Tweeter

Cour d’appel de Bordeaux 3ème chambre correctionnelle Arrêt du 15 novembre 2011

Ministère public / Cédric M.

déni de service - élément intentionnel - élément matériel - fraude informatique - preuve - système de traitement automatisé de données

PROCÉDURE

La saisine du tribunal et la prévention

M. Cédric a été avisé de la date d’audience par procès-verbal de convocation en justice délivré par officier de police judiciaire en date du 27 septembre 2010 sur instruction de monsieur le procureur de la République, en application de l’article 390-1 du Code de procédure pénale.

Il est prévenu d’avoir à Bordeaux (33) et en tous cas sur le territoire national, le 20 juillet 2010, et depuis temps n’emportant pas prescription, volontairement entravé le fonctionnement d’un système de traitement automatisé de données en l’espèce le serveur informatique de la société C-Discount, site : www.lecomptoirsante.com.

infraction prévue par l’article 323-2 du Code pénal et réprimée par les articles 323-2, 323-5 du Code pénal.

Le jugement

Le tribunal, par jugement contradictoire en date du 20 janvier 2011, a renvoyé M. Cédric des fins de la poursuite.

L’appel

Par acte reçu au greffe du tribunal correctionnel de Bordeaux, appel a été interjeté par le procureur de la République, le 21 janvier 2011, contre monsieur M. Cédric.

[…]

MOTIVATION

A la suite du jugement contradictoire du 20-1-2011 du tribunal correctionnel de Bordeaux, l’appel principal du ministère public est recevable, pour avoir été régularisé, le 21-1-2011, dans les formes et délais de la loi.

Cédric M., prévenu, cité le 9-6-2011 à personne, a comparu assisté de son conseil.
Il sera statué à son égard par décision contradictoire.

Le ministère public requiert la réformation de la décision déférée et la condamnation à une amende.

Maître Lasserre, assistant le prévenu, soutient ses conclusions tendant à la relaxe de Cédric M., la preuve de l’entrave ou action de fausser le fonctionnement du site de C-Discount n’étant pas rapportée, en l’absence d’élément matériel, les actes n’ayant pas abouti à entraver ou fausser le fonctionnement du site, et d’élément moral, Cédric M. n’ayant pas eu l’intention d’y procéder.

Le 21-7-2010, le responsable de la sécurité informatique du groupe C-Discount déposait plainte pour des faits commis au préjudice du site internet www.lecomptoirsante.com, propriété de sa filiale 3W, spécialisée dans le commerce de produits de parapharmacie.

Ces faits, commis le 20-7-2010 entre 19h02 et 21h12, avaient consisté en 1569 connexions en trois fois au site internet ayant, selon la plainte, ralenti puis bloqué le serveur du site, entraînant un préjudice de 2500 / 3000 € de manque gagner.

Les connexions provenaient de 4 adresses informatiques IP, dont une adresse IP attribuée à Cédric M. et 3 adresses IP attribuée au serveur d’une société Leasweb, avec utilisation d’un logiciel VPN masquant l’adresse IP personnelle lors des connexions.

Mais, les connexions à ces 3 adresses IP provenaient de la même adresse IP personnelle de Cédric M. à laquelle étaient connectés 2 ordinateurs : un PC et un MAC.

Cédric M., lui même créateur de sites concurrents, reconnaissait être l’auteur de ces connexions, précisant n’avoir pas mesuré les conséquences de son acte de recherche d’informations, et avoir utilisé un logiciel VPN dont il ne maîtrisait pas le fonctionnement quant à sa fonction de recherche répétitive.

Le 23-9-2010, le responsable de la sécurité informatique du groupe C-Discount déposait plainte pour des faits identiques commis entre le 15 à 21h14 et le 19-9-2010 à 0h37, faits niés par Cédric M.

Avant l’audience du tribunal, C-Discount renonçait à se constituer partie civile.
Cédric M. était relaxé par le tribunal ; le ministère public relevait appel.

DISCUSSION

Sur l’action publique

– Sur la culpabilité

Répondant aux observations du prévenu pendant l’enquête, comme, assisté, devant le tribunal, ainsi qu’à ses conclusions, par des énonciations suffisantes, auxquelles il y a lieu de se référer expressément et par des motifs qui doivent être adoptés, le tribunal a exactement analysé les faits poursuivis et les éléments constitutifs de l’infraction prévue et réprimée par les dispositions de l’article 323-2 du Code pénal, objet de la prévention, en procédant à une appréciation des éléments de preuve qui doit être approuvée, éléments de preuve insuffisants dont les débats d’appel n’ont aucunement modifié la nature.

Les motifs adoptés doivent être ainsi complétés à la suite des débats devant la cour.

La plaignante, C-Discount, N° 1 français des sociétés de vente en ligne, non seulement ne s’est pas constituée partie civile, mais surtout n’a pas déposé les informations et documents essentiels établissant les affirmations et éléments de sa plainte, notamment en ce qui concerne les rapports statutaires entre les sociétés C-Discount et 3W, et le site internet www.lecomptoirsante.com, le principe du préjudice et son importance, l’état et l’évolution de la charge du serveur et de son temps de travail lors de la période dénoncée, les capacités informatiques du serveur abritant le site par rapport au nombre et à la durée des connexions de Cédric M., la cause de la perturbation du site invoquée par la plaignante, les moyens mis en œuvre afin d’y remédier.

L’enquête n’a pas plus apporté d’éléments sur ces points.

En revanche, le prévenu fournît une explication argumentée et documentée, concernant la concurrence entre les sociétés concernées et ses rapports avec C-Discount, susceptible d’expliquer ses agissements mais également ceux de C-Discount, explication qui n’est mise à mal par aucun élément de la procédure.

Ainsi, la preuve n’est pas rapportée d’une attaque DoS par déni de service, soit d’une entrave, d’une action de fausser le fonctionnement du site, et d’un impact majeur ou même d’une perturbation sensible sur le site de la victime du fait des agissements du prévenu.

En effet, la conséquence de ces connexions attribuables à Cédric M. sur le site de la victime, soit l’augmentation de la charge du serveur et du temps de réponse ou l’impossibilité d’accéder au site, ne repose que sur les seules affirmations initiales non argumentées et non établies du plaignant.

En revanche, le prévenu fait valoir que le nombre de connexions qu’il a généré durant un temps limité, par un système robotisé, et ses moyens informatiques personnels employés, sont dérisoires par rapport aux capacités informatiques du site, du serveur et de la plaignante, et se fonde pour ce dire sur l’étude réalisée par un expert en informatique le 29-11-2010 qui précise que le trafic sur le site peut être évalué à 16 000 requêtes / heure, et qu’une attaque efficace devrait être de 80 000 requêtes / heure pendant plusieurs heures à partir de nombreux ordinateurs.

De même, la preuve n’est pas rapportée d’une intention d’entraver ou fausser le fonctionnement du site.

En effet, Cédric M. titulaire d’un DUT de génie électrique et informatique industrielle, et travaillant dans des sociétés créant et suivant des sites internet et conseillant en systèmes et logiciels informatiques, avait certes les compétences pour commettre les faits et l’infraction reprochés, mais aussi celles lui permettant de savoir que les moyens utilisés en nombre d’ordinateurs et de connexions comme de logiciel limitant et espaçant les connexions étaient insuffisants au regard des capacités informatiques de la victime, et alors qu’il a aussi utilisé son adresse personnelle qu’il savait être un identifiant direct.

De plus, Cédric M. fournit une explication à ses agissements, la veille concurrentielle, mais également à ceux de C-Discount, qui n’est mise à mal par aucun élément de la procédure.

Ainsi, les éléments constitutifs matériel et intentionnel de la prévention ne sont pas établis, et le prévenu doit être renvoyé des fins de la poursuite.

En conséquence, le jugement déféré doit être confirmé.

DECISION

. Confirme le jugement déféré.

La cour : Mme O’Yl (présidente), MM. Minvielle et Le Roux (conseillers)

Avocats : Me Daniel Lasserre, Me Gérard Haas

Notre présentation de la décision