Face à une cybercriminalité sans frontières, la justice change de méthode
« On n’a aucun dossier “national”, c’est une certitude. Même quand c’est un Français qui attaque une société française, il va utiliser un serveur allemand. » Ce constat d’Aurélien Brouillet, substitut du procureur à la section cybercriminalité (J3) du parquet de Paris, illustre les défis auxquels la justice pénale doit faire face : des institutions bâties sur la souveraineté territoriale confrontées à une criminalité sans frontières.
Le crime sans scène de crime
« Quand on pense à une scène de crime de meurtre en France, la victime est en France, l’auteur probablement aussi, et l’ensemble des preuves très probablement également. En matière de cybercriminalité, il est rare qu’à part la victime, on ait un élément qui soit en France », décrit Sophie Gschwind, magistrate au bureau français d’Eurojust, où elle préside le groupe de travail sur la cybercriminalité. Les enquêteurs français manquent de compétence pour collecter des preuves à l’étranger, ce qui nécessite de passer par des mécanismes d’entraide souvent lourds. Cela s’avère particulièrement problématique face à des infrastructures d’attaque éphémères.
Sur le dossier d’interception de communications chiffrées Sky ECC, vingt enquêteurs de différents États travaillent depuis cinq ans, mais seulement 60 % des données ont été exploitées à ce jour.
Pour répondre à ces défis, les investigations d’ampleur sont désormais centralisées au parquet de Paris. Une même souche de ransomware touchant une entreprise à Dijon et une brasserie à Lille ne peut pas donner lieu à deux procédures distinctes : « On ne peut pas faire deux procédures distinctes alors qu’on a le même groupe criminel », souligne Aurélien Brouillet. La section J3 a ainsi vu son effectif passer de deux à six magistrats en quelques années.
Viser l’infrastructure, faute de pouvoir atteindre les hommes
« Depuis l’agression en Ukraine, la coopération avec la Russie est complètement bloquée », constate Sophie Gschwind. Le schéma classique de l’enquête, qui part de la plainte d’une victime pour remonter vers un auteur, montre ses limites face à des serveurs volatils et des VPN non coopératifs.
Les autorités judiciaires ont donc inversé leur approche : plutôt que de rechercher des individus, elles ciblent les infrastructures. L’opération Endgame, qui mobilise une dizaine de pays depuis 2024, vise les outils d’accès initial, tandis que des enquêtes similaires s’attaquent aux infrastructures des groupes criminels. Eurojust évoque des « enquêtes chapeau » pour identifier d’abord les acteurs au sein des outils, puis rattacher les plaintes.
Bloquer les flux financiers, deuxième point de pression
Les cybercriminels dépendent également des crypto-actifs, utilisés pour les rançons et blanchis via des plateformes d’échange. La justice française a désormais la capacité de saisir des crypto-actifs avant tout jugement grâce à l’AGRASC, l’agence de gestion des avoirs saisis. « Quand on touche au porte-monnaie, c’est assez intéressant », observe Myriam Quemener.
La logique de démantèlement se retrouve dans l’approche de J3, qui préfère s’attaquer aux structures dédiées au blanchiment de fonds plutôt que de suivre les flux jusqu’à des opérateurs peu coopératifs. Cependant, l’analyse des flux repose sur des outils privés dont le fonctionnement doit être justifiable devant un tribunal, ce qui souligne une fragilité dans le cadre légal.
La question des moyens reste cruciale. Les intervenants plaident pour un partenariat public-privé concret, où les entreprises pourraient signaler les nouvelles tendances criminelles à une justice souvent dépassée. Aurélien Brouillet réclame également des enquêteurs formés dans un domaine où les compétences se périment rapidement.
La doctrine semble se mettre en place, mais son application dépendra d’arbitrages budgétaires et de considérations géopolitiques qui dépassent le cadre numérique.
Source : INCYBER NEWS
