La criminalité « électronique » s'est accrue au point qu'aucune entreprise ne peut s'en prétendre à l'abri. Les mobiles guidant les criminels, qui vont de l'espionnage économique et industriel au détournement de fonds en passant par le rançonnage et la contrefaçon, s'accompagnent d'une complexification des attaques liant la technologie et le « social engineering ».

Mais quand la criminalité électronique touche au secret des affaires, les entreprises sont souvent amenées à constater que l'arsenal juridique français n'est pas suffisamment adapté. Face à la nécessité de réprimer ces atteintes en forte croissance (environ 250 pour la seule année 2011), une proposition de loi introduisant dans le Code pénal le délit de violation du secret des affaires a été adoptée par l'Assemblée nationale en première lecture le 23 janvier 2012. Malgré les critiques liées notamment au caractère imprécis de la définition du « secret des affaires », ce texte constitue une avancée juridique incontestable incitant les entreprises à mieux protéger leurs informations stratégiques.

Des escroqueries multiples

D'autant plus que l'imagination des cyberdélinquants est féconde. En effet, les pratiques criminelles les plus en vogue comprennent les escroqueries aux faux ordres de virement impliquant la remise de biens ou services, l'usurpation de l'identité tant des clients que des dirigeants d'entreprise, le vol de données, notamment à caractère personnel, et le recel. Un des scénarios classiques consiste à adresser à la direction financière d'une société un e-mail sous la signature de son président, accompagné de factures et contenant des instructions fermes de procéder à leur règlement immédiat. Malgré la mise en place de procédures dites de « compliance », un nombre considérable de sociétés n'ont pas reconnu le piège, et les fonds qu'elles ont transférés suite aux agissements frauduleux sur les comptes bancaires situés dans des établissements de renom sont aussitôt partis à destination de banques situées en Asie ou en Amérique latine.

Face à ces atteintes, la loi française permet de riposter sur le terrain du vol, de l'abus de confiance, de l'usurpation d'identité, de la violation du secret professionnel, de la contrefaçon, de la révélation d'un secret de fabrique, de l'atteinte à un système de traitement automatisé de données, etc. Mais le problème réside plutôt dans le choix de la stratégie la plus appropriée pour mettre fin aux attaques. L'entreprise doit notamment apprécier l'opportunité du dépôt d'une plainte pénale, une démarche que les professionnels déconseillent parfois à leur client en raison de la longueur de la procédure, de son coût, de l'absence de garantie de réparation du préjudice et surtout des éventuelles répercussions d'une action judiciaire, par hypothèse publique, sur l'image de l'entreprise.

La voie pénale ne doit pourtant pas être sous-estimée car, au-delà de sa finalité indemnitaire, le dépôt d'une plainte témoigne de la volonté de l'entreprise de ne pas tolérer les attaques et constitue un message fort adressé tant aux salariés et aux clients de celle-ci qu'aux auteurs des délits. De plus, même dans les cas où le dommage causé paraît irréparable, par exemple, en présence d'un auteur introuvable ou insolvable, l'action judiciaire a l'avantage de permettre non seulement de geler, voire de recouvrir les fonds en partie ou en totalité, mais aussi et surtout de remonter les bénéficiaires, les réseaux criminels, et de limiter ainsi la propagation et l'amplification du dommage. A cet égard, les capacités d'investigation de l'Etat, qui comprennent notamment un réseau d'officiers de police judiciaire certifiés « nouvelles technologies », des magistrats spécialisés et l'accès à des moyens de la Défense nationale, ne sont pas négligeables.