Covid 19 : Cybercriminalité un virus peut en cacher un autre

La pandémie COVID‑19 a rendu les individus et les entreprises extrêmement vulnérables à tous égards. En effet, nous n’avons jamais été aussi dépendants des systèmes informatiques, des appareils mobiles et de l'internet pour travailler, communiquer, faire des achats, partager et recevoir des informations; pour briser la solitude et atténuer l'impact de la distanciation sociale.

La crise sanitaire a amplifié de façon exponentielle le recours au télétravail qui constitue désormais une des réponses les mieux appropriée à l’exigence de distanciation sociale recommandé par l’OMS, entre autres mesures, pour rompre la chaîne de progression de la pandémie. Le recours inédit en République du Congo à ce nouveau mode d’exécution du contrat de travail constitue une tendance lourde destinée à perdurer postérieurement à la crise du Coronavirus.

La généralisation du recours télétravail dans les plans de continuation d’activité comme réponse à l’impératif de poursuivre la production en période de confinement a amené de nombreuses entreprises à réviser, dans l’urgence, leur schéma organisationnel sans forcément avoir eu le temps d’adapter en conséquence leur protocole de sécurité informatique. Dans ce contexte exceptionnel le fait d’autoriser des collaborateurs à travailler à distance sur des équipements professionnels et parfois personnels augmente la vulnérabilité des systèmes d’information des entreprises en raison de la circulation d’un flux plus important d’informations critiques.

La cybercriminalité a flairé dans la pandémie du Covid 19 une opportunité. Par cybercriminalité nous entendons l’ensemble infractions pénales tentées ou commises à l’encontre ou au moyen d’un système d’information et de communication, principalement Internet. Depuis le mois de décembre on a assisté une recrudescence des attaques qui constituent désormais un risque majeur pour les entreprises (A) et face auquel les entreprises congolaises et les particuliers sont mal protégé juridiquement (B). Il y a donc urgence à ce que le gouvernement profite de la loi d’habilitation pour combler ce déficit législatif (C).

A.- L’émergence d’un risque de sécurité majeur pour les entreprises

Les attaques cybercriminelles ont explosé de façon affolante depuis le mois de décembre 2019 sur les infrastructures des entreprises. Les cybercriminels profitent notamment du télétravail pour déjouer les systèmes de sécurité informatique des entreprises. Ils ont trouvé dans la pandémie du Covid 19 et la peur qu’elle génère, un nouveau moyen de s’introduire dans les ordinateurs. Les attaques par phishing, rançongiciel se sont multipliés de façon spectaculaire.

Le modus operandi consiste à appâter la cible en lui proposant des informations relatives au coronavirus à travers des mails, avec prospectus pour trouver ou acheter des masques, des gels hydroalcoliques ou tout autres produits en rapport avec la pandémie. Ces mails contiennent généralement des malwares, ces petits programmes espions qui s’installent dès l’ouverture du mail sur l’ordinateur de la cible et permettent au pirate d’en prendre le contrôle.

Les utilisateurs apeurés sont des cibles faciles à l’affût de toute information susceptible d’apaiser leur angoisse. Ils sont prêts à ouvrir tous les mails parlant de Covid 19 ou des remèdes pour en guérir ou les bonnes adresses pour commander des masques ou des gels hydroalcoliques. Ce faisant ils ouvrent la porte aux pirates qui peuvent ainsi prendre le contrôle de leurs ordinateurs et les faire chanter de différentes façons.

Le site spécialisé du conseil de l’Europe a pu recenser dans cette période entre autres exemples d’attaques liées au Covid 19 :

• Des campagnes de phishing et la distribution de logiciels malveillants par le biais de sites web ou de documents apparemment authentiques fournissant des informations ou des conseils sur COVID‑19 qui sont utilisées pour infecter les ordinateurs et extraire les informations d'identification des utilisateurs.

   
• Des campagnes de ransomware. Un ransomware, ou rançongiciel en français, est un logiciel informatique malveillant, prenant en otage les données. Le ransomware chiffre et bloque les fichiers contenus sur l’ordinateur et demande une rançon en échange d'une clé permettant de les déchiffrer. Des ransomware ferment les systèmes d’information des établissements médicaux, scientifiques ou autres établissements de santé où des personnes sont testées pour COVID‑19 ou bien dans les lieux où des vaccins sont mis au point afin d'extorquer une rançon. C’est ce qui s’est passé au CHU de Rouen le 28 février dernier. Des pirates ont pris le contrôle de l’ensemble des données médicales des malades de cet établissement qu’ils ont rendus indisponibles exigeant le paiement d’une rançon pour les rendre à nouveau disponibles.
• Des attaques contre des infrastructures critiques ou des organisations internationales, telles que l'Organisation mondiale de la santé.

• Des ransomware, ciblant les téléphones portables des personnes utilisant des applications, qui prétendent fournir des informations authentiques sur COVID‑19 afin d'extraire des paiements.

• Intrusions dans les systèmes d’information des entreprises ou d'autres organisations, en ciblant les employés qui font du télétravail.

• Les systèmes de fraude dans lesquels des personnes sont amenées par la ruse à acheter des biens tels que des masques, des désinfectants pour les mains, mais aussi de faux médicaments prétendant prévenir ou guérir le SRAS‑CoV‑2.
• La désinformation ou les fausses nouvelles sont répandues au moyen de trolls et de faux comptes médiatiques pour créer la panique, l'instabilité sociale et la méfiance à l'égard des gouvernements ou des mesures prises par leurs autorités sanitaires.

Entre les mois de décembre 2019 et février 2020, les experts de la société Barracuda spécialisée dans le cyber sécurité ont noté une augmentation de 667 % des attaques liés au covid 19. Cette tendance haussière a été confirmée par l’alerte donnée le 20 mars par le FBI, service fédéral de police judiciaire des États‑Unis : « les escrocs exploitent la pandémie du covid 19 pour voler votre argent, vos informations personnelles ou les deux».

Face à cette recrudescence de la cybercriminalité, les autorités judiciaires doivent pouvoir coopérer pleinement, pour détecter, enquêter, attribuer, poursuivre et réprimer ce type de délinquance opportuniste.

Or de ce point de vue, les autorités de poursuite congolaises sont handicapées par l’absence d’un instrument juridique spécifique pour appréhender cette nouvelle criminalité.

2.- La nécessité d’accélérer l’adoption d’un texte sur la lutte contre la cybercriminalité

La cybercriminalité c’est la part d’ombre du progrès des techniques de l’information, et notamment l’intégration des systèmes de télécommunications permettant de stocker et de transmettre n’importe où et n’importe quand des informations quelques soient leur type.

Cette évolution significative a ouvert un vaste champ de possibilités nouvelles. À côté de l’espace terrestre, maritime et aérien, est venu désormais s’ajouter un nouvel espace : le cyberespace. Un espace caractérisé par une certaine transnationalité qui défie les mécanismes traditionnels d’appréhension la souveraineté. Une économie nouvelle fondée sur des échanges supranationaux immédiats a vu le jour.

Mais à côté des usages légitimes de ces nouvelles technologies se sont inévitablement développé des abus. C’est la cybercriminalité.

Face à cette criminalité qui ignore les contraintes géographiques traditionnelle, l’efficacité de la riposte supposait qu’elle s’organise à un niveau équivalent. En effet s’agissant d’un problème mondial, il convenaitt de mettre en place des solutions de niveau mondial par un travail coordonné et des normes minimales obligatoires, les approches nationales isolées sont vouées à l’échec.

La communauté internationale s’est effectivement organisée par la création d’un véritable cyber espace judiciaire. L’harmonisation normative en la matière s’est réalisée à travers des sources majeurs : les Nations unies d’une part et le conseil de l’Europe d’autres part.

Aujourd’hui, il s’est dégagé au niveau international une législation type avec des modèles diffusé par les Nations unies. Le conseil de l’Europe finance actuellement un projet Octopus destiné à aider les états non encore adhérents à la convention relative à la lutte contre la cybercriminalité à mettre à niveau leur législation sur la cybercriminalité, sur la base du modèle fourni par ladite convention.

Cette normalisation a pour but d’éviter que les initiatives locales isolées ne nuisent à l’efficacité de la riposte globale. En effet les exigences de double incrimination et de garantie comparable postule qu’un pays ne prête son concours dans des poursuites engagées contre un individu présent sur son territoire qu’à la condition que l’infraction poursuivie soit incriminée également dans son propre corpus législatif.
Il en est de même pour, les règles de procédure conditionnent la validité des poursuites. Ainsi des preuves informatiques recueillies dans un pays ne peuvent pas être recevable dans un autre si, les conditions de recevabilité ne sont pas les mêmes.

Le modèle de loi type de lutte contre la cybercriminalité proposée par le conseil de l’Europe adopté aujourd’hui par la quasi‑totalité des pays de la planète reposent sur 3 exigences fondamentales : assurer la sécurité des réseaux, garantir la sécurité dans les réseaux, assurer la répression des cyber délits.

Dans notre pays la démarche a été amorcée mais reste inachevée. Il existe en effet, un projet de texte de lutte contre la cybercriminalité qui avait été examiné lors du conseil des ministres du 6 mars 2019 en même temps que les projets de loi relatif aux transactions électroniques, à la création de l’agence nationale de sécurité des systèmes d’information, un projet de loi relative à la protection des données à caractère personnel, le projet de loi relatif à l’accès au service universel de communication électronique.

C.- L’urgence à légiférer

Les projets de lois relatifs à la création de l’ANSSI et à la protection des données personnelles ont été adoptés mais pas celui sur la cybercriminalité.

Il est vrai que ce texte présente, tant sur le plan formel que sur le fond, des faiblesses qu’il va falloir purger en s’appuyant sur ce qui existe déjà. Sur ce plan le Congo peut encore bénéficier de l’appui technique et des financements du conseil de l’Europe à travers le projet Octopus qui prendra fin en décembre 2020.

À côté d’un éventuel projet d’ordonnance sur le télétravail dont l’urgence est incontestablement avérée le gouvernement va devoir programmer également un projet d’ordonnance portant prévention et lutte contre le cybercrime pour assurer la sécurité des usagers sur les inforoutes de l’information. C’est une question de survie pour nos entreprises.