Cybercriminalité : infractions, peines et jurisprudence
Un administrateur qui ouvre une simple passerelle de discussion sur internet peut-il être condamné pour une cyberattaque qu'il n'a pas lancée lui-même ? La Cour de cassation a répondu oui en 2017, à propos d'attaques par déni de service menées par le collectif Anonymous contre un grand énergéticien. Cette affaire résume à elle seule la logique du droit français de la cybercriminalité : on ne punit pas seulement celui qui frappe, mais aussi celui qui prépare, facilite ou fournit l'outil.
La cybercriminalité désigne l'ensemble des infractions pénales commises contre un système informatique ou au moyen d'un réseau numérique. En France, 453 200 atteintes numériques ont été enregistrées en 2025, soit une hausse de 87 % en cinq ans, selon le dernier rapport du ministère de l'Intérieur. Les principales infractions figurent aux articles 323-1 et suivants du code pénal, punies de trois à dix ans d'emprisonnement selon la gravité des faits.
Cet article fait le point sur la définition juridique de la cybercriminalité, détaille les infractions et les peines prévues par le code pénal, puis revient sur les décisions qui ont fixé leur portée. Il s'adresse aux victimes, particuliers comme entreprises, mais aussi aux professionnels de l'informatique qui veulent savoir où passe la ligne rouge.
Cybercriminalité : ce que recouvre la notion en droit
Une définition de la cybercriminalité en deux familles
Le code pénal ne contient aucune définition générale de la cybercriminalité. Le mot sert de bannière à deux familles d'infractions très différentes. La première vise les atteintes aux systèmes eux-mêmes : intrusion, sabotage, vol ou altération de données. La seconde regroupe des infractions classiques que le numérique rend plus faciles ou plus massives, comme l'escroquerie par hameçonnage, l'usurpation d'identité, le harcèlement en ligne ou les trafics sur des places de marché clandestines. Dans le premier cas, l'ordinateur est la cible ; dans le second, il n'est que l'outil. Cette approche pénale complète la logique préventive de la cybersécurité, qui cherche à empêcher l'attaque plutôt qu'à la punir.
Cette distinction a des conséquences concrètes sur la qualification retenue par le parquet. Un rançongiciel qui chiffre les serveurs d'un hôpital relève à la fois de l'entrave au fonctionnement d'un système, de l'altération de données et de l'extorsion. Les poursuites cumulent alors souvent plusieurs textes, ce qui alourdit la peine encourue.
Le STAD, notion pivot de la cybercriminalité
Le cœur du dispositif repose sur une notion que la loi ne définit pas : le système de traitement automatisé de données, ou STAD. Introduite par la loi Godfrain du 5 janvier 1988, elle a été volontairement laissée ouverte pour suivre l'évolution des technologies. Les juges y rangent un site internet, une messagerie, un réseau d'entreprise, un téléphone, un objet connecté ou un service en nuage. Cette souplesse explique que des textes vieux de près de quarante ans s'appliquent encore aux attaques les plus récentes.
Un cadre international pour une cybercriminalité sans frontières
Parce qu'un attaquant peut viser Lyon depuis un serveur loué à l'autre bout du monde, la lutte contre la cybercriminalité passe par la coopération entre États. La France a ratifié la Convention de Budapest du Conseil de l'Europe, signée le 23 novembre 2001, qui harmonise les infractions et organise l'entraide pour la conservation et la transmission des preuves numériques. Un second texte, la Convention des Nations unies contre la cybercriminalité, a été ouvert à la signature à Hanoï le 25 octobre 2025. Il reste ouvert à la signature jusqu'au 31 décembre 2026 et n'entrera en vigueur qu'après quarante ratifications. Des organisations de défense des libertés et des entreprises du numérique lui reprochent des garanties insuffisantes en matière de droits fondamentaux.
La cybercriminalité en chiffres en 2026
Le rapport annuel sur la cybercriminalité 2026, publié fin avril par le Commandement du ministère de l'Intérieur dans le cyberespace (COMCYBER-MI), dresse un constat sans ambiguïté. Sur les 453 200 atteintes numériques enregistrées en 2025, 61,9 % visent les biens, 33 % les personnes, et 17 600 concernent directement des atteintes aux systèmes d'information. Le rapport recense aussi 1 347 revendications de cyberattaques visant la France, contre 1 062 l'année précédente, et 177 revendications de rançongiciels, en hausse de 36 %.
La tendance la plus marquante tient au poids du hacktivisme. Les attaques par déni de service distribué représentent 89,2 % des revendications hacktivistes en 2025, et 78 % de ces revendications font référence à la guerre en Ukraine. Les collectivités territoriales, les transports et l'énergie sont les premières cibles de ces opérations de saturation, souvent menées par des groupes pro-russes comme NoName057(16). Ces chiffres ne mesurent toutefois que les faits signalés : une large part de la cybercriminalité ne fait jamais l'objet d'une plainte.
Cybercriminalité : les infractions et les peines du code pénal
L'accès et le maintien frauduleux, porte d'entrée de la cybercriminalité
L'article 323-1 du code pénal punit le fait d'accéder ou de se maintenir frauduleusement dans tout ou partie d'un système informatique de trois ans d'emprisonnement et de 100 000 euros d'amende. La peine monte à cinq ans et 150 000 euros lorsque l'intrusion a supprimé ou modifié des données, ou perturbé le système. Ces montants résultent de la loi d'orientation et de programmation du ministère de l'Intérieur du 24 janvier 2023, dite LOPMI, qui a relevé l'ensemble de l'échelle des peines.
Le texte vise deux comportements distincts. L'accès suppose de pénétrer dans un système sans en avoir le droit. Le maintien vise celui qui, entré par hasard ou avec une autorisation limitée, reste dans le système en sachant qu'il n'y a pas sa place. L'absence de mot de passe ou une faille de sécurité ne rend donc pas l'intrusion licite, comme l'a rappelé la Cour de cassation à plusieurs reprises.
Entrave, données et outils : le cœur des infractions de cybercriminalité
L'article 323-2 réprime le fait d'entraver ou de fausser le fonctionnement d'un système de cinq ans d'emprisonnement et de 150 000 euros d'amende. C'est la qualification type des attaques par déni de service distribué, qui saturent un serveur de requêtes jusqu'à le rendre inaccessible, et des rançongiciels qui paralysent un réseau. L'article 323-3 punit des mêmes peines l'introduction, l'extraction, la copie, la modification ou la suppression frauduleuse de données, ce qui couvre le vol d'une base clients comme l'effacement de sauvegardes.
Le législateur a aussi voulu frapper en amont. L'article 323-3-1 punit le fait, sans motif légitime, de détenir, céder ou mettre à disposition un programme ou un équipement conçu pour commettre ces infractions. Le motif légitime protège les chercheurs en sécurité et les auditeurs qui manipulent ces outils dans un cadre autorisé, à condition de pouvoir le justifier par un contrat ou une mission. L'article 323-4 réprime enfin la participation à un groupement ou à une entente formée en vue de préparer l'une de ces infractions, avec les peines prévues pour l'infraction elle-même. La tentative est punie comme l'infraction consommée, en vertu de l'article 323-7.
| Infraction | Exemple | Texte | Peine encourue |
|---|---|---|---|
| Accès ou maintien frauduleux | Se connecter au compte d'autrui, rester dans un espace non autorisé | Art. 323-1 al. 1 C. pén. | 3 ans et 100 000 € |
| Accès frauduleux avec dommage | Intrusion ayant supprimé des données ou perturbé le système | Art. 323-1 al. 2 C. pén. | 5 ans et 150 000 € |
| Entrave au fonctionnement | Attaque par déni de service, rançongiciel bloquant un réseau | Art. 323-2 C. pén. | 5 ans et 150 000 € |
| Atteinte aux données | Vol, copie, modification ou suppression de fichiers | Art. 323-3 C. pén. | 5 ans et 150 000 € |
| Détention ou diffusion d'outils malveillants | Vendre un logiciel espion ou un kit d'hameçonnage | Art. 323-3-1 C. pén. | Peines de l'infraction préparée |
| Participation à une entente | Préparer une attaque à plusieurs, fournir un relais technique | Art. 323-4 C. pén. | Peines de l'infraction préparée |
| Système de l'État visé | Intrusion dans un fichier public de données personnelles | Art. 323-1 à 323-3 C. pén. | Jusqu'à 7 ans et 300 000 € |
| Bande organisée | Groupe structuré de rançongiciel | Art. 323-4-1 C. pén. | Jusqu'à 10 ans |
Circonstances aggravantes et nouvelles infractions de cybercriminalité
Les peines sont portées à sept ans d'emprisonnement et 300 000 euros d'amende lorsque l'attaque vise un système de données personnelles mis en œuvre par l'État. La commission en bande organisée fait encourir jusqu'à dix ans d'emprisonnement. La LOPMI a ajouté une aggravation lorsque l'attaque expose autrui à un danger, par exemple en paralysant un établissement de santé ou les secours. L'ensemble de ces textes est consultable dans la section du code pénal consacrée aux atteintes aux systèmes de traitement automatisé de données.
La même loi a créé l'article 323-3-2, qui vise les opérateurs de plateformes en ligne réservées aux utilisateurs de techniques d'anonymisation et permettant sciemment la vente de produits ou de services manifestement illicites. Ce délit cible directement les places de marché du darknet, où s'échangent stupéfiants, données volées et kits d'attaque. Le parquet de Paris s'en est déjà saisi en 2025 pour enquêter sur une plateforme de diffusion en direct, preuve que le texte dépasse le seul darknet.
Les personnes morales face à la cybercriminalité
Une entreprise peut elle aussi être déclarée pénalement responsable, avec une amende pouvant atteindre cinq fois celle prévue pour les personnes physiques. L'article 323-6 du code pénal le prévoit expressément. Dans l'autre sens, l'entreprise victime reste tenue de sécuriser ses systèmes : l'article 32 du RGPD lui impose des mesures techniques et organisationnelles adaptées au risque, et une négligence grave peut lui valoir une sanction de la CNIL, même si l'attaquant est seul responsable pénalement de l'intrusion.
Cybercriminalité : ce que jugent les tribunaux et comment réagir
L'affaire Anonymous : la cybercriminalité par l'entente
En avril 2011, le site d'un grand distributeur d'énergie est visé par des attaques par déni de service revendiquées par Anonymous dans le cadre de l'opération « Greenrights ». L'enquête remonte jusqu'à un administrateur qui proposait une passerelle WebIRC, un service permettant d'accéder à des salons de discussion sans logiciel dédié. Parmi ces salons figurait le canal où le collectif organisait ses opérations, et l'administrateur y disposait du statut de semi-opérateur.
Relaxé en première instance par le tribunal correctionnel de Paris en 2014, il est condamné en appel le 30 juin 2016 à deux mois d'emprisonnement avec sursis et mise à l'épreuve pour participation à une entente en vue de préparer une entrave au fonctionnement d'un système. La chambre criminelle de la Cour de cassation rejette son pourvoi le 7 novembre 2017 (n° 16-84.918, publié au Bulletin). Elle juge que la mise à disposition de la passerelle constitue un acte préparatoire, que le statut de semi-opérateur caractérise une participation active, et que l'intention se déduit de la connaissance de la cible et des méthodes du collectif. Les membres d'Anonymous n'ont jamais été identifiés, ce qui n'a pas empêché de retenir une entente avec eux.
La solution a été jugée sévère par une partie de la doctrine, car seul le fournisseur du relais technique a été sanctionné. Elle livre pourtant un enseignement clair : celui qui facilite sciemment l'accès à une opération de cybercriminalité ne peut pas se retrancher derrière la neutralité de son outil.
L'arrêt Bluetouff : rester dans un système suffit
Le 20 mai 2015, la chambre criminelle a confirmé la condamnation d'un internaute qui avait téléchargé des documents d'une agence sanitaire après les avoir trouvés grâce à un moteur de recherche (n° 14-81.336). L'accès n'était pas frauduleux, puisque les fichiers étaient accessibles sans protection. Mais l'internaute avait constaté la présence d'un contrôle d'accès sur la page d'accueil et s'était pourtant maintenu dans le système pour récupérer les données. Cette décision fonde toujours la répression du maintien frauduleux et rappelle qu'une faille ouverte n'est pas une invitation.
Darknet et objets connectés : les deux visages de la cybercriminalité
Aux États-Unis, le fondateur de la place de marché Silk Road, Ross Ulbricht, a été condamné à la réclusion à perpétuité, peine confirmée par la cour d'appel fédérale du deuxième circuit le 31 mai 2017. Son identification devait beaucoup à des erreurs de sécurité opérationnelle et à l'exploitation de métadonnées, ce qui montre que l'anonymat du darknet reste relatif. Il a été gracié par le président Donald Trump le 21 janvier 2025, ce qui n'efface pas l'apport de l'affaire pour les enquêteurs.
À l'autre bout du spectre, la cybercriminalité exploite aussi la négligence des fabricants. En novembre 2017, la CNIL a mis en demeure le vendeur de deux jouets connectés qui permettaient à n'importe quel appareil Bluetooth situé à proximité d'écouter et d'enregistrer les conversations des enfants, sans aucune authentification. Le défaut de sécurité n'est pas en lui-même une infraction de cybercriminalité, mais il ouvre la porte à des intrusions dans la vie privée de publics vulnérables. Le règlement européen sur la cyberrésilience impose désormais des exigences de sécurité dès la conception de ces produits.
Victime de cybercriminalité : les bons réflexes
Le premier réflexe consiste à préserver les preuves : ne pas éteindre les machines touchées, conserver les journaux de connexion, les messages de rançon et les captures d'écran. La plateforme Cybermalveillance.gouv.fr oriente les particuliers et les entreprises vers des prestataires de proximité, et le 17Cyber permet d'échanger avec un policier ou un gendarme. La plainte se dépose au commissariat, à la gendarmerie ou directement auprès du procureur de la République, et la plateforme THESEE accueille les plaintes en ligne pour certaines escroqueries.
Pour une entreprise frappée par un rançongiciel, la plainte doit être déposée dans les 72 heures suivant la découverte de l'attaque si elle veut être indemnisée par son assurance cyber, en application de l'article L. 12-10-1 du code des assurances issu de la LOPMI. Lorsque des données personnelles sont touchées, la violation doit aussi être notifiée à la CNIL dans le même délai de 72 heures. Les affaires les plus graves remontent à la section J3 du parquet de Paris, qui dispose d'une compétence nationale concurrente en matière de cybercriminalité. Un professionnel qui souhaite tester la sécurité de ses propres systèmes peut faire appel à un hacker éthique, à condition de lui confier une mission écrite qui encadre précisément son intervention. Les cabinets et legaltech qui publient sur ces sujets ont, de leur côté, intérêt à soigner la précision juridique de leurs contenus, ce qu'un audit SEO et une rédaction de contenus juridiques permettent de vérifier.
Cybercriminalité : questions fréquentes
Qu'est-ce que la cybercriminalité en droit français ?
La cybercriminalité regroupe les infractions commises contre un système informatique, comme l'intrusion ou le sabotage, et les infractions classiques commises au moyen d'internet, comme l'escroquerie en ligne. Le code pénal ne la définit pas en tant que telle : les principales infractions figurent aux articles 323-1 à 323-8, issus de la loi Godfrain de 1988.
Quelles sont les peines encourues pour cybercriminalité ?
L'accès frauduleux à un système est puni de trois ans d'emprisonnement et 100 000 euros d'amende. L'entrave au fonctionnement et l'atteinte aux données sont punies de cinq ans et 150 000 euros. Les peines montent à sept ans et 300 000 euros contre un système de l'État, et jusqu'à dix ans en bande organisée.
Une attaque DDoS relève-t-elle de la cybercriminalité ?
Oui. Une attaque par déni de service distribué constitue une entrave au fonctionnement d'un système, punie par l'article 323-2 du code pénal de cinq ans d'emprisonnement. Celui qui prépare l'attaque ou fournit un outil ou un relais technique peut aussi être condamné pour participation à une entente, comme l'a jugé la Cour de cassation en 2017.
Comment porter plainte pour cybercriminalité ?
La plainte se dépose au commissariat, à la gendarmerie ou par courrier au procureur de la République. Certaines escroqueries en ligne peuvent être déclarées sur la plateforme THESEE. Il faut joindre toutes les preuves disponibles. Une entreprise victime de rançongiciel doit porter plainte dans les 72 heures pour être indemnisée par son assurance.
Tester une faille de sécurité est-il un acte de cybercriminalité ?
Sans autorisation, oui : accéder ou se maintenir dans un système sans droit est puni même si aucun dommage n'est causé et même si le système était mal protégé. Les tests d'intrusion sont licites lorsqu'ils sont réalisés dans le cadre d'une mission écrite confiée par le responsable du système, qui fixe le périmètre et la durée de l'intervention.
Le présent article revêt une portée strictement informationnelle et journalistique. CTRLZed n'est pas un cabinet d'avocats et ne dispense aucun conseil juridique personnalisé. Les textes, chiffres et décisions cités sont ceux en vigueur ou publiés au 10 novembre 2026. Rédaction CTRLZed.
Faire entendre votre expertise au bon endroit
Création de contenu éditorial qui porte votre voix.
