Cybercriminalité (suite )

La cybercriminalité n’est pas virtuelle

Mais enfin, qu’est-ce que la cybercriminalité? Et tout d’abord, qu’est-ce que le cyberespace? Le terme a été inventé par l’auteur de science-fiction William Gibson en 1982, et appliqué à Internet par Howard Rheingold, de sorte qu’il a fini par désigner cette nouvelle infrastructure de communication. Toutefois, nous oublions parfois que le cyberespace n’a pas d’existence réelle. Concrètement, il existe un réseau, et de nombreux serveurs et équipements divers, mais les communications sur Internet semblent éphémères et insaisissables, et dans l’esprit du public, c’est la gestalt qui agit. Ceci s’explique peut-être par la fragilité de la relation entre l’individu moyen et son ordinateur ou son logiciel de courrier électronique. Qui n’a jamais perdu un document parce qu’il avait oublié de l’enregistrer, ou n’a jamais eu à déplorer la disparition de son agenda et de son courrier électronique? En réalité, un fin limier armé des bons outils peut retrouver et exhumer presque tout, parce que contrairement au monde analogique, le monde numérique laisse des traces pour chaque bit d’information et chaque octet envoyé. Ces outils et compétences ne sont pas à la portée de l’utilisateur de base, ce qui explique pourquoi la notion de cyberspace, une sorte d’hyperespace magique depuis lequel les informations vont et viennent, semble parfaitement convenir.

Au moment de commencer à rédiger le projet de Convention sur la Cybercriminalité, la plupart des organismes chargés de l’application de la loi accusaient aussi un certain retard technologique. Ils ignoraient comment enquêter, comment saisir des preuves sur des ordinateurs sans les contaminer, comment préserver l’intégrité des données dans le cas où leur propriétaire aurait envoyé une commande kill à distance pour les détruire, comment remonter jusqu’aux auteurs d’un message, notamment s’agissant de messages cryptés ou utilisant un anonymiseur. Il s’agit là de problèmes complexes, et le travail des organismes chargés de l’application de la loi se résumait à l’origine à tenter de ralentir la cadence et attirer l’attention sur leurs propres besoins en moyens pour s’attaquer à un nouveau problème. Comme il est souvent plus facile d’obtenir de nouveaux moyens pour combattre un nouveau problème plutôt que l’intensification d’un problème ancien, il n’est pas étonnant que de nouveaux termes aient été créés. Toutefois, on peut s’interroger sur l’utilité du terme « cybercriminalité », et il peut s’avérer trompeur. Les crimes se produisent en effet dans le monde réel, et impliquent généralement des personnes et de l’argent tout aussi réels. Il est important de se concentrer sur cet aspect du problème plutôt que sur les aspects plus éphémères comme les techniques d’envoi des communications.

                             

La « cybercriminalité » se caractérise par trois aspects

Tout d’abord, il y a le nouveau crime consistant à pirater, s’introduire ou espionner les systèmes informatiques d’autres personnes ou organisations. Les opinions divergeaient quant à savoir si le simple fait de regarder était un crime, d’autant que les tout premiers « bidouilleurs » (hackers)[2] détectaient souvent des brèches dans la sécurité des systèmes et avaient le sentiment d’être des citoyens tout à fait respectables en les signalant. Cela n’a de tout évidence rien à voir avec le fait de pénétrer dans un système dans un but criminel.

Ensuite, il y a les cas dans lesquels le crime est ancien mais le système est nouveau, comme dans le cas des tentatives d’escroquerie par internet. Les arnaques commerciales existent depuis toujours, les arnaques téléphoniques depuis des décennies, et nous avons aujourd’hui les arnaques par internet. Il en va de même pour la pornographie et le non-respect du copyright.

Le troisième aspect concerne l’enquête, dans laquelle l’ordinateur sert de réservoir de preuves, indispensables pour que les poursuites engagées dans le cadre de n’importe quel crime aboutissent. Ce qui autrefois était consigné sur le papier a toutes les chances d’être aujourd’hui consigné sous forme numérique, et peut être détruit ou chiffré à distance.

Le chien policier doté d’un bon flair semble habiter un univers parallèle... Il peut vivre avec nous et marcher dans la même rue que nous, mais il ressent les choses d’une manière complètement différente de celle d’un humain et vit dans un monde riche en informations de type chimique. L’homme a désormais construit un monde où les puces de silicium génèrent de nouvelles informations, les envoient autour du monde dans des flux électroniques numériques, et nous sommes incapables de les détecter sans l’aide des ordinateurs. Néanmoins, ce monde numérique parallèle existe, et les bits numériques constituent un nouveau type de preuves. Les bits numériques représentent aussi un nouveau type de danger pour l’individu, parce qu’une personne capable de manipuler les preuves numériques peut créer un nouveau personnage numérique, ou persona. Il s’agit d’un quatrième type de crime, plus subtil que les autres, et que l’on connaît mieux sous le nom d’usurpation d’identité. Si cette tendance persiste, « cybercriminalité » pourrait bien devenir un terme utile pour décrire les infractions commises contre la persona numérique.

La persona numérique

Qu’appelle-t-on « persona numérique », et s’agit-il d’un terme utile? L’expression est employée depuis au moins une dizaine d’années, pour désigner l’impression qu’une personne laisse sur Internet. Le Dr. Roger Clarke l’a très bien expliqué dans le résumé d’un article consacré à ce sujet. [3]

La persona numérique correspond au profil d’un individu établi par la collecte, le stockage et l’analyse des données informatiques lui correspondant. Il s’agit d’un concept très utile et même d’un concept nécessaire pour arriver à comprendre le comportement du nouveau monde en réseau. Cet article présente la notion, retrouve ses origines et apporte des exemples de son application. Nous pensons que cette notion permettra de comprendre, ou de mieux comprendre, de nombreux aspects du comportement du réseau.

La persona numérique est aussi un phénomène potentiellement menaçant, dégradant, voire socialement dangereux. Sa dangerosité potentielle réclame une attention particulière dans le domaine de la surveillance des données informatiques, c’est-à-dire l’observation des personnes au moyen de leurs données personnelles. La surveillance des données informatiques constitue un moyen économiquement efficace pour contrôler le comportement des individus et des sociétés. La manière dont la persona numérique participe à la compréhension de techniques particulières de « dataveillance » comme la classification et le profilage par ordinateur fait débat, et nous mettrons en évidence les risques propres à une observation des personae numériques.

Onze ans plus tard, nous avons progressé jusqu’à un point dérangeant annoncé dans l’article. Clarke identifie la persona numérique comme une construction, utile pour comprendre l’ombre que nous projetons dans le monde numérique du cyberespace, et il établit la distinction entre personae passives, actives et autonomes :

La persona numérique est un modèle de la personnalité publique d’un individu basé sur des données informatiques et entretenu par des transactions, et visant à servir de personnalité par procuration à cet individu.

Utiles pour construire l’identité des individus dans le but de s’adresser à eux (les adresses électroniques, par exemple) ou de les identifier comme personnes autorisées à réaliser certaines actions (payer des factures en ligne, préparer un voyage), les bits dessinent rapidement un ensemble d’habitudes et une personnalité aussi réelles que l’être humain qui se cache derrière. Les gouvernements et les entreprises les utilisent désormais pour « connaître leurs clients » et l’on fait quasiment plus confiance aux preuves électroniques et personae numériques qu’aux individus eux-mêmes.

Toutefois, des faiblesses dans la sécurité montrent de plus en plus que cette confiance est peut-être mal placée. Le « hameçonnage » (phishing) [4] et les attaques de pharming, ou la mystification de courrier électronique et de sites web, convainquent les personnes de donner des informations personnelles par internet, et les fraudeurs utilisent ensuite ces informations pour faire croire à un commerçant, un gouvernement, ou une banque qu’ils sont la vraie personne. Les voleurs poussent parfois plus loin la complexité du monde actuel, et il arrive qu’ils amalgament différents groupes de données informatiques pour créer des personnes fictives mais paraissant réelles.

N’importe-où dans le cyberespace, un nombre incalculable de ces personnages fictifs pourrait sévir, généralement avec des intentions criminelles, mais pas toujours. Les représentants des forces de l’ordre se font passer pour des enfants dans des salons de clavardage dans le but d’arrêter les pédophiles potentiels. Des clients fantômes testent les services à la clientèle. Des ¬adultes du monde entier se créent des personae sur les sites de rencontres par internet, pour cacher leur véritable identité jusqu’à ce qu’ils aient suffisamment confiance en les inconnus avec qui ils parlent.

Alors que nous nous acheminons vers un monde où la surveillance numérique des êtres humains se développe de manière exponentielle, il faut nous demander où nous allons. Bientôt, les puces d’identification par radio-fréquence (puces RFID) de nos vêtements et de nos cartes d’identité communiqueront avec notre environnement, et des émetteurs intégrés suivront nos moindres mouvements. Si quelqu’un réussit à imiter ces indices, un être humain réel pourra se retrouver confronté devant les tribunaux à une persona numérique, construite avec soin à l’insu de l’individu concerné. Les tentatives pour établir le rapport entre ces indices et l’individu par la biométrie peuvent aider à résoudre le problème, ou bien l’empirer. Les spécialistes des libertés civiques s’inquiètent de l’omniprésence des lecteurs biométriques dans notre vie quotidienne, affirmant qu’ils ne sont pas fiables et produisent beaucoup trop de faux positifs et de faux négatifs. Une expérience récente consistant à relever des empreintes digitales et à les reproduire sur de faux doigts moulés à partir d’oursons en gélatine a confirmé qu’il était possible de duper les lecteurs d’empreintes digitales, mais elle n’a pas réussi à ralentir l’installation des systèmes [5].