Le jugement du 10 novembre 2011 du tribunal correctionnel de Nanterre qui condamne EDF à une amende de 1,5 million d’euros pour recel et complicité d’accès et de maintien frauduleux dans un système de traitement automatisé de données se lit presque comme un roman. Il décrit le dispositif mis en œuvre pour espionner les systèmes d’information de Greenpeace France au travers d’une officine d’intelligence économique.

Cette affaire a été découverte par hasard par l’Office central de lutte contre la criminalité liée aux technologies de l’information et de la communication. En effet, l’Office enquêtait sur l’intrusion dans le système informatique du laboratoire d’analyse de l’Agence française de lutte contre le dopage (AFLD) réalisée au profit d’un coureur cycliste contrôlé positif sur le tour de France 2006. Les investigations de l’Office l’ont mené à un hacker habitant au Maroc. Sur commission rogatoire internationale, le domicile de ce dernier a été perquisitionné et le matériel informatique saisi. L’expertise mettra au jour des faits nouveaux extérieurs à cette affaire dont le piratage du système informatique de Greenpeace et d’un avocat parisien.
L’enquête, l’expertise informatique ainsi que les témoignages ont permis d’établir qu’un responsable sécurité d’EDF a conclu au bénéfice de son employeur un contrat avec Kargus Consultants, une société d’intelligence économique, portant sur la veille stratégique de Greenpeace et de ses activités anti-nucléaires, à partir de source ouverte. Ce contrat s’avèrera être un habillage pour des activités beaucoup moins licites. Le responsable de Kargus, un ancien de l’ex-DGSE, a embauché un hacker installé au Maroc en lui demandant de procéder à une surveillance offensive des ordinateurs de l’association écologiste et de la messagerie électronique de son directeur des programmes.

Pour le juge, il ne fait aucun doute que le pirate, le dirigeant de Kargus ainsi que les responsables sécurité d’EDF ont agi pour le compte de l’électricien. Si ce dernier n’a pas été directement l’instigateur de ces opérations, ses services ont été défaillants dans leurs contrôles internes. Le montant des contrats signés avec Kargus excédaient largement la délégation de service de la personne qui les avait conclus. Les deux employés d’EDF avaient, en quelque sorte, eu carte blanche pour assurer la sécurité du parc nucléaire dans le contexte de la construction de l’EPR.

Le responsable du service, ancien militaire à la retraite, a été condamné à trois ans de prison dont deux avec sursis, pour complicité d’accès et de maintien frauduleux aggravés, une peine sévère qui prend en compte le fait que les actes ont été commis par un ancien gradé de l’armée qui a fait appel à une officine pour espionner par des moyens illégaux Greenpeace. L’employé d’EDF, ancien membre de la police, qui était en contact direct avec Kargus a également été sanctionné par une peine de trois ans de prison, dont 30 mois avec sursis. Le responsable de Kargus a été reconnu coupable de complicité d’accès et de maintien frauduleux et a été condamné à une peine de trois ans dont deux avec suris et une interdiction de cinq ans de gestion d’une société ayant pour objet social la sécurité, le gardiennage et l’intelligence économique. Quant à l’auteur effectif du piratage, il écope d’une peine de deux ans d’emprisonnement dont 18 mois avec sursis pour accès et maintien frauduleux.

Des sanctions d’une sévérité sans précédent sur le fondement de loi Godfrain relative à la fraude informatique adoptée en 1988 et qui prouve qu’elle reste complètement adaptée aux évolutions technologiques.