Droit Vivant
Source NotebookLM

↓ Version .md brute (pour NotebookLM)

Quand l'accès légitime devient un délit : la Cour de cassation et le maintien frauduleux dans un STAD

Le 2 septembre 2025, la chambre criminelle de la Cour de cassation a rendu un arrêt qui intéresse directement quiconque manipule des accès privilégiés à des systèmes informatiques : administrateurs systèmes et réseaux, DSI, prestataires en infogérance, et bien sûr consultants en sécurité offensive amenés à recevoir des identifiants dans le cadre d'un test d'intrusion. Le pourvoi n° 24-83.605, publié au Bulletin — c'est-à-dire retenu par la Cour comme suffisamment important pour être diffusé et commenté au-delà du seul dossier — confirme une lecture stricte de l'article 323-1 du code pénal : la légitimité technique d'un accès ne vaut pas autorisation d'en faire n'importe quel usage.

Le contexte juridique : les articles 323-1 et suivants du code pénal

Depuis la loi Godfrain de 1988, le droit pénal français protège les systèmes informatiques par un ensemble d'infractions regroupées dans le chapitre III du titre II du livre III du code pénal, « Des atteintes aux systèmes de traitement automatisé de données ». L'article 323-1 est la disposition centrale : il punit le fait d'accéder ou de se maintenir, frauduleusement, dans tout ou partie d'un système de traitement automatisé de données (STAD). La peine de base est de trois ans d'emprisonnement et 100 000 € d'amende ; elle grimpe à cinq ans et 150 000 € si l'accès ou le maintien entraîne une suppression ou une modification de données, ou une altération du fonctionnement du système. Lorsque le système visé appartient à l'État et traite des données personnelles, la peine peut atteindre sept ans et 300 000 €. Les articles suivants complètent ce dispositif : l'article 323-2 réprime l'entrave au fonctionnement d'un système, et l'article 323-3 vise l'introduction, la suppression ou la modification frauduleuse de données.

La notion de STAD est volontairement large : elle couvre un serveur de messagerie d'entreprise aussi bien qu'une infrastructure cloud, une application web, un objet connecté ou un système industriel. C'est cette élasticité qui rend l'article 323-1 central dans à peu près tout contentieux impliquant une intrusion informatique, qu'elle soit le fait d'un attaquant externe, d'un salarié, ou — c'est tout l'enjeu de cet arrêt — d'une personne qui dispose déjà d'un accès parfaitement légal au système.

Les faits : un administrateur réseau qui lit les mails de son patron

L'affaire jugée par la Cour de cassation est d'une banalité presque inquiétante. Un salarié occupait des fonctions d'administrateur du réseau informatique de son entreprise. À ce titre, il disposait d'un droit d'accès général et légitime à la messagerie électronique de l'ensemble des employés — un accès nécessaire pour assurer la maintenance, la sécurité et le bon fonctionnement du système. Rien d'illégal jusque-là : c'est la définition même du métier d'administrateur système.

Le problème est né de l'usage qu'il a fait de cet accès. Il s'est mis à consulter, en secret et de façon répétée, la messagerie de son supérieur hiérarchique — sans lien avec une quelconque mission de maintenance ou de sécurité. Il est allé plus loin en décodant le mot de passe du compte, en le remplaçant par un mot de passe de son choix, puis en configurant un renvoi automatique de tous les e-mails professionnels de son supérieur vers sa propre adresse personnelle. Le titulaire du compte n'a jamais été informé ni consulté. La cour d'appel de Versailles (9ᵉ chambre), par un arrêt du 2 mai 2024, l'a reconnu coupable d'atteinte à un système de traitement automatisé de données et l'a condamné à trois mois d'emprisonnement avec sursis, ainsi qu'à des dommages et intérêts.

L'argument du pourvoi — et pourquoi il échoue

Devant la Cour de cassation, le salarié condamné a soutenu, en substance, qu'il ne pouvait pas se voir reprocher un maintien « frauduleux » dans le système puisqu'il y avait, par ses fonctions mêmes, un droit d'accès parfaitement légal et permanent. Selon lui, l'infraction de l'article 323-1 suppose un accès sans droit ; or il avait, précisément, le droit d'accéder à toutes les messageries du réseau.

La chambre criminelle a rejeté cette lecture. Elle a jugé que se rend coupable de l'infraction prévue à l'article 323-1 celui qui se maintient dans un système de traitement automatisé de données en prenant connaissance du contenu des messages échangés au sein du réseau, à des fins étrangères à sa mission et à l'insu des titulaires des messages — même si, en sa qualité d'administrateur du réseau, il bénéficie de par ses fonctions d'un droit général d'accès à la messagerie. Autrement dit : ce n'est pas le fait d'accéder techniquement au système qui est apprécié isolément, mais l'adéquation entre l'usage fait de cet accès et la finalité pour laquelle il a été accordé. Un accès légitime, détourné de son objet, se transforme en maintien frauduleux dès l'instant où il sert des fins étrangères à la mission — ici, la curiosité ou la malveillance personnelle plutôt que la sécurité du réseau.

Cette solution s'inscrit dans une jurisprudence plus large de la Cour de cassation sur le détournement d'accès autorisés, où la chambre criminelle a déjà eu l'occasion de préciser que l'autorisation d'accès à un système s'apprécie au regard des tâches confiées à son titulaire, et non de manière purement technique ou contractuelle.

Pourquoi cette décision compte pour la sécurité informatique

Pour un chercheur en cybersécurité ou un consultant en tests d'intrusion, cet arrêt n'est pas une simple curiosité de droit du travail : il touche directement à la question de l'autorisation, pierre angulaire de toute activité offensive légale. Un test d'intrusion, un audit de sécurité, une mission de red team reposent tous sur l'idée qu'un accès — même à des systèmes sensibles, même avec des identifiants à privilèges élevés — n'est licite que dans la mesure où il reste dans le périmètre et la finalité définis par la lettre de mission ou les règles d'engagement (« rules of engagement »). Sortir de ce périmètre, par exemple en consultant des données hors scope, en conservant un accès après la fin de la mission, ou en détournant des identifiants obtenus légitimement vers un usage personnel, fait basculer une action initialement autorisée dans le champ de l'article 323-1 — exactement comme pour l'administrateur réseau de cette affaire.

La décision illustre aussi un point souvent sous-estimé par les équipes techniques : la frontière entre le licite et l'illicite ne se joue pas sur la possession de moyens techniques (mot de passe valide, compte à privilèges, accès VPN) mais sur l'autorisation d'usage, documentée et bornée. C'est un rappel utile dans un contexte où la France doit encore transposer la directive NIS2 et où les obligations de sécurité pesant sur administrateurs et prestataires vont se renforcer.

Sources

Angles de lecture pour NotebookLM (à coller dans « Personnaliser » de l'Audio Overview)

Choisis un ou plusieurs des angles suivants selon ce que tu veux approfondir dans le podcast généré ; chacun peut être collé tel quel dans le champ de personnalisation de NotebookLM.

Angle 1 — Audit offensif et périmètre d'autorisation. Concentre-toi sur ce que cet arrêt implique concrètement pour un pentesteur ou un red teamer : explique pourquoi une lettre de mission et des règles d'engagement précises (scope, finalité, durée, IP autorisées) sont la seule protection juridique réelle face à l'article 323-1, et donne des exemples de dérives courantes (accès conservé après la mission, exploration hors scope, exfiltration de preuves au-delà du nécessaire) qui feraient basculer un test légal dans le maintien frauduleux.

Angle 2 — Architecture technique et traçabilité des accès privilégiés. Détaille les mécanismes techniques concernés par l'affaire (accès administrateur à une messagerie, changement de mot de passe, règle de transfert automatique) et explique comment une architecture bien conçue (séparation des rôles, PAM, journalisation immuable, alerting sur les changements de configuration de messagerie) aurait permis de détecter ce détournement en amont d'une procédure judiciaire.

Angle 3 — Comparaison avec les autres régimes de sanction déjà traités dans le dépôt. Mets cette décision pénale (jusqu'à 3 ans de prison et 100 000 € d'amende pour une personne physique) en perspective avec les sanctions administratives vues dans les modules précédents du dépôt archive/ (CNIL contre Free/Iliad, cumul de sanctions Orange/Arcep/CNIL/DGCCRF) : explique la différence entre responsabilité pénale individuelle et responsabilité administrative des personnes morales, et pourquoi les deux logiques peuvent s'appliquer au même incident de sécurité.

Angle 4 — Veille réglementaire automatisée. Imagine comment un consultant en automatisation pourrait construire une veille jurisprudentielle continue sur les articles 323-1 à 323-8 du code pénal (scraping Judilibre, alertes sur mots-clés « maintien frauduleux », « administrateur », « STAD », classification automatique des arrêts publiés au Bulletin) pour anticiper les évolutions de la ligne jurisprudentielle sur le détournement d'accès légitimes.

Angle 5 — Prospective contentieuse : IA, automatisation et accès légitimes détournés. Projette ce raisonnement sur les cas futurs impliquant des agents IA ou des scripts d'automatisation disposant d'accès étendus à des systèmes d'entreprise : discute si un agent autonome qui sort de sa mission programmée (par exemple en accédant à des données hors périmètre pour « mieux répondre ») pourrait engager la responsabilité pénale de son opérateur sur le même fondement que le maintien frauduleux humain.