Le Gouvernement s'attaque au phishing

Le phishing (également appelé le filoutage) constitue une problématique de plus en plus importante dans le secteur de l'internet. Récemment, le Gouvernement est venu apporté, à un parlementaire, quelques réponses concernant les mesures mises en oeuvres pour lutter contre ce fléau.

Pour mémoire, le phishing est une technique de fraude où les pirates usurpent l'identité d'une entreprise (banque ou site de commerce électronique, par exemple) et invitent les internautes à mettre à jour des informations qui les concernent par le biais d'une fausse page web, copie quasi-conforme du site original.

Pour le Ministre de l'Intérieur, "cette escroquerie, apparue dans le monde anglo-saxon depuis plus de trois ans, pose le problème de la sécurité des relations dématérialisées banque-client. Elle fragilise la confiance dans les nouveaux systèmes de transactions ou de communication et porte atteinte au développement des e-banques".

En conséquence, l'office central de lutte contre la criminalité liée aux technologies de l'information et de la communication (OCLCTIC) a impulsé plusieurs actions :

La Fédération bancaire française et le groupement d'intérêt économique cartes bancaires, en partenariat avec l'OCLCTIC, ont élaboré, dès 2004, un dispositif d'alerte en direction des établissements bancaires. Il vise à détecter, dans les meilleurs délais, les courriels qui contiennent les adresses de sites Internet qui contrefont de véritables sites de banque, à organiser une veille sur Internet afin d'y rechercher les adresses qui présentent des similitudes suspectes avec celles d'établissements financiers et bancaires et, enfin, à prévoir des mécanismes de contrôle qui permettent le dépistage rapide de virements frauduleux en vue de leur blocage. Une procédure de fermeture des sites litigieux, y compris quand ils sont situés à l'étranger, est également prévue. Cette procédure démontre que ces sites de fausses banques sont installés fugacement et que leur localisation est compromise en raison de leur grande mobilité, programmée par leur concepteur. Parallèlement, les établissements visés sont invités à déposer plainte systématiquement.

Parallèlement et afin d'augmenter les capacités de réponse des enquêteurs dès le dépôt de plainte effectué par les internautes, un accent particulier a été porté sur la lutte contre ce nouveau mode opératoire lors des sessions de formation des référents cybercriminalité des services territoriaux de police judiciaire et de sécurité publique.

Projet de décret relatif aux déclarations et autorisations relatives aux moyens et prestations de cryptologie

Le Gouvernement français vient de procéder à la notification auprès des instances communautaires - conformément au régime applicable en matière de règles techniques de la société de l'informaiton - d'un projet de décret relatif aux déclarations et autorisations relatives aux moyens et prestations de cryptologie. Ce projet de texte est pris en application des articles 30 et 31 de la loi du 21 juin 2004 pour la confiance dans l'économie numérique.

Aux termes de l'article 30 de la LCEN, l'utilisation des moyens de cryptologie est libre. De même, la fourniture, le transfert depuis ou vers un Etat membre de la Communauté européenne, l'importation et l'exportation des moyens de cryptologie assurant exclusivement des fonctions d'authentification ou de contrôle d'intégrité sont également libres.

A l'inverse :

La fourniture, le transfert depuis un Etat membre de la Communauté européenne ou l'importation d'un moyen de cryptologie n'assurant pas exclusivement des fonctions d'authentification ou de contrôle d'intégrité sont soumis à une déclaration préalable auprès du Premier ministre, sauf dans les cas prévus au b du présent III. Le fournisseur ou la personne procédant au transfert ou à l'importation tiennent à la disposition du Premier ministre une description des caractéristiques techniques de ce moyen de cryptologie, ainsi que le code source des logiciels utilisés. Un décret en Conseil d'Etat fixe :

a) Les conditions dans lesquelles sont souscrites ces déclarations, les conditions et les délais dans lesquels le Premier ministre peut demander communication des caractéristiques du moyen, ainsi que la nature de ces caractéristiques ;

b) Les catégories de moyens dont les caractéristiques techniques ou les conditions d'utilisation sont telles que, au regard des intérêts de la défense nationale et de la sécurité intérieure ou extérieure de l'Etat, leur fourniture, leur transfert depuis un Etat membre de la Communauté européenne ou leur importation peuvent être dispensés de toute formalité préalable.

IV. - Le transfert vers un Etat membre de la Communauté européenne et l'exportation d'un moyen de cryptologie n'assurant pas exclusivement des fonctions d'authentification ou de contrôle d'intégrité sont soumis à autorisation du Premier ministre, sauf dans les cas prévus au b du présent IV. Un décret en Conseil d'Etat fixe :

a) Les conditions dans lesquelles sont souscrites les demandes d'autorisation ainsi que les délais dans lesquels le Premier ministre statue sur ces demandes ;

b) Les catégories de moyens dont les caractéristiques techniques ou les conditions d'utilisation sont telles que, au regard des intérêts de la défense nationale et de la sécurité intérieure ou extérieure de l'Etat, leur transfert vers un Etat membre de la Communauté européenne ou leur exportation peuvent être soit soumis au régime déclaratif et aux obligations d'information prévus au III, soit dispensés de toute formalité préalable.

Le présent projet de décret tend à fixer ces conditions dans lesquelles sont souscrites ces déclarations et les catégories de moyens de cryptologie visées par les mesures.

Conformément à l'article 31 de la LCEN, le texte fixe également les conditions dans lesquelles est effectuée la déclaration auprès du Premier ministre de la fourniture de prestations de cryptologie.

Tout acteur intéressé, membre de l'Union européenne, a la possibilité de faire les remarques nécessaires auprès des instances communautaires d'ici au 30 août 2006, fin de la période de statu quo.