encore beaucoup de pain sur la planche, et comme pour beaucoup de sujets qui touchent à la lutte contre la délinquance, les moyens humains et financiers sont cruciaux.

De nouveaux éléments de débat ?

Le débat sur Internet au sujet du projet de blocage des sites pédopornographiques, voulu par la LOPPSI, est réellement devenu confus.

Ainsi, depuis quelques semaines, une campagne contre les dispositions liées au blocage des sites pédopornographiques contenues dans la LOPPSI est menée avec à la clé, la publication d’un recueil d’articles (voir l’article de Fabrice Epelboin sur ReadWriteWeb) dont le premier porte sur l’analyse du témoignage d’un pédophile qui a été diffusé voilà un an sur Wikileaks.

Qu’apportent ces nouveaux arguments au débat ? Voici le résultat de mes réflexions et mes réactions aux reproches qui sont faits aux professionnels de la lutte contre ces formes de délinquance.

Le blocage serait favorable pour le commerce pédophile ?

L’argument principal présenté par Fabrice Epelboin est que les groupes criminels qui commercialisent sur Internet des contenus pédophiles seraient devenus de tels spécialistes des techniques permettant de faire circuler discrètement des contenus illicites sur Internet, qu’ils deviendront les maîtres des réseaux « underground ». Et sa conclusion en est que le blocage les rendra incontournables dans l’exploitation de l’Internet illégal et serait en réalité leur planche de lancement.

En préambule on comprend très bien que le défenseur de la pédophilie qui est cité décrit une situation déformée par le prisme de son expérience personnelle. Ainsi, il nous explique que l’Allemagne serait le lieu de tous les hébergements underground, grâce aux serveurs les plus « fiables, les plus rapides et les plus abordables ». D’autres vous diront que ce sont les prestataires hollandais ou américains, en fonction de leur expérience personnelle. On retrouve des serveurs aux activités illégales dans des hébergeurs du monde entier. Et effectivement, le reste de son discours est déformé par le même prisme.

Les pratiques décrites comme ayant été développées pour les réseaux de diffusion pédophiles, sont en réalité celles de tous les groupes criminels organisés sur Internet, ceux qui diffusent des contenus pédophiles, comme ceux qui se « contentent » de vendre de faux logiciels de sécurité, de contrôler les botnets qui permettent de collecter des données personnelles monnayables, etc… J’ai décrit pour mes lecteurs quelques facettes de ces pratiques dans différents articles sur les hébergeurs malhonnêtes.

La diffusion de contenus pédopornographiques par ces groupes remplit en réalité deux objectifs:

c’est une source de revenus, un produit supplémentaire à leur catalogue;
c’est un des multiples appâts dont ils se servent pour attirer des pigeons dans leurs filets.

En effet, certaines victimes tombent pour la publicité vantant un médicament puissant et pas cher, d’autres pour des images pornographiques ou encore des logiciels de sécurité, et certains sont recrutés grâce aux images pédophiles. Les techniques de publicité par spam (courriers électroniques non sollicités), de rabattage vers la plateforme commerciale au travers de diffusion de liens cachés dans des vidéos disponibles sur les échanges P2P, de diffusion de logiciels espion, sont toujours les mêmes. Et au bout du compte la victime (dans le cas des images pédopornographiques aussi un peu coupable et donc qui n’osera pas aller porter plainte), donne son numéro de carte bancaire et est prélevée une fois, deux fois, puis plusieurs mois de suite.

Au bout du compte, le blocage des sites pédopornographiques de ce type-là va avoir pour effet collatéral de rendre beaucoup plus difficiles les autres formes d’escroqueries. En effet, on retrouve souvent sur les mêmes serveurs, derrière la même adresse IP des centaines de sites Web de promotion, les uns pour des contenus pédophiles mais les autres pour toutes sortes d’autres produits tout aussi illégaux.

En réalité donc, le blocage des sites pédopornographiques va rendre beaucoup moins intéressant pour ces groupes-là ce genre de commerce, ce qui va nuire finalement à leur modèle économique. Donc pour certains d’entre eux, ils seront au contraire motivés à quitter le commerce pédopornographique : une première victoire pour nous, mais qui ne nous empêchera pas de continuer à travailler sur leurs autres formes d’activités illicites.

La lecture de l’excellent rapport d’Europol sur le crime organisé de 2009 pourra donner une meilleure idée de la très grande transversalité des activités des groupes criminels organisés. On pourra aussi lire avec intérêt la présentation faite par François Paget lors du dernier panorama du Clusif sur la cybercriminalité, dont je rendais compte voici quelques jours, sur une entreprise aux activités particulièrement suspectes en Ukraine.

Quid des autres arguments ?

Je passerai rapidement sur la tentation à laquelle succombent les différents participants de l’ouvrage à minorer l’ampleur du problème (la tête dans le sable encore ?). Ainsi, selon Epelboin, cette forme de commerce ne représenterait « que » quelques dizaines de millions d’euros de chiffres d’affaires annuels. Déjà en soit, quelques dizaines de millions d’euros seraient un résultat non négligeable. A l’appui de son savant calcul, les dires de notre fameux pédophile anonyme : « en 2004, le leader du marché totalisait un chiffre d’affaires de plus de 20 millions de dollars », valeur à multiplier donc par le nombre total de groupes criminels concernés. En réalité, les quelques dizaines de groupes criminels qui agissent dans ce domaine réalisent très certainement des chiffres d’affaires semblables (répartis sur plusieurs types de « produits » comme je l’évoquais au-dessus) et on doit être plus proche des 500 millions de dollars ou du milliard de dollars annuels. Certaines études évaluaient en 2004 ce marché à 3 milliards de dollars.

Toujours à minorer le problème, un autre intervenant de l’ouvrage intervient: proclamé expert informatique britannique, qui a commencé ses activités dans ce domaine voilà moins de deux ans, à l’avenir certainement très prometteur. Il nous affirme sans sourciller qu’il n’y aurait plus aujourd’hui d’échanges de contenus pédopornographiques sur les réseaux pair à pair classiques. Il dit par exemple: « la plupart de ce qu’on y trouve n’est pas réellement de la pédopornographie et ne peut donner lieu à des poursuites ». Malheureusement, il se trompe complètement. On y trouve les formes les plus graves d’atteintes sur des mineurs. Effectivement pas toujours les toutes dernières productions – encore qu’on y retrouve des productions non professionnelles récentes. Le P2P est malheureusement encore beaucoup utilisé pour partager des fichiers pédopornographiques et l’équipe du département de répression des atteintes aux mineurs sur Internet du STRJD à Rosny-sous-Bois en identifie plusieurs dizaines en France chaque mois.

C’est le même expert britannique qui nous explique que les techniques policières de collecte du renseignement sont inadaptées: « la surveillance est une énorme perte de temps », dit-il (en parlant de la surveillance de l’activité d’un suspect, par exemple par le biais d’interceptions, en comparaison de l’analyse forensique d’un ordinateur saisi au moment de la perquisition qui révélerait tout autant d’informations). Il manque très clairement de recul par rapport à ce qui est utile ou non dans une enquête judiciaire. Par exemple, avant d’envisager une perquisition qui permettra de saisir du matériel informatique, il est évident que les policiers doivent collecter des preuves en amont qui vont confirmer la nécessité de cette perquisition: il n’y a pas de perquisition « en aveugle ».

Enfin, l’argument de la censure et de la prohibition est longuement développé. Il n’aura pas échappé au lecteur averti que la possession, la fabrication et la diffusion de contenus pédopornographiques sont interdits. Oui, ces contenus sont illégaux, prohibés, pour des raisons évidentes. Je ne crois pas que les rues de Paris se soient transformées en champ de bataille à cause de cette prohibition de la pédopornographie. Les pays qui ont mis en place le blocage en Europe non plus. D’ailleurs le pédophile allemand qui est cité en appui de ces démonstrations souhaite carrément la libéralisation de la pédopornographie, je ne vois pas comment on peut utiliser ses arguments sur la prohibition pour critiquer le dispositif de blocage proposé! Le même nous explique qu’il a beaucoup plus peur du NCMEC (organisme américain chargé aux côtés du FBI de la lutte pour la protection de l’enfance) que des terroristes.

En conclusion, une bonne partie de ce qui est présenté comme nouveaux arguments consiste à affirmer que les services spécialisés en France, en Europe et au-delà ne savent pas de quoi ils parlent, ne connaissent pas les groupes criminels pédophiles, ne regardent pas du bon côté, travaillent mal… Soit. On a toujours des progrès à faire, c’est certain. Mais aujourd’hui je ne suis pas convaincu par ce qui nous est proposé à lire.

L’impact sur le réseau, la liberté d’expression, le surblocage

J’avais déjà eu l’occasion d’évoquer les autres éléments du débat. La mesure est-elle proportionnée ? Quels risques prend-on par rapport aux infrastructures ? Quelle transparence sera donnée au dispositif ? Qui contrôle ? Combien ça coûte ?

Ainsi, le surblocage est un sujet important à prendre en compte, en cas de mises en place de telles mesures. Supposons d’abord que les listes fournies par l’autorité chargée de les établir seront validées ou contrôlées par l’autorité judiciaire. Elles devront aussi être adaptées en fonction des techniques de blocage (selon que l’on bloque sur la base de l’adresse IP ou un nom d’hôte par exemple) de façon à limiter le surblocage. Il faudra aussi être en mesure de réagir promptement aux demandes éventuelles des personnes lésées. Ainsi, Europol a déjà mis en place un site d’information permettant à de telles situations d’être rapidement résolues. Cette initiative fait partie du projet CIRCAMP, financé par la Commission Européenne dans le cadre du Safer Internet Programme, pour aider les services de police à coordonner leur action dans la lutte contre les contenus illicites. On pourrait reprendre le même modèle plus spécifiquement à destination du public français. En effet, en plus du magistrat qui serait éventuellement chargé de contrôler l’autorité administrative – comme le prévoit la version issue de la commission des lois, le public sera lui-même un excellent arbitre de toute erreur en surblocage qui ne manquera pas d’être détectée et donc corrigée.

Enfin, l’action contre les flux financiers – je l’ai déjà évoqué à plusieurs reprises (ici au moment de la conférence Octopus du Conseil de l’Europe en 2009) – est évidemment une des priorités de l’action des services d’enquête en Europe, aux Etats-Unis et en Asie.

Efficacité supposée de la mesure

Ce soir, sur Public Sénat, Benjamin Bayart déclarait que l’efficacité de la mesure n’est pas évaluée. L’étude d’impact du projet de loi présenté devant le parlement (et disponible en suivant ce lien, voir la page 107 du PDF) explique pourtant le nombre de connexions qui sont bloquées chaque jour dans les pays qui appliquent la mesure :

30.000 connexions / jour en Suède,
15.000 connexions / jour en Norvège,
12.000 connexions / jour au Danemark.

Il va de soi que l’efficacité devra être aussi mesurée en France.

En conclusion:

non, le blocage ne favorisera pas le commerce pédopornographique, au contraire !
oui, il y a un problème de la diffusion commerciale de ces contenus et l’action contre les flux financiers liés à ces activités est menée ;
oui, il faut un débat sur les moyens à mettre en œuvre, mais il ne faut pas tout mélanger.

7 février 2010 by Éric Freyssinet Cybercriminalité Juridique

Actualité législative (LOPPSI/ARJEL)

Assemblée nationale (Photo: GPL)

Le parlement est saisi de deux textes qui intéressent la délinquance numérique et les investigations numériques: les projets de loi LOPPSI et de régulation des jeux en ligne.

La LOPPSI comporte trois dispositions à suivre:

l’interdiction de certaines formes d’usurpation d’identité en ligne;
le blocage des sites pédopornographiques (voir l‘article que j’avais publié à ce sujet en mai 2009);
la captation de données informatiques (ou « sonorisation informatique »).

Le projet de loi a été débattu en commission des lois et en commission de la défense de l’Assemblée nationale. La commission des lois propose que le blocage soit assorti de l' »accord de l’autorité judiciaire ». Le dépôt des amendements sur ce texte aura lieu jusqu’au 05 février 2010 au soir et le débat aura lieu en séance à l’Assemblée nationale les 09, 10 et 11 février 2010 prochains.

Le dossier de cette loi sur le site de l’AN.

Quant au projet de loi sur la régulation des jeux en ligne il avait fait l’objet d’une première lecture à l’assemblée nationale au mois d’octobre dernier et se retrouve maintenant devant le Sénat. La commission des finances a rendu son rapport le 19 janvier dernier et le texte sera débattu en séance les 23 et 24 février prochains. (J’avais évoqué ce projet de loi en août dernier)

Le dossier législatif sur la régulation des jeux en ligne sur le site du Sénat.

Un mois de février 2010 particulièrement actif donc dans le débat public.

1 février 2010 by Éric Freyssinet Cybercriminalité Juridique 0

Panorama Cybercriminalité 2009 du CLUSIF

Le CLUSIF présentait mercredi 13 janvier 2010 son panorama 2010 sur la cybercriminalité. Je n’étais pas sur la scène cette année, en effet nous avions invité Isabelle Ouellet de la Sûreté du Québec pour représenter les services d’enquête. A noter enfin les travaux présentés par François Paget sur une société Ukrainienne.

La présentation est disponible en téléchargement sur le site du Clusif et la vidéo le sera d’ici quelques jours.

Comme chaque année, il s’agit d’offrir un regard sur les événements de l’année passée en matière de cybercriminalité et de sécurité des systèmes d’information et d’envisager leur impact sur la France en particulier pour l’année ou les années à venir. L’ensemble des membres du groupe de travail ont alternativement pointé des faits d’actuailité de 2009 qui leur semblaient importants, en ont discuté, et ensuite un certain nombre d’entre nous ont été choisis pour les présenter. Le travail s’est donc enrichi cette année par l’apport de personnalités étrangères (notamment canadienne et roumaine) et par un rallongement de la présentation pour intégrer les risques numériques.

En italique mes commentaires personnels éventuels.

Sécurité du GSM: Alain THIVILLON (Consultant chez HSC) a présenté les risques autour de la confidentialité des communications GSM qui ont été dévoilés cette année. Une raison de plus de s’intéresser en 2010 aux risques inhérents aux terminaux mobiles (systèmes d’exploitation plus ouverts, logiciels malveillants, connexion permanente…).
Services généraux sur IP: sécurité périmétrique ou incendie, réseaux de commande industrielle, gestion de l’alimentation électrique, etc., l’ensemble des services généraux basculent dans le monde IP et il devient de plus en plus criant que la sécurité de ces services contre les atteintes classiquement rencontrées dans les réseaux IP n’est pas prise en compte. La présentation reprend des cas concrets d’atteintes à des systèmes de vidéo surveillance notamment.
Câbles et ruptures de service: Pascal LOINTIER (Président CLUSIF) reprend alors la parole pour rappeler les différents incidents survenus en 2009 sur des infrastructures de réseau ou d’énergie transcontinentales ou locales. Il conclut sur la nécessité de toujours prévoir une double adduction sur les sites critiques.
Cloud computing: Les offres d’hébergement mutualisé « dans le nuage » ont de plus en plus de succès, qu’il s’agisse de gestion complète de son courrier électronique, de son back office ou de sa présence commerciale. Le but de cette évocation est de rappeler qu’il s’agira toujours d’hébergement physique avec les risques inhérents et qu’il faudra toujours y regarder de près quant au lieu de stockage des données (risques juridiques et sécuritaires) ou aux garanties de reprise d’activité: la délégation de la sécurité ne veut pas dire sécurité absolue.
ANSSI – retour d’expérience sur une attaque en déni de service: après avoir présenté la nouvelle agence créée en juillet 2009, qu’il a rejointe à ce moment-là pour diriger le CERTA, Franck VEYSSET est revenu sur les enseignements de la gestion d’une attaque en déni de service contre un serveur Web de l’administration. L’impact sur l’ensemble des services de messagerie ou même d’accès Internet a été immédiat et la réponse a été tant technique que judiciaire. Ainsi, des règles de routage (blackholing) ont permis au bout de quelques heures de diminuer l’impact et l’enquête judiciaire a conduit dans les jours suivants à la saisie d’ordinateurs qui servaient en France – à leur insu – à relayer cette attaque. Virut semblerait être le logiciel malveillant exploité pour exercer cette attaque.
Réseaux sociaux, menaces opportunités et convergence: Yann LE BEL (SNCF). On ne peut plus en douter aujourd’hui, au-delà de leur usage classique, les réseaux sociaux sont le lieu de tous les phénomènes sécuritaires des années à venir (gestion des conflits sociaux, communication des groupes criminels, rencontre avec les victimes, atteinte à l’image ou à la vie privée, diffusion de logiciels malveillants et autres méthodes d’escroquerie, etc.). 2010 devrait confirmer cette tendance et on peut parier sur une explosion de l’actualité sécuritaire autour des réseaux sociaux.
Carte bancaire: Fabien DAVID (Telindus), la carte bancaire est l’objet de toutes les attentions en 2009. La carte à puce EMV n’est toujours pas universelle, le modèle de sécurité PCI est discuté, les malwares apparaissent sur les guichets automatiques de banque et certains schémas ne résistent pas au passage à l’an 2010… Beaucoup de travail en vue pour les spécialistes.
Web 2.0, le 5ème pouvoir: Isabelle OUELLET (Sûreté du Québec) questionne l’impact du WEB 2.0 sur la société et l’émergence d’un cinquième pouvoir qui vient remettre en cause le pouvoir des médias, des gouvernements, et notamment des services de police. Sont cités notamment des cas de justice populaire numérique.

Une entreprise criminelle au microscope

Petite particularité pour cette année avec la présentation de François PAGET (McAFEE Labs) des résultats de ses recherches (avec un autre expert Dirk KOLLBERG) sur une entreprise ukrainienne aux activités manifestement douteuses et parfois illégales.

I[…] – et les sociétés qui lui sont directement liées (I[…], V[…], W[…], K[…], …) – produit notamment des faux antivirus et autres spywares ou scarewares (voir par exemple cet article sur Wikipédia). Pendant plusieurs mois ces experts ont amassé des dizaines de gigaoctets de documents sur les activités de cette société et exploré sa présence sur les réseaux sociaux.

Les enseignements: cette société a pignon sur rue, est organisée comme n’importe quelle SSII, recrute dans les grandes universités ukrainiennes (et certains de ses anciens employés sont maintenant dans de grands groupes internationaux) et elle réalise un chiffre d’affaires ahurissant (180 millions de dollars en un an). Elle dispose même d’un support technique pour ses clients malheureux, destiné à les arnaquer dans la durée !

Affaire à suivre donc !

Enquête sinistralité

Dans l’actualité du CLUSIF, le lancement de son enquête 2010 sur la sinistralité. L’enquête se déroulera au cours des six semaines à venir auprès des grandes entreprises et des administrations. A partir de mars, un groupe de travail étudiera les résultats de cette enquête.

16 janvier 2010 by Éric Freyssinet Cybercriminalité Prospective Sécurité 2

Conférences cyber des semaines à venir

Quelques conférences cyber des semaines à venir :

Demain, 13/01/2010, 15h, Cercle national des armées, Panorama de la Cybercriminalité – Bilan de l’année 2009, CLUSIF – Club de la sécurité de l’information français ;
04/02/2010, 9h à 17h15, ISEP, Université des correspondants informatiques et libertés (CIL), AFCDP – Association française des correspondants aux données personnelles ;
31/03 et 01/04/2010, Lille Grand Palais, 4ème Forum international sur la cybercriminalité, Gendarmerie nationale, avec le soutien financier de la Commission Européenne.

N’hésitez notamment pas à vous inscrire nombreux au FIC 2010.

12 janvier 2010 by Éric Freyssinet Cybercriminalité Prospective Sécurité 1

900.000 € de marchandises frauduleusement acquises transitaient par les Alpes-Maritimes

La gendarmerie nationale publie sur son site Web une brève relatant les résultats d’une investigation menée conjointement par les gendarmes de Grasse et la police judiciaire de Nice.

Ainsi, 3 personnes ont été interpellées mardi 05 janvier 2010 à Pégomas (06). Elles sont soupçonnées d’avoir été exploitées comme mules pour renvoyer les colis illégalement acquis grâce à des numéros de cartes bancaires volés, qu’elles reconditionnaient pour les renvoyer vers la Côte d’Ivoire ou le Mali.

Ces personnes avaient été recrutées par Internet pour exercer une forme de « travail à domicile » qui devient malheureusement de plus en plus courante et qui constitue des actes de complicité et de recel de vol et d’escroquerie. Elles risquent 10 ans de prison et 750.000 € d’amende, en fonction des infractions qui seraient éventuellement retenues contre elles.

Ne tombez pas dans le panneau : il n’existe pas de métier légal et facile consistant à renvoyer de l’argent ou des biens reçus dans son compte bancaire ou sa boîte aux lettres au profit d’une soi disant entreprise d’importation ou d’un nouvel ami qui vous aura recruté sur Internet. Il s’agira toujours d’une escroquerie.

11 janvier 2010 by Éric Freyssinet Actualité judiciaire Cybercriminalité 1

Bonne année 2010 !

Que tous vos vœux se réalisent.

http://www.flickr.com/photos/queen_of_scum/ / CC BY-NC 2.0

1 janvier 2010 by Éric Freyssinet Actualité judiciaire Criminalistique numérique Cybercriminalité Juridique Prospective Sécurité 0

Est-il illégal de publier des failles de sécurité ?

GNU/FDL - ēɾaṣøft24 sur Commons

Le buzz continue de s’amplifier autour de la décision de la cour de cassation du 27 octobre 2009 dernier. Et les titres d’affirmer: « La cour de cassation confirme que la publication de failles de sécurité exploitables est un délit » (Numerama, 22/12/2009), « La révélation publique de failles de sécurité est un délit » (01Net, 18/12/2009), etc.

J’avais déjà discuté d’un sujet approchant (mais différent sur le fond) en évoquant l’affaire Zataz récente (sur ce blog, le 05/10/2009). Est-on libre d’échanger sur les failles de sécurité ?

La décision de la cour d’appel de Montpellier

Commençons par le commencement, la cour de cassation se prononçait en effet sur une décision de la cour d’appel de Montpellier datant du 12 mars 2009. La chronologie y est rappelée:

il est créé en 2004 une société « spécialisée dans le conseil en sécurité informatique » ;
le 26 octobre 2005, l’OCLCTIC « avisait le Parquet de Montpellier que la société XYZ diffusait sur son portail internet www…..com des scripts permettant d’exploiter des failles de sécurité informatique, directement visibles sur le site et accessibles à tous« ;
(non expliqué dans l’arrêt) le bulletin de sécurité Microsoft MS05-053 du 08 novembre 2005 publiait un avis avec une correction proposée, qui ne se révélera pas suffisante ;
l’enquête était ensuite confiée à la DST, cette enquête confirmait que le dit site Web diffusait « un code d’exploitation d’une faille dans le moteur graphique WINDOWS qui avait donné lieu à une alerte du CERTA (Centre d’Expertise gouvernemental de Réponse et traitement des Attaques informatiques) publiée le 28 décembre 2005 et avant que MICROSOFT y remédie le 5 janvier 2006″;
il est entendu le 14 mars 2006 par les enquêteurs et on apprend que les revenus de cette société sont issus de la publicité que voient ses visiteurs et d’abonnements que prennent différentes sociétés aux alertes de sécurité ;
le 28 août 2006, il est entendu et mis en examen par le juge d’instruction et lui confirme qu’il ne diffusera plus d’exploits sur son site Web, il aurait notamment expliqué que la publication de failles et d’exploits lui permettait d’asseoir ses compétences ;
le prévenu était renvoyé devant le tribunal pour avoir, courant 2005 et 2006 mis à disposition sans motif légitime des programmes ou données conçus ou adaptés pour une atteinte au fonctionnement d’un système de traitement automatisé des données (infraction prévue par l’article 323-3-1 du code pénal);
il est relaxé par le tribunal correctionnel,

au motif qu’il est établi que le site www…..com n’incitait en aucune façon à l’utilisation de ces codes à des fins malveillantes ou de piratage informatique, que la seule intention qui ait animé X… Y…. est un souci d’information des menaces existantes non corrigées à destination des utilisateurs de programmes informatiques, qu’il justifie d’ailleurs en avoir été remercié par MICROSOFT, aucune intention délictueuse n’est établie

la cour d’appel argumente en soulignant que l’article 323-3-1 du code pénal ne prévoit pas « que soit caractérisée une incitation à l’utilisation d’un tel système », mais réprime « le fait sans motif légitime, d’importer, de détenir, d’offrir, de céder ou de mettre à disposition un équipement, un instrument, un programme informatique ou toute donnée conçus ou spécialement adaptés pour commettre des atteintes aux systèmes de traitement automatisé des données »;
eu égard à sa personnalité, le prévenu n’était condamné qu’à 1000 euros d’amende correctionnelle.

Première conclusion: la personne en cause n’a pas été condamnée pour la publication de failles de sécurité, mais pour la diffusion d’exploits, c’est-à-dire de programmes permettant d’exploiter ces failles de sécurité. On notera au passage que ni Microsoft, ni le CERTA n’ont été poursuivis pour avoir diffusé les informations sur les dites failles, c’est une reconnaissance implicite de la légitimité de l’information sur les failles de sécurité.

La décision de la cour de cassation

Dans un premier temps, il faut comprendre sur quoi ce basait le pourvoi en cassation de l’avocat de la personne condamnée en appel: les défauts de motif et de base légale. L’argumentation se base sur le texte de la convention du Conseil de l’Europe sur la cybercriminalité, que son client n’incitait pas à commettre d’infraction avec les dits outils de piratage, que la cour ne s’appuyait que sur la motivation économique du prévenu et faisait référence à des antécédents judiciaires de façon générale.

L’argumentation de la cour de cassation se présente de la façon suivante:

le site Web diffusait de façon visible et accessible des moyens permettant d’exploiter des failles de sécurité ;
la compétence en sécurité informatique du prévenu ne pouvait lui faire ignorer le risque lié à l’utilisation éventuelle des codes d’exploitation qu’il diffusait et il ne peut donc arguer ainsi de son intention d’informer ;
elle écarte le débat sur les antécédents judiciaires et conclut que la cour d’appel a parfaitement justifié la condamnation.

Le pourvoi en cassation est donc rejeté. Le prévenu définitivement condamné.

Conclusion

L’article 323-3-1 du code pénal:

Le fait, sans motif légitime, d’importer, de détenir, d’offrir, de céder ou de mettre à disposition un équipement, un instrument, un programme informatique ou toute donnée conçus ou spécialement adaptés pour commettre une ou plusieurs des infractions prévues par les articles 323-1 à 323-3 est puni des peines prévues respectivement pour l’infraction elle-même ou pour l’infraction la plus sévèrement réprimée.

La cour de cassation a donc bien confirmé qu’il n’est pas légitime, sous des motifs d’information du public, de diffuser sur un site Web accessible à tout un chacun des programmes informatiques ou des codes source de programmes informatiques permettant d’exploiter des failles de sécurité.

En revanche, il est parfaitement légitime d’informer sur les failles de sécurité.

Les débats présentés ici nous permettent de comprendre aussi que le juge est parfaitement ouvert à considérer que l’information de professionnels (en particulier la société qui commercialise un logiciel défaillant, les CERT, etc…) sur les moyens concrets d’exploiter des failles de sécurité, dans un contexte de bonnes pratiques est légitime, mais ce n’est pas ce qui était reproché dans cette affaire.

24 décembre 2009 by Éric Freyssinet Cybercriminalité Juridique 19

Cyberformation contre cybercriminalité (Bulletin de l’ILEC)

Le numéro 404 du bulletin de l’ILEC (Institut de liaison et d’étude des industries de la consommation, site Web de l’association par ici…) publie un numéro spécial sur la cybercriminalité. Il se présente sous la forme d’entretiens sur les sujets suivants:

Une mutation du crime organisé, entretien avec Myriam Quéméner, page 1
L’entreprise dans la ligne de mire, entretien avec Joël Ferry, page 4
Information bien gardée, entreprise avisée, par Rémy Février, page 5
Un mal inéluctable, entretien avec René Henri Legret, page 7
Cyberformation contre cybercriminalité, entretien avec Eric Freyssinet, page 9
ANSSI, nouvelle arme de l’État, entretien avec Michel Benedittini, page 11
Vers une cyber-ONU, entretien avec Christian Aghroum, page 12
Une vigie de la cybercriminalité mondiale, entretien avec Régis Fohrer, Dominique Schoenher et Rémy Février, page 14
Maîtres-toile contre cyberbrigands, entretien avec Jean-Paul Pinte (son blog), page 15

Merci à Jean-Watin Augouard d’avoir retranscrit ainsi nos échanges.

23 décembre 2009 by Éric Freyssinet Cybercriminalité Prospective 0

iHacked ! Attaque contre les iPhones jailbreakés

Rien dans l’actualité n’avait attiré mon attention depuis quelques semaines, mais l’incident survenu cette semaine aux propriétaires d’iPhones « jailbreakés » de l’opérateur T-Mobile aux Pays-Bas mérite qu’on s’y arrête un instant.

Le Jailbreak ?

Le « jailbreak » est la technique qui consiste à modifier le système d’exploitation des iPhone pour pouvoir y installer des applications qui n’ont pas été validées par Apple, accéder par une connexion SSH (donc normalement sécurisée) au contenu plus intime de son téléphone et partager son contenu tel un disque dur externe (ce que ne permet pas normalement l’iPhone). Ces manipulations sont aussi possibles sur les iPod Touch.

L’attaque

Ainsi, un pirate audacieux a scanné les adresses IP publiques des abonnés de T-Mobile aux Pays-Bas pour y détecter des iPhones jailbreakés. Malheureusement ces téléphones ont tous le même mot de passe pour deux comptes, le compte root (littéralement « racine », compte présent sur tous les systèmes de type Unix et qui dispose normalement de tous les droits d’administration sur le système) ainsi que le compte mobile. Cela lui a donc permis de prendre le contrôle de la plupart de ces téléphones et d’en changer le fond d’écran:

Ecran de l'iPhone après la prise de contrôle

Dans un premier temps, le pirate invitait ses visiteurs à lui payer la somme de 5 € sur son compte Paypal pour apprendre comment le débloquer, en leur expliquant notamment qu’il pouvait se servir de leur téléphone pour passer des appels téléphoniques à leur frais et fouiller dans leur vie privée.

Assez rapidement, l’auteur de cette plaisanterie s’est engagé à rembourser ses victimes et a fourni gratuitement les explications permettant de rétablir un semblant de sécurité sur les téléphones.

En résumé, les étapes de cette attaque:

scan de l’ensemble des IP potentielles d’abonnés de T-mobile, à la recherche de réponses sur le port TCP caractéristique des iPhone
test de la disponibilité du port TCP SSH (le port 22, ouvert uniquement sur les portables « jailbreakés ») et des mots de passe par défaut pour les comptes root et mobile
modification du fond d’écran.

Cette attaque avait été expliquée dès le mois de juillet 2008 sur un forum néerlandais dédié à la sécurité (et par Dancho Danchev aussi). Elle fonctionnera aussi contre des iPhone connectés en Wifi ou des iPod Touch connectés sur un point d’accès Wifi (lorsqu’ils sont jailbreakés). Bien évidemment tenter ce genre de choses est répréhensible, et constituerait un accès frauduleux dans un système de traitement automatisé de données puni d’au moins deux ans d’emprisonnement et 30.000 € d’amende en France (article 323-1 du code pénal). J’en profite pour rappeler d’ailleurs que la tentative de tels faits est effectivement interdite en France (article 323-7 du code pénal), donc par exemple, le scan du port caractéristique des iPhone évoqué plus haut sur des réseaux où des téléphones mobiles sont susceptibles d’être connectés constituerait un acte matériel de commencement d’exécution…

Quelques leçons de cette affaire

On dirait que la société Apple a raison lorsqu’elle déclare qu’il est dangereux de jailbreaker son téléphone…
L’utilisation de téléphones constamment connectés sur les réseaux de 3ème génération n’est pas sans risque (en France, les réseaux des trois opérateurs ne permettent pas actuellement l’accès depuis l’extérieur), mais attention lorsque vous êtes en roaming dans d’autres pays. Les opérateurs devront-ils installer des pare-feu sur leurs réseaux pour protéger leurs abonnés ?
Cela va devenir de plus en plus complexe d’assurer la sécurité sur son téléphone portable: il va falloir installer un logiciel pare-feu, un antivirus, savoir l’administrer et mettre un mot de passe « root »,… ce n’est pas forcément à la portée de tous les usagers.

4 novembre 2009 by Éric Freyssinet Cybercriminalité Sécurité 2