Phishing et vol d'identité

La technique de fraude dite du phishing peut être qualifiée de vol d'identité susceptible d'entraîner des conséquences pénales, tant à l'égard de l'usurpé que de l'usurpateur.

L'affaire

Un salarié avait utilisé l'identité d'un de ses collègues pour envoyer un message électronique de nature diffamatoire à plusieurs ingénieurs de son entreprise. Il a été poursuivi sur le fondement de l'article 434-23 du Code pénal réprimant le fait de prendre le nom d'un tiers pour commettre une infraction pénale⁽¹⁾. Se faisant, il se livrait à une technique de fraude bien connue de l'internet : le phishing, récemment traduit par la commission de néologie par les termes ' filoutage ' ou ' hameçonnage '⁽²⁾. L'usurpation d'identité en vue de commettre un délit est réprimée de cinq ans de prison et de 75 000 euros d'amende.

Un délit de diffamation non établi

Dans cette affaire, la cour d'appel de Colmar a considéré, en septembre 2005⁽³⁾, que les termes du message électronique avaient un caractère diffamatoire envers celui dont l'identité avait été usurpée. Ces termes auraient pu déterminer des poursuites pénales contre lui, notamment ' l'inscription d'une condamnation au casier judiciaire d'un tiers réellement existant '. Elle a donc déclaré l'employé coupable du chef de prise de nom d'un tiers pour déterminer des poursuites pénales contre lui. Et elle a prononcé une peine d'emprisonnement de trois mois avec sursis. La chambre criminelle de la cour de cassation ne l'a toutefois pas suivi dans cette démarche. Elle a au contraire considéré que la cour d'appel avait insuffisamment caractérisé et qualifié les éléments, tant matériels qu'intentionnel, du délit de diffamation, notamment le contenu du message diffusé sous une fausse identité.

L'annulation partielle de l'arrêt

Les poursuites pour diffamation exigent, en effet, que puisse être identifiée de manière précise la victime de la prétendue diffamation, ce qui n'était semble-t-il pas le cas en l'espèce. La cour d'appel s'étant abstenue ' de rechercher si le message électronique sous la signature d'André Y... [celui dont l'identité avait été usurpée] était susceptible de conduire à l'identification d'une personne précise, autre que sa propre personne, ont entaché leur décision d'un manque de base légale '.La cour de cassation a de ce fait dû partiellement annuler l'arrêt, et elle n'a donc pas eu la possibilité de sanctionner la pratique du phishing sur ce fondement. Dès lors, pour être sanctionnée, l'usurpation d'identité doit en effet entraîner à l'égard de l'usurpé des conséquences pénales.(1) Cass. crim. 29 mars 2006, pourv. : 05-85857.
(2) Com. de néologie, JO du 12 février 2006.
(3) CA Colmar, ch. cor., 14 septembre 2005.

À retenir

L'article 29, alinéa 1^er de la loi du 29 juillet 1881, prévoit que l'infraction de diffamation publique envers un particulier est constituée si les imputations ou allégations de nature à porter atteinte à l'honneur et à la considération, visent une personne physique ou morale déterminée.
Les propos diffusés ne sont pas susceptibles d'être qualifiés de diffamatoires s'ils ne satisfont pas à l'ensemble des conditions énoncées par cet article, soit :
?" s'agir d'une accusation suffisamment précise, d'avoir commis un acte contraire à la loi ou à la morale ;
?" s'agir d'une accusation portée contre une personne physique ou morale, non visant produits ou services ;
?" que la personne physique ou morale visée soit suffisamment déterminée.
Ne remplissant toutes ces conditions, les propos diffusés ne peuvent entraîner la responsabilité pénale de leur auteur ou de celui à qui ils sont attribués à tort.

Les faits saillants : flou juridique

Le phishing soulève des difficultés de qualification juridique. Les juges, en 2004⁽¹⁾, avaient estimé que la création de sites miroirs copiant des sites de banques afin de recueillir des informations confidentielles sur leurs clients internautes constituait un délit d'escroquerie. En 2006⁽²⁾, ils ont qualifié de ' violences volontaires, avec préméditation ', l'utilisation de l'identité d'une personne sur des sites de rencontres, afin de la faire passer pour une femme ' légère '.

(1) TGI Paris, 4 septembre 2004.
(2) TGI Carcassonne, 16 juin 2006.

La tendance : vers une loi antiphishing

Le phishing peut être sanctionné sur la base de délits de droit commun (vol, etc.) et de délits comme l'intrusion frauduleuse de données dans un système de traitement automatisé, à condition que toutes les conditions prévues soient réunies, les textes répressifs étant par principe d'interprétation stricte. Pour éviter qu'elle échappe à toute sanction, l'usurpation d'identité numérique sur les réseaux informatiques a fait l'objet dune proposition de loi^(*) tendant à sa pénalisation en créant une infraction spécifique.

(*) Proposition de loi n?' 452 déposée au Sénat, le 4 juillet 2005.