Rançongiciel et piratage informatique : la défense pénale du hacker

Catégorie : Droit pénal

Par Maître Ibrahim Shalabi — publié le 2026-09-02

Poursuivi pour un accès frauduleux à un système informatique ou pour rançongiciel ? Les articles 323-1 à 323-3-1 du code pénal et les moyens de défense.

Un administrateur réseau qui conserve, après son départ, les codes d'accès à la messagerie de son ancien employeur. Un salarié qui installe un dispositif d'espionnage sur l'ordinateur d'un collègue pour se ménager une preuve. Un groupe organisé qui chiffre les serveurs d'une entreprise et exige une rançon en cryptomonnaie pour restituer l'accès aux données. Ces trois situations, très différentes par leur gravité et par leur intention, relèvent d'un même corps de textes, les articles 323-1 à 323-3-1 du code pénal, qui répriment les atteintes aux systèmes de traitement automatisé de données. Le sigle STAD, qui revient dans chaque procès-verbal de cette matière, désigne tout ensemble d'un ou plusieurs ordinateurs, dispositifs ou réseaux interconnectés, de sorte que le champ d'application du texte couvre aussi bien le grand système d'information d'une entreprise que la messagerie personnelle consultée sans droit sur un simple téléphone.

Le texte : quatre délits distincts, un même chapitre

L'accès et le maintien frauduleux, article 323-1

L'article 323-1 du code pénal punit de trois ans d'emprisonnement et 100 000 euros d'amende le fait d'accéder ou de se maintenir, frauduleusement, dans tout ou partie d'un système de traitement automatisé de données. Les peines sont portées à cinq ans et 150 000 euros lorsqu'il en est résulté soit la suppression ou la modification de données contenues dans le système, soit une altération du fonctionnement de ce système, et à sept ans et 300 000 euros lorsque le système appartient à l'État. Le délit n'exige aucune manœuvre technique sophistiquée : encore faut-il que l'agent ait su, au moment des faits, qu'il n'y était pas autorisé.

L'entrave et l'altération du système, article 323-2

Le fait d'entraver ou de fausser le fonctionnement d'un système de traitement automatisé de données est puni de cinq ans d'emprisonnement et 150 000 euros d'amende. C'est cette qualification qui saisit le plus directement l'attaque par rançongiciel dans sa dimension technique, le chiffrement massif des données rendant le système inutilisable pour son propriétaire légitime.

La suppression et la modification de données, article 323-3

Introduire, extraire, détenir, reproduire, transmettre, supprimer ou modifier frauduleusement des données dans un système de traitement automatisé est puni des mêmes peines que l'entrave, cinq ans d'emprisonnement et 150 000 euros d'amende. Ce texte couvre la phase de la rançongiciel où les données sont, avant chiffrement, souvent exfiltrées à des fins de double extorsion.

La détention d'un outil de piratage, article 323-3-1

Le fait de détenir, offrir, céder ou mettre à disposition, sans motif légitime, un équipement, un instrument, un programme informatique ou toute donnée conçus ou spécialement adaptés pour commettre l'une des infractions précédentes est puni des peines prévues pour l'infraction elle-même ou pour l'infraction la plus sévèrement réprimée. Le motif légitime, seule échappatoire du texte, se limite à la recherche ou à la sécurité informatique, ce qui exclut la plupart des justifications personnelles avancées en défense.

Ce que dit la Cour de cassation, motif par motif

Deux décisions récentes, l'une de 2025 et l'autre de 2018, fixent les limites exactes de ces qualifications et méritent d'être connues avant toute stratégie de défense.

L'accès autorisé détourné de sa finalité reste un accès frauduleux

⟦V — Crim., 2 septembre 2025, n° 24-83.605, F-B, publié au Bulletin, rejet, ECLI:FR:CCASS:2025:CR00934, Légifrance JURITEXT000052267052⟧. Un administrateur réseau salarié, qui disposait, en raison de sa fonction, des codes permettant d'accéder à la messagerie de tous les salariés de l'entreprise, y compris celle de son dirigeant, avait pris connaissance, de manière occulte, des courriels archivés de ce dernier et avait organisé, la veille de sa mise à pied, un transfert automatique et dissimulé de ces courriels vers sa propre adresse. La Cour de cassation a jugé que se rend coupable de l'infraction prévue par l'article 323-1 du code pénal celui qui se maintient dans un système de traitement automatisé de données en prenant connaissance du contenu des messages échangés au sein du réseau, à des fins étrangères à sa mission et à l'insu des titulaires des messages, même si, administrateur du réseau, il bénéficie, de par ses fonctions, d'un droit général d'accès à la messagerie. Le motif est déterminant pour toute personne disposant, dans le cadre professionnel, d'un accès étendu à un système : l'autorisation d'accès ne couvre que l'usage conforme à la mission, et son détournement, même par une personne habilitée, caractérise le maintien frauduleux.

La détention d'un keylogger sans motif légitime

⟦V — Crim., 16 janvier 2018, n° 16-87.168, F-P+B, publié au Bulletin, rejet, ECLI:FR:CCASS:2018:CR03366, Légifrance JURITEXT000036584405⟧. Un médecin contractuel avait installé, sur les ordinateurs de deux confrères titulaires d'un centre hospitalier, un keylogger, dispositif matériel destiné à espionner la frappe du clavier, afin d'intercepter leurs codes d'accès à la messagerie et de prendre connaissance de courriels susceptibles de lui être utiles dans un litige ordinal. La Cour de cassation a confirmé sa condamnation pour accès frauduleux à un système de traitement automatisé de données, atteinte au secret des correspondances électroniques et détention sans motif légitime d'un équipement conçu pour une atteinte frauduleuse à un tel système. Elle a jugé, d'une part, que se rend coupable de l'infraction prévue à l'article 323-1 du code pénal la personne qui, sachant qu'elle n'y est pas autorisée, accède, à l'insu des victimes, à un système de traitement automatisé de données, et, d'autre part, que le motif légitime prévu par l'article 323-3-1 se limite aux personnes habilitées à assurer la maintenance et la sécurité d'un parc informatique agissant dans le cadre de leur mission, à l'exclusion des motifs personnels de défense professionnelle invoqués par le prévenu.

Ces deux décisions, lues ensemble, dessinent un principe constant depuis près de dix ans : ni la légitimité initiale de l'accès ni la légitimité du mobile poursuivi par l'agent n'effacent le caractère frauduleux de l'accès, du maintien ou de la détention, dès lors que l'usage sort du cadre pour lequel l'accès avait été consenti ou que le motif invoqué n'entre pas dans la définition stricte du texte.

Le rançongiciel proprement dit : une combinaison d'infractions

Aucune décision de la chambre criminelle n'a, à ce jour et à la connaissance de ce cabinet, spécifiquement qualifié une attaque par rançongiciel sous l'angle de la seule extorsion ou d'un texte dédié : l'attaque par rançongiciel se poursuit, en pratique, par le cumul des qualifications de ce chapitre, accès ou maintien frauduleux pour l'intrusion initiale, entrave au fonctionnement pour le chiffrement, modification ou suppression de données pour l'exfiltration préalable, détention d'un outil de piratage pour le programme malveillant lui-même, auxquelles s'ajoute fréquemment l'extorsion de l'article 312-1 du code pénal pour la demande de rançon proprement dite, et l'association de malfaiteurs de l'article 450-1 lorsque les faits sont commis en groupe organisé, circonstance qui aggrave chacune des peines de base. Une personne mise en cause dans ce type de dossier doit donc anticiper une architecture de poursuite à plusieurs étages, où chaque qualification appelle sa propre démonstration et sa propre défense, et où l'absence de preuve sur l'un des étages, l'exfiltration par exemple, peut faire tomber une aggravation sans affecter la qualification de base.

Les axes de défense à examiner systématiquement

• La preuve de la connaissance de l'absence d'autorisation, élément intentionnel du délit d'accès frauduleux, qui ne se présume jamais et doit être établie par des faits précis, messages, captures d'écran ou aveux, et non par la seule matérialité de la connexion.

• La délimitation exacte du périmètre de l'autorisation initiale, décisive lorsque le prévenu disposait d'un accès légitime au système : toute la défense se joue alors sur la preuve que l'usage reproché entrait, ou non, dans le cadre de la mission confiée.

• La définition stricte du motif légitime de détention d'un outil de piratage, qui ne s'étend, selon la jurisprudence constante depuis 2018, qu'aux personnes chargées de la sécurité ou de la recherche informatique agissant dans ce cadre, à l'exclusion de tout motif personnel si compréhensible soit-il.

• La régularité de la procédure numérique, saisie des supports, chaîne de conservation des preuves électroniques et respect du contradictoire dans l'expertise technique, terrain sur lequel se jouent fréquemment les nullités les plus solides de cette matière.

• La qualification exacte retenue pour chaque acte matériel du dossier, l'accumulation de qualifications concurrentes sur des faits en réalité indissociables pouvant se heurter au principe selon lequel des faits procédant d'une action unique caractérisée par une seule intention coupable ne peuvent donner lieu à plusieurs déclarations de culpabilité distinctes.

Points clés à retenir

• Les articles 323-1 à 323-3-1 du code pénal répriment quatre délits distincts : l'accès ou le maintien frauduleux, l'entrave au système, la suppression ou modification de données, et la détention d'un outil de piratage sans motif légitime.

• Un accès initialement autorisé, détourné de sa finalité professionnelle, caractérise un maintien frauduleux selon la Cour de cassation, y compris lorsque son auteur est l'administrateur du système.

• Le motif légitime de détention d'un outil de piratage se limite strictement à la recherche et à la sécurité informatique, à l'exclusion de tout motif personnel.

• L'attaque par rançongiciel se poursuit en pratique par le cumul de plusieurs qualifications de ce chapitre, auxquelles s'ajoutent souvent l'extorsion et l'association de malfaiteurs.

• La défense se construit qualification par qualification, la preuve de l'élément intentionnel et la délimitation exacte du périmètre d'autorisation constituant les deux terrains les plus disputés.

Questions fréquentes

Un salarié qui consulte les fichiers de son employeur en dehors de sa mission commet-il un accès frauduleux ?

Il peut être poursuivi pour maintien frauduleux si l'accès, bien qu'initialement autorisé par ses fonctions, est utilisé à des fins étrangères à sa mission et à l'insu du propriétaire des données, selon le principe posé par la Cour de cassation le 2 septembre 2025.

Payer la rançon exposé-je l'entreprise à des poursuites ?

La question du financement indirect d'une entreprise criminelle par le paiement d'une rançon est distincte des articles 323-1 à 323-3-1 et relève d'une analyse séparée, notamment au regard des sanctions internationales éventuellement applicables selon l'origine du groupe cybercriminel. Aucune décision publiée n'a, à ce jour, tranché cette question sous cet angle en droit pénal français.

La simple détention d'un logiciel de sécurité informatique est-elle punissable ?

Non, dès lors que la détention s'exerce dans le cadre d'une mission de recherche ou de sécurité informatique, seul motif légitime reconnu par l'article 323-3-1 du code pénal, tel qu'interprété par la Cour de cassation depuis 2018.

Que risque une entreprise victime qui n'a pas déclaré l'incident à la CNIL ?

Le défaut de notification d'une violation de données personnelles à la CNIL relève du règlement général sur la protection des données et non des articles 323-1 à 323-3-1 du code pénal, mais peut exposer l'entreprise à une sanction administrative distincte, indépendante de toute poursuite pénale contre l'auteur de l'attaque.

Une adresse IP suffit-elle à identifier l'auteur d'une intrusion ?

Non. L'adresse IP identifie un accès, pas nécessairement une personne. Un réseau non sécurisé, un serveur relais ou un compte compromis peuvent expliquer une connexion sans établir la culpabilité de son titulaire, ce que toute défense sérieuse doit vérifier avant d'accepter la version de l'accusation.

Que vous soyez visé par une enquête pour piratage informatique ou victime d'une intrusion, chaque dossier appelle une lecture précise des qualifications retenues et de la chronologie technique des faits. Le cabinet peut être saisi pour examiner votre situation.