Un ransomware (encore appelé cryptolocker ou rançongiciel en français) est un logiciel informatique malveillant, bloquant les données de la cible en cryptant les fichiers contenus sur les ordinateurs infectés et qui exige le paiement d une rançon en échange d une clé permettant de les déchiffrer. La période de crise sanitaire est particulièrement propice à des attaques par ransomware en raison du climat anxiogène qui a tendance à réduire la vigilance de chacun et par suite de la généralisation massive et rapide du télétravail, génératrice de failles de sécurité. De nombreux messages frauduleux incitent ainsi à télécharger des fichiers vérolés tels que de fausses attestations de sortie ou de faux formulaires de don à des ONG ou à des organismes publics. Une fois que le ver

est dans le fruit, il se propage d ordinateur à ordinateur en un trait de temps et finit par paralyser totalement l entreprise ou l organisme cible.

La liste de victimes françaises de ransomwares est longue : Orange, Saint-Gobain, Tarkett, M6, Fleury-Michon, Bouygues Construction, Eurofins, Altran mais aussi des hôpitaux, des ministères, des cabinets d avocats ou encore des mairies. Récemment, Microsoft dit avoir repéré des attaques ou des tentatives d attaques visant plusieurs laboratoires « qui ont des vaccins pour le Covid-19 en phase de tests cliniques », ce qui a eu pour effet de ralentir les essais et donc la sortie de ces vaccins.

L ANSSI a, le 4 septembre 2020, publié son protocole sanitaire pour le cyberspace en partenariat avec le Ministère

de la Justice, un guide de sensibilisation destiné aux entreprises, collectivités et administrations afin d inculquer des gestes barrières permettant de se prémunir contre les virus informatiques et éviter leur propagation s agissant notamment des ransomwares.

Les attaques par ransomware peuvent revêtir diverses qualifications juridiques et le Procureur de la République, le Pôle de l instruction, le Tribunal correctionnel et la Cour d assises de Paris ont une compétence nationale en matière d atteintes aux systèmes de traitement automatisé de données (STAD)

et d atteintes aux intérêts fondamentaux de la Nation ce qui peut englober les attaques par rançongiciel. Le Parquet de Paris dispose ainsi d une section spécialisée dans les affaires de cybercriminalité complexes et a réussi à élucider plusieurs affaires d envergure avec parfois l interpellation de complices internes à l entreprise, victime de l attaque.

Ainsi, pour l entreprise ou l organisme victime d une cyberattaque, il est essentiel de préserver et de réunir les éléments de preuve afin de pouvoir déposer rapidement plainte pour tenter notamment d identifier

les auteurs et leurs éventuels complices. Il peut également être utile de souscrire une police d assurance spécifique qui peut, dans certains cas, couvrir par exemple tout ou partie de la rançon exigée pour que les pirates décryptent certaines données critiques permettant le redémarrage de l activité. Enfin, il est parfois possible de se retourner contre des tiers négligents ou défaillants afin d obtenir une indemnisation à raison des attaques subies.

La lutte contre les cyberattaques n est donc pas qu un sujet technique ; elle doit aussi être menée sur le terrain juridique en utilisant l arsenal croissant qu offre notre droit. Notre cabinet dispose de toutes les compétences et de l expérience nécessaires pour vous assister en cas de cyberattaque et en minimiser l impact.

Les fraudes numériques sont polymorphes : ransomwares paralysant l activité de l entreprise, hameçonnages permettant le vol d informations sensibles, « fraudes au président » destinées à convaincre un employé d effectuer un important virement urgent prétendument ordonné par un dirigeant ou encore vente de produits contrefaits sur Internet tels des masques en simple papier ou du gel hydroalcoolique frelaté, sans effet sur le coronavirus.

Une autre forme de cybercriminalité apparaît de façon récurrente : celle de la publication de contenus illicites sur Internet et en particulier sur les réseaux sociaux. Qu il s agisse d incitations à la haine, d injures à caractère raciste ou anti-religieuses, de propos diffamatoires ou faisant

l apologie du terrorisme, ces contenus ont tendance à se multiplier et à se propager à une vitesse vertigineuse grâce à des millions de relais instantanés. L actualité récente nous rappelle hélas les conséquences tragiques que peuvent avoir ces publications.

La loi pour la confiance dans l économie numérique (LCEN) de 2004 pose le principe qu un réseau social n a l obligation d agir que s il a une connaissance personnelle du contenu ou si le contenu lui a été signalé par un utilisateur selon une procédure bien particulière. La plateforme doit alors s assurer qu il s agit d un contenu « manifestement illicite » (c est-à-dire en pratique terroriste, pédopornographique ou incitant à la haine raciale) et si tel est le cas, il doit en assurer le retrait « promptement ». A défaut, un juge peut être saisi

et ordonner, le cas échéant, un tel retrait. La proposition de loi dite « Avia » obligeait les opérateurs de plateforme en ligne et les moteurs de recherche à retirer dans un délai de 24 heures, après notification par une ou plusieurs personnes, des contenus manifestement illicites tels que les incitations à la haine ou les injures racistes. Pour les contenus terroristes ou pédopornographiques, signalés cette fois par l autorité administrative, le délai de retrait était réduit à une heure. Dans sa décision du 18 juin 2020, le Conseil constitutionnel a censuré

ces dispositions au nom de la liberté d expression en relevant notamment qu un délai d une heure n était pas suffisant pour permettre un recours effectif devant un juge ou encore, s agissant du délai de 24 heures, que le champ extrêmement large du texte laissait trop peu de temps aux plateformes pour analyser le contenu signalé et le contextualiser.

Nul doute que le débat n est pas clos. Il reste que le recours à l autorité judiciaire offre à l heure actuelle les meilleures garanties. Le juge est en effet le mieux à même d effectuer une balance des intérêts en présence en ordonnant

la censure des contenus illicites, en condamnant parfois pénalement leurs auteurs pour diffamation ou injure par exemple, tout en étant le garant de la liberté d expression, fondement de toute société démocratique.

L état actuel du droit et de la jurisprudence permet de lutter contre les contenus illicites ou malveillants sur Internet. Les réponses à ces contenus sont diverses et nécessitent de respecter certaines conditions (délais, formalisme, etc.) qui sont autant de garanties de la liberté d expression si chère à la France. Notre cabinet se tient à vos côtés si vous êtes victime de propos illicites sur Internet afin d engager toute procédure pénale ou civile contre leurs auteurs ou encore solliciter le retrait du contenu auprès des différentes plateformes d hébergement.

Thomas AMICO Associé co-responsable du

département «Contentieux»

Contenus illicites sur Internet : Lutter tout en préservant la liberté d expression

Page 4

Covid-19 ou la rançon de la peur La crise de la Covid-19 a entraîné une multiplication des cyberattaques et notamment des attaques par utilisation de ransomwares. Selon les derniers chiffres de l Agence nationale de la sécurité des systèmes d information (ANSSI), 54 attaques de ce type ont été enregistrées en 2019 alors qu au 30 septembre 2020, on en dénombrait déjà près de 130.